設定ミスを防ぐ！サーバーの脆弱性診断とセキュリティチェックリスト
Webサイトやサーバーを公開する前、定期点検を行うとき、構成を変更した後は、設定ミスがないか確認することが大切です。
小さな設定ミスでも、サイバー攻撃の入口になり、情報漏洩や改ざんにつながる恐れがあります。
この記事では、Webサイトの管理者やサーバー担当者に向けて、外部から見える設定とサーバー内部の設定を、確認方法・合否基準・担当者・実施時期・異常時の対応が分かるチェックリストでご紹介します。
セキュリティー診断さん
設定ミスって言われても、どこをどうチェックすればいいかわからないよ…。 自分でやると、かえっておかしくなりそうだし…。
Webサイトやサーバーの設定ミスが危険な理由
初期設定では、使わない機能やサービスが有効になっている場合があります。
公開時の「戸締り」が不十分だと、個人情報の漏洩やWebサイトの改ざんにつながる恐れがあります。
規模が小さい会社でも、公開されたサーバーは攻撃対象になり得ます。
設定を一度確認して終わりにせず、公開前・定期点検・構成変更後に見直すことが大切です。
セキュリティー診断さん
え、うちみたいな小さな会社も狙われるの？ 正直、関係ないと思ってたけど、なんだか怖くなってきたな...。
サーバーの脆弱性・設定チェックリスト
ハードニングとは、不要な機能や侵入口を減らし、サーバーやOSを安全な状態へ見直す取り組みです。
次の表を上から順番に確認すると、OSやソフトウェアの更新状況から、外部への公開状態、認証と権限、ログとバックアップまでを一通り点検できます。
| 確認項目 | 確認方法 | 合否基準 | 担当者 | 実施時期 | 異常時の対応 |
|---|---|---|---|---|---|
| OS・ソフトウェア更新 | OS、Webサーバー、ミドルウェアの更新状況を確認 | サポート対象の版を使用し、対応期限を超えた未適用更新がない | インフラ担当 | 月次・緊急情報の公開時 | 影響確認とバックアップ後に更新し、再確認する |
| 管理画面 | 検索結果や未認証のブラウザから管理画面へ到達できるか確認 | 認証とアクセス制限があり、不要な公開がない | Web管理者 | 公開前・構成変更後 | 公開範囲を制限し、認証設定を見直す |
| TLS | URL、証明書の期限、HTTPからHTTPSへの転送を確認 | 有効な証明書でHTTPS接続でき、HTTPがHTTPSへ転送される | インフラ担当 | 公開前・月次・証明書更新後 | 証明書を更新し、HTTPS転送を設定する |
| エラー表示・公開ファイル | エラーページと公開ディレクトリを確認 | バージョンやファイルパスが表示されず、test.htmlやbackup.zipなどが公開されていない | 開発担当 | 公開前・構成変更後 | 詳細表示を止め、不要なファイルを非公開または削除する |
| 不要なサービス・ポート | 稼働中のサービスと待受ポートを一覧化して用途を照合 | 業務に必要なものだけが有効 | インフラ担当 | 公開前・月次・構成変更後 | 影響を確認して不要なサービスやポートを停止する |
| 認証 | パスワードルール、多要素認証、初期アカウントを確認 | 推測されにくいルールと多要素認証が設定され、不要な初期アカウントがない | システム管理者 | 公開前・四半期・アカウント変更後 | 認証設定を強化し、不要なアカウントを停止する |
| 権限 | 利用者、管理者権限、ファイル権限を棚卸しする | 業務に必要な利用者へ必要最小限の権限だけが付与されている | システム管理者 | 月次・異動時・構成変更後 | 過剰な権限を外し、変更履歴を残す |
| ログ | 認証、管理操作、エラーのログ取得と保存期間を確認 | 必要なログが記録され、担当者が確認できる状態で保管されている | セキュリティ担当 | 公開前・月次・構成変更後 | ログ設定を直し、不審な操作がないか調査する |
| バックアップ | 復元手順に沿ってテスト環境で復元できるか確認 | 必要なデータを復元でき、結果と実施日が記録されている | 運用担当 | 月次・構成変更前 | バックアップ設定を修正し、再度復元テストを行う |
