どうも『まにお』です。

情報処理推進機構（IPA）がウェブサイトへのサイバー攻撃に備えた定期的な点検作業をするように注意喚起を行いました。

注意喚起した背景には国内の企業・組織のウェブサイトが標的型攻撃などを受けて踏み台にされたりするサイバー攻撃の被害が後を絶たない状況があります。

具体的な内容としてまずは、サイバー攻撃の事例を挙げております。

1. 標的型攻撃に悪用されるウェブサイト改ざん

攻撃者がA社のウェブサイトに不正に侵入し、標的型攻撃における命令を中継する機能をウェブサイトに設置した事例

提供：情報処理推進機構（IPA）

2. SQLインジェクションの脆弱性を悪用した情報窃取

2015年6月、海外のハッカーグループがハッキングに成功したSQLインジェクションの脆弱性を狙った攻撃ツールを利用した事例

提供：情報処理推進機構（IPA）

また、被害の回避、低減のため、以下のような点検することを推奨しております。

(1)利用製品（プラグイン等追加の拡張機能も含む）の最新バージョンの確認
目的：脆弱性が解消された最新バージョンの公開を確認するため
対象：ウェブサーバー等のウェブシステム、ウェブサイト運用管理用PC
頻度：数週間～1ヶ月に1回程度

 

(2)ウェブサイト上のファイルの確認
目的：改ざん等されていないか確認するため
内容：ファイルのリスト（ファイル名、サイズ、更新日時、ハッシュ値）の取得と比較
対象：ウェブサーバー
頻度：1週間に1回程度

 

(3)ウェブアプリケーションのセキュリティ診断
目的：自社のウェブアプリケーションに脆弱性が存在しないか確認するため
対象：ウェブサーバー
頻度：1年に1回程度、および機能追加等の変更が行われた時

また、万が一被害にあった時の緊急対応手順（インシデントレスポンス）をあらかじめ定めておくことも被害拡大を防ぐために必要不可欠です。

海外では、セキュリティ被害にあった事実に対して評価が下がることよりも、被害にあった際の対応の遅さやまずさのほうがよっぽど信用を失うようです。

要は、被害にあった後にどれだけ迅速に且つ被害を最小限に抑えることが出来て公表できるのかがポイントになっております。

サイバー攻撃を理解し、被害にあわないように対策、点検をし、被害にあった際の対応手順を定めておくことが重要ですね。

【参考】

プレス発表　注意喚起「ウェブサイトへのサイバー攻撃に備えた定期的な点検を」（IPA）