サイトのセキュリティ対策。脆弱性診断とマルウェア対策の基本

公開しているサイトが改ざんされた、検索結果に警告が表示されるようになった。そうした話を聞いて、自分のサイトは大丈夫かと不安になる運営者は少なくありません。

この記事では、まずやるべき基本の対策、控えの取り方、外部のサービスに任せられる範囲、そして被害が疑われるときの動き方を整理します。

サイトが狙われる理由

ここは事実として理解しておく必要があります。

攻撃の多くは、特定のサイトを狙って行われているわけではありません。自動化された仕組みが広い範囲を巡回し、条件に当てはまるものを見つけて処理する形で行われています。

そのため、規模の大小や知名度は関係しません。個人の日記のようなサイトでも、条件に当てはまれば対象になります。「うちは小さいから」という理由は、残念ながら根拠になりません。

条件として挙げられるのは、更新が適用されていない古いプログラムを使っていること、推測されやすい認証情報を使っていること、公開する必要のない画面が誰でも見られる状態になっていることなどです。

とくに、広く使われている仕組みで構築されたサイトは、その仕組みの弱点が公開されると、一斉に確認の対象になります。更新が公開されたら早めに適用する理由はここにあります。

放置された状態のサイトも狙われやすい部類です。作ったまま更新していない、担当者が代わって誰も見ていない。そうしたサイトは、被害に気づくまでの時間も長くなります。

不安をあおる話ではなく、仕組みとして起きていることだと理解してください。そのうえで、できる対策を積み重ねるのが現実的な向き合い方です。

まずやるべき基本の対策

費用をかけずにできることから始めます。

いちばん重要なのが、更新の適用です。構築に使っている仕組み、追加している機能、使っている外観の設定。それぞれに更新が提供されます。管理画面に通知が出るので、確認する習慣をつけてください。

使っていない追加機能は削除してください。無効にしただけでは、ファイルは残ります。使わないものを残しておく理由はありません。

認証情報の見直しも欠かせません。推測されやすいものを避け、他のサービスと使い回さないことが基本です。二段階の確認に対応しているなら、有効にしてください。

管理する画面へのアクセスを制限する方法もあります。特定の接続元だけに限る、追加の認証を挟むといった手段があり、多くの提供事業者で設定できます。

権限の整理も見直しの対象です。複数人で運用している場合、必要以上の権限を持ったままの利用者が残っていることがあります。退職や担当替えのときに整理してください。

通信の暗号化についても、証明書の有効期限を切らさないよう管理が必要です。期限切れは表示上の問題だけでなく、訪問者の信頼にも関わります。

控えの取り方

対策のうち、いちばん見返りが大きいのがこれです。

まず、何を控えるかを整理します。表示に必要なファイル一式と、記事や利用者の情報を保管している部分。どちらが欠けても復旧できません。

次に、保管する場所です。サイトを置いている場所と同じところにだけ保管していると、その場所ごと問題が起きたときに失われます。別の場所にも保管してください。

世代を残すことも重要です。最新のものだけを上書きしていると、改ざんされた状態を控えてしまい、戻す先がなくなります。日次や週次で複数の世代を残す設定にしてください。

自動で控えを取り、復元できる仕組みを備えた提供事業者もあります。契約している内容に含まれているかを確認してください。

そして、戻せることを一度試しておいてください。控えを取っているつもりで、実際には必要なものが含まれていなかったという例は珍しくありません。試験用の環境で復元してみると、手順も把握できます。

控えの保管期間と、保存されている場所の安全性も確認しておきましょう。

診断・対策サービスの役割

自分で全部を見るのが難しい場合、外部のサービスという選択肢があります。

これらのサービスが行うのは、定期的な検査です。構築に使っている仕組みや公開している画面に、既知の弱点が残っていないかを調べます。診断の項目として、入力を扱う部分に関する既知の問題の類型が挙げられているのが一般的です。

あわせて、内容が書き換えられていないかの監視、悪意のあるプログラムや不正な内容が埋め込まれていないかの検知、見つかった場合の除去といった機能が提供されます。

Webセキュリティサービス【SiteLock（サイトロック）】をご入力下さい。 では、こうした機能をまとめて提供するサービスが案内されています。診断の頻度を毎日から四半期まで選べること、結果を報告書として受け取れること、管理する画面でまとめて確認できることが説明されています。

