戦うWEBディレクターのブログ

五反田に住む戦うWEBディレクターのブログ

WEBディレクターが知っておくべき、WEBセキュリティ・ガンブラー対策

WEB

「WEBセキュリティ」と聞くと、難しそうなイメージがあって敬遠しがちですが、WEBディレクターやサイト運営者向きのセキュリティセミナーということで、「CSS Nite in Ginza Vol.52」に行ってきました。とても参考になったので、簡単に内容をまとめてみました。

サイト運営者を狙った攻撃手法「ガンブラー」が登場。

昔の「ハッカー攻撃」というと、サーバやWEBアプリケーションを攻撃するものでした。しかし、サーバやWEBアプリケーションのセキュリティ対策が進化したことにより、現在は、サイト運営者を直接攻撃する「ガンブラー」が登場しました。

ガンブラーとは？

Gumblar（ガンブラー）とは「Webサイト改竄」と「Web感染型ウイルス」を組み合わせて、多数のパソコンをウイルスに感染させようとする攻撃手法（手口）のことです。

ガンブラーの攻撃手法
  • 1.サイト運営者がウィルスに感染
  • 2.ハッカーにFTPのアカウント情報が盗聴される
  • 3.サイトにウィルス感染させるコードが埋め込まれる
  • 4.ウィルスを埋め込まれたサイトを訪れたユーザにウィルスに感染（2へ戻る）

よって、サイト運営者がウィルスに感染すると、運営者の管理するサイトがウィルスをばら撒いてしまう恐れがあります。サイトに埋め込まれるウィルスは、FTP情報だけでなく、オンラインバンクやオンラインゲームのアカウント情報を盗んだり、偽のセキュリティソフトを購入させようするものもあります。

WEB制作者ができるガンブラー対策

ガンブラーは、次のような対策があります。

アンチウィルスソフトの使用・更新

通常のアンチウィルスソフトで、ガンブラーの対策ができます。オンラインサービスによるウィルスチェックも可能です。
■オンラインウィスルチェック

ソフトウェアの更新、バージョンアップ

MicrosoftやAdobeなどの主要なソフトウェアは常に最新なものに更新しましょう。MyJVNバージョンチェッカを使うと、簡単に主要なソフトウェアのバージョンをチェックすることができます。

FTPS/SFTP/SCPを利用する

FTPはアカウント情報の通信が暗号化されていないため、第三者に情報を盗聴される危険性があります。FTPSやSFTP/SCPを利用すると、通信が暗号化されるので安全です。
■FTPSを利用できるアプリケーション

特定の接続元からのみFTP接続を許可する

サーバ側の設定でIPアドレス制限することで、外部からのアクセスを防ぐことができます。

やってはいけないセキュリティ設定

他社のサイトのセキュリティポリシーを、意味も分からず真似をすると、誤ったセキュリティ設定を促してしまう場合があります。次のセキュリティの設定は、絶対にセキュリティポリシーに記載しないようにしましょう。

IE7のセキュリティの設定で「SSL2.0を使用する」にチェックをする

SSL2.0は暗号強度を弱められてしまう脆弱性があるため、有効にすると危険です。

「スクリプトによる貼り付け処理の許可」にチェックをする

これはクリップボードにアクセスできる設定のため、コピーしたパスワードや個人情報が盗聴されてしまう恐れがあります。
結局、セキュリティの設定は、デフォルトの状態が一番、安全だったりします。

さいごに

ハッカーの攻撃は、サーバやWEBアプリケーションなどの脆弱性（もろくて弱いところ）を狙っています。そして今は、セキュリティの知識が脆弱なWEB制作者や運営者が狙われているようです。そのため、サーバ管理者やエンジニアだけでなく、サイトの運用にかかわる全ての人がセキュリティ対策を意識しないといけないと思いました。

参考リンク