全方位vs一点突破

クラッキング、乗っ取りがますます激化しています。大手で情報流出に無縁というところはあるのでしょうか？

クラッキングの脅威について。「本気で狙われる場合」と「カジュアルクラッキング」があります。

本気で狙われると、なかなかに防御は難しいものがあります。エンタープライズ系のサーバで、ログインに物理キーが必要な状態でもヤられたりします。防御側は全方位に気を払い全てのセキュリティホールを塞がなければならないのに対して、攻撃側は何か1つ穴を見つければ良いので無理ゲーですね。それでも保守は日々頑張っているのです。

問題はカジュアルクラッキングです。

• 既知のセキュリティホールを利用。
• フィッシングメールで情報を盗む。
• 別途乗っ取ったSNSアカウントで「投票のためのコードが必要」と騙して、二段階認証を突破。

ここでは既知のセキュリティホールについて説明します。

サイトをリニューアルしたことはありませんか？

新規サイトよりもサイトリニューアルの際に「穴」はできやすいです。

• 新しい業者に頼んだ。前の業者の時から管理パスワードを変更しなかった。
• FTPパスワードも変えなかった。
• WordPressのユーザーを削除しなかった。
• とりあえず簡単な（「0000」のような）パスワードを発行して「変更して使ってね」と言ったが、業者が変更しないまま使っていた。
• 古いサイトを残したまま、新しいサイトを作った。古いサイトは埋もれて、古いバージョンのまま何年も残っていた。
• 古いサイトからコンテンツを移行するため、動かなくなるのを怖れてPHPバージョンを変更しなかった。そしてそのまま運用を開始して忘れた。
• 古い業者用のメールアドレスが残ったままだった。
• メールの転送設定を古い業者宛＋新業者にしていた。
• 開発用サイトを別に作った。正式サイトをオープンした。開発用サイトは忘れ去られて、古いバージョンのまま残った。
• 管理者アカウント名、PHPバージョン等、なるべく隠しておきたい情報が外から丸見えだった。
• テスト用プログラムを置いたままにしていた。
• データベース操作プログラム（adminer等）を設置したままにしていた。

どれか1つでも思い当たれば、気軽なクラッキングにすら侵入されてしまう可能性があります。

「外からは見えない」は、防御策ではありません。

管理資料

管理資料は、究極的には「紙」に保存しておくのがベストです。データと比較して盗まれにくいですからね。

しかし、長いパスワードを毎回打ち込むのが大変…という時は、資料をテキスト化してUSBメモリに保存しておき必要な時だけコピーするという方法もあります。これにも問題があるのですが「紙を盗まれる」「USBを盗まれる」を「同等」と考えるか「違う」と考えるか、ですね。

パスワードを管理者が知っている

管理者／スーパーユーザーが社員や業者まで全てのID・パスワードを管理している企業があります。とても多いです。いっそ「普通そうだよね？」という状態です。

ありえません！

あるアカウントで不正アクセスがあったとします。アカウントはログで特定できます。パスワードエラーも無く一発でログインしています。退職した社員かも知れないし、古い業者かも知れません。現役社員なら「不正アクセス」ではないですね。

本来は、アカウントを削除しておくべきです。忘れちゃったのか、そういう決まりが無かったのか？これが第一の問題です。

次。パスワードを管理者が知っていたら？いっそ、誰でも閲覧できる場所にID・パスワード一覧が置いてあったら？

犯人捜しができません。

ID・パスワードは個人を特定できるものです。共有など以ての外。

管理者はアカウントを削除・パスワード変更できます。何か問題があった時には「記録してあるパスワードをユーザーに教える」ではなく「パスワード変更許可を出す」が正解です。ユーザーのパスワードを知らないことが身の潔白になります。

管理者が退職した社員のアカウントを使って、パスワードを変更してログインし悪事を働いたら？→ログが残ります。ログを改竄／消去できないサーバを使用しましょう。

気になることがあれば

「お問い合せ」からご相談ください。

ご相談のみ、セキュリティポリシーの構築アドバイス、セキュリティチェック等承ります。