設定を変更するときは、業務サービスへの影響を確認し、必要に応じてバックアップを取得してから進めます。
各設定を具体的に見直す際は、脆弱性診断の種類と実施方法も参考にしてください。
自社確認の限界と専門家へ切り替える条件
外部から確認できる範囲と、サーバーやOSへログインして確認できる範囲は異なります。
外部から問題が見えなくても、内部設定や複数の設定の組み合わせに弱点が残る場合があります。
自社で設定を変更すると、必要なサービスや権限まで止めてしまい、Webサイトや業務サービスへ影響が出ることもあります。
次のいずれかに当てはまる場合は、専門家による脆弱性診断や設定確認へ切り替えましょう。
- 設定を変更したときに、どのサービスが停止するか判断できない
- サーバーやOSの内部へログインし、設定を確認できる担当者がいない
- 外部から見える設定と内部設定の両方を確認できない
- 修正後に、指摘された問題が解消したか確かめられない
専門家の診断は、自社のチェックリストで見つけた問題を詳しく調べたり、自社では確認しにくい弱点を調査したり、修正後の状態を再確認したりするために活用できます。
AIセキュリティ診断という選択肢
AIによるWeb診断は、診断対象のWebサイトへ外部からアクセスし、公開されている画面や通信の応答を自動で調べる方法です。
既知の攻撃パターンや検査項目に照らして、外部から悪用される可能性がある弱点を確認します。
検出結果を危険度や確認項目ごとに整理できるため、修正の優先順位を検討する材料になります。
ただし、サーバー内部のOS設定など、ログインしなければ見られない項目は別途確認が必要です。
この方法を利用できるサービスの一例が、『セキュリティー診断さん』です。
オンラインで決済し、画面の案内に沿ってサイトの所有者確認を行うと診断を開始できます。
診断で確認できること
外部からアクセスできるWebサイトやWebアプリケーションを対象に、攻撃へつながる可能性がある弱点を確認します。
診断後は、見つかった問題と危険度をまとめた報告書を受け取れます。
報告書で危険度を確認すると、影響の大きい問題から修正順を決めやすくなります。
チェックリストで確認した公開画面やTLSなどの外部設定と合わせて見ると、自社で対応する項目と、開発会社や専門家へ相談する項目を整理できます。
結果を受け取った後に行うこと
まず、報告書の危険度と影響範囲を確認し、対応する担当者と期限を決めます。
次に、設定やシステムを修正し、対応後には同じ問題が解消したかを再確認します。
OSやWebサイトの更新、機能追加、構成変更によって新しい設定ミスが生じることもあります。
修正後の再確認に加え、公開前・構成変更後・定期点検のタイミングで診断を活用しましょう。
セキュリティー診断さん
AIがチェックしてくれるなんてすごいね！ しかもすぐ始められて、報告書もわかりやすいなんて、助かる！
まとめ
サーバーの設定ミスを防ぐには、外部から見える設定と、サーバーやOS内部の設定の両方を確認する必要があります。
ハードニングでは、不要な機能、パスワード、更新状況、アクセス権限を確認しましょう。
設定変更を自社だけで安全に行うことが難しい場合は、専門的な脆弱性診断を利用し、診断後の改修と再確認まで実施することが大切です。
目に見えないリスクに怯えながらWebサイトを運営するのは、精神的にも大きな負担ですよね。
今回ご紹介した『セキュリティー診断さん』は、もしもの最悪の事態を防ぐための、心強い味方です。
明朗会計で、専門知識がなくてもすぐに始められる『セキュリティー診断さん』を利用すれば、あなたのWebサイトの「健康状態」を手軽に知ることができます。
継続的な安心を求めるなら、定期的に診断を受けられる年間プランもおすすめです。
安心して運営していくために、まずは一度、あなたのWebサイトの診断をしてみませんか？
セキュリティー診断さん
ヨシ！ まずは診断から始めればいいんだな！ これで安心してサイト運営ができるよ(๑•̀ㅂ•́)و✧
関連記事
同じテーマを深掘りしやすい記事を優先して表示しています。