検索を提供する事業者の一覧に登録された場合に通知を受け取る機能や、証明書の期限を監視する機能を含むものもあります。気づくのが遅れると影響が長引くため、通知の仕組みは実用的な価値があります。

一方で、限界も理解しておいてください。これらは既知の問題を検査し、異常を知らせる仕組みです。導入すれば被害の可能性がなくなるわけではありません。基本の対策を怠ったまま、サービスだけで補うことはできません。

料金については、月額で数百円台から利用できるものが案内されています。ただし提供される機能は契約の種類によって分かれるため、必要な機能が含まれているかを確認してください。利用には独自の名前で運用しているサイトが必要とされる場合があります。

被害が疑われるときの動き

異常に気づいたときの手順を、あらかじめ決めておくと落ち着いて対応できます。

まず、被害の拡大を止めることを優先します。訪問者に影響が及ぶ可能性がある場合、公開を一時的に止める判断が必要になることがあります。

次に、記録の保全です。接続の記録や操作の記録は、原因を調べるための材料になります。復旧を急いで上書きしてしまうと、何が起きたのか分からなくなります。

そのうえで、専門の担当者や事業者に相談してください。自分で対処しようとして、かえって状況を悪化させることがあります。契約している提供事業者に相談の窓口があるか、確認しておきましょう。

利用者の情報が関わる可能性がある場合は、対応の範囲が変わります。関係する当事者への連絡や、所管する機関への報告が必要になることがあります。判断に迷う場合は、法務の担当者や専門家に相談してください。

復旧の際は、控えから戻すのが基本です。ただし、いつの時点から問題が生じていたかを把握しないまま戻すと、同じ状態を再現することになります。

そして、原因への対処を済ませてから公開を再開してください。戻しただけでは、同じ経路で再び影響を受けます。

サービスを選ぶときの確認事項

導入を検討する際に見ておく項目をまとめます。

まず、対応している構築の仕組みです。使っているものが対象に含まれているかを確認してください。

次に、診断の頻度と範囲です。契約の種類によって、調べられる範囲と回数が変わります。

検知したあとの対応も確認しましょう。知らせるだけなのか、除去まで行うのか。ここは実務の負担に直結します。

mixhost では、専用の環境を利用できるサービスが案内されています。他の利用者の影響を受けない構成であること、必要に応じて性能を拡張できること、控えの取得と復元の仕組みが用意されていることが説明されています。基盤側の条件を見直したい場合の選択肢になります。

問い合わせの窓口があるかどうかも重要です。異常が起きたときに聞ける先があるかは、対応の速さを左右します。

報告書の内容と頻度も確認しておくと、運用に組み込みやすくなります。

料金やキャンペーンは変わります。申し込む前に、提供元のページで最新の内容を確認してください。

よくある質問

小さなサイトでも対策は必要ですか。必要です。攻撃の多くは自動化されており、規模を選びません。

費用はどのくらいですか。契約の種類によります。月額で数百円台から利用できるものもありますが、機能の範囲が異なります。

提供事業者側の対策と何が違いますか。基盤を守る対策と、その上で動いている内容を守る対策は別のものです。両方が必要になります。

導入に手間はかかりますか。サービスによって異なります。設定の代行や支援があるかを確認してください。

控えはどのくらいの頻度で取ればよいですか。更新の頻度によります。毎日更新するなら日次、月に数回なら週次が目安になります。

改ざんされたらどうすればよいですか。公開の停止を検討し、記録を保全したうえで専門家に相談してください。

無償の追加機能で対応できますか。一部は対応できます。ただし範囲と継続性を確認してください。

対策すれば被害はなくなりますか。なくなるとは言えません。可能性を下げ、気づくまでの時間を短くするのが目的です。

まとめ

継続すべきは、更新の適用、控えの取得、監視の三点です。

対策を積み重ねても被害の可能性がなくなるわけではありません。異常に気づいたときは、記録を保全したうえで専門家に相談してください。運用する基盤の選び方は https://zero-press.net/columns/wordpress-server-erabikata に、手元の機器を守る対策は https://zero-press.net/columns/security-soft-erabikata にまとめています。