セキュリティホールとは？サイバー攻撃の手法と5つの対策を解説
- 大手WEBサイトが不正アクセスを受け、個人情報が流出する事件がありましたね。
やはり大企業や、金融機関、ECサイトが狙われやすいのでしょうか？
- 個人情報を扱うサイトが狙われやすいのは確かです。
しかし、最近では少し攻撃の傾向が変わってきているようです。
中小企業のホームページなど、セキュリティの弱いサイトを狙った攻撃が増えています。
- 自社もホームページを持っていますが、個人情報を扱っていないので関係ないですよね？
- 個人情報を扱っていないからといって安心はできません。企業のホームページがサイバー攻撃の踏み台にされ、知らないうちに加害者となってしまうこともあります。
実際に中小企業のネットワークから侵入して大手企業に攻撃が仕掛けられた事例もあり、攻撃の踏み台にされた中小企業は、損害賠償を請求されるだけでなく社会からの信頼を失うことになりました。
「WEBサイトのセキュリティ対策に不安がある」
「セキュリティホールを狙った攻撃から企業を守る方法を知りたい」
・・・そんな疑問や不安をお持ちの方は必見です！
本記事では、セキュリティホールを狙った攻撃と企業に必要な対策について徹底解説。
サイバー攻撃からWEBサイトを守るためのセキュリティ対策を詳しくご紹介します。
セキュリティホールとは？基礎知識を解説
まずはセキュリティホールがどういうものなのか、基本知識を解説します。
セキュリティホールの定義
セキュリティホールとは、ソフトウェアやOSの開発段階で発生しているセキュリティ上の弱点のことです。
開発途中のミスや、プログラムの不具合が、セキュリティホールが生まれる原因です。
- 開発の段階でセキュリティホールを防ぐことは出来ないのでしょうか？
- 開発者も、製品のリリース前にさまざまな試験を実施して、セキュリティホールを作らないよう努力をしています。しかし、すべてのセキュリティホールを見つけるのは難しいのが現状です。
セキュリティホールの問題
セキュリティホールがある状態を放置すると、ハッキングに利用されたり、ウイルスに感染する危険性があります。
WEBサイトのセキュリティホールに攻撃を受けた結果、情報漏洩、データ改ざんなどの被害を受ける可能性があるのです。
- 普段利用しているWEBサイトが、攻撃を受ける入り口になることがあるのですね。
- セキュリティホールの種類もさまざまで、攻撃の方法も多数存在しています。
日々新たなセキュリティホールと、攻撃の方法が生まれ続けているので、最新の対策を行うことが重要です。
セキュリティホールと脆弱性の違いとは？用語を解説
セキュリティホールと似ている用語が「脆弱性」です。
どちらも同じ意味で使われることが多い言葉ですが、厳密には意味が異なります。
セキュリティホールとは、攻撃の標的にされる場所で、バグのことです。
一方、脆弱性は、もろくて弱いという意味があり、仕組みや概念なども含みます。
社内の仕組みの問題でPCがウイルスに感染した場合は、管理体制に脆弱性があるということができます。
つまりセキュリティホールは、脆弱性に含まれるひとつだととらえておきましょう。
セキュリティホールを狙った攻撃とは？WEBサイトが標的になることも
セキュリティホールを狙った攻撃には、さまざまな種類があります。
ここでは、WEBサイト、WEBアプリケーションのセキュリティホールを狙った攻撃を取り上げて解説します。
WEBのセキュリティホールを狙った攻撃として代表的なものは、以下の3つです。
- 1.SQLインジェクション
- 2.OSコマンドインジェクション
- 3.クロスサイトスクリプティング
以下でそれぞれの攻撃を具体的に説明します。
SQLインジェクション
SQLインジェクションとは、WEBサイトが利用するデータベースを狙った攻撃です。
WEBサイトに不正なSQL文を注入（インジェクション）することから、SQLインジェクションと呼ばれます。
攻撃対象として狙われやすいのが、データベース上で多くの個人情報を管理しているECサイトや会員制WEBサイト。
そしてWEBサイトとデータベースを連携する際に使われるのが、SQL文です。
攻撃者は、データベースに対し、不正なSQLを送ることで、データベースの情報を盗みます。
データベースを不正に操作されることにより、WEBサイトで管理する顧客の氏名や住所、クレジットカードなどの個人情報が盗まれるといった被害が起こります。
- 日常的にオンライン決済や、オンラインショッピングを利用しています。
そこから情報が流出する可能性があるのですね。
- ネットショッピングサイトで、顧客情報の流出など、大きなニュースになった事件もあります。しかしニュースに取り上げられているのはほんの一部で、実は数多くの企業がSQLインジェクションによる攻撃の被害を受けています。
顧客情報の流出は、企業として信頼を失う大きな過失となるため、対策が必要です。
OSコマンドインジェクション
OSコマンドインジェクションとは、WEBアプリケーションを狙った攻撃です。
WEBアプリケーションに対して送信する情報に、不正なOSコマンドを入れて送ることから、OSコマンドインジェクションと呼ばれます。
そもそもOSとは、PCを動かすための基礎となるソフトウェア。
OSを不正に操作されることにより、情報漏洩、ファイルの改ざんや削除、ウイルスの感染といった被害が発生します。
また、他のWEBサイトへの攻撃の踏み台にされるといった被害を受ける可能性もあります。
- 知らないうちに、攻撃に加担してしまう可能性があるのですね。
- OSコマンドインジェクションによって、PCを遠隔操作され、犯罪や不正アクセスの犯人に仕立て上げられる恐れがあります。
WEBアプリケーションに対するOSコマンドインジェクションの被害を避けるためには、外部からのOSコマンドを直接受けない、外部から操作されないようなプログラムを組むことが大切です。
クロスサイトスクリプティング
クロスサイトスクリプティングとは、SNSなどの動的なWEBサイトにある入力フォームを狙った攻撃です。
WEBサイトに罠を仕掛けて訪れたユーザーを攻撃し、サイトを横断してスクリプトを実行させることから、クロスサイトスクリプティングと呼ばれます。
攻撃者は、メールやSNS、掲示板を通して、ユーザに罠のリンクを送信します。
ユーザーは送られてきたリンクをクリックすることで別のWEBページに移動し、その際に悪意のあるスクリプトがユーザーのPC上で実行されることで、個人情報が漏洩したり、偽のWEBサイトに誘導されてしまいます。
- SNSや掲示板を使った攻撃もあるのですね。
- 数年前には、YouTubeを狙ったクロスサイトスクリプティングの攻撃がありました。
YouTubeのコメント欄に罠が仕掛けられ、それを閲覧したユーザのブラウザでコメントが表示されなくなったり、デマのニュースがポップアップされたり、関係のないウエブサイトにリダイレクトされる被害が発生したんです。
セキュリティホールへの対策とは？確認すべきポイント
セキュリティホールを狙った悪質な攻撃から、企業を守るためにはどうしたらよいのでしょうか。
セキュリティホールへの対策について解説します。
セキュリティホールを狙った攻撃から、企業を守るための具体的な対策は以下のとおりです。
- 1.最新のパッチをインストールする
- 2.セキュリティ対策ソフトを導入する
- 3.WAFを導入する
- 4.脆弱性診断を受ける
- 5.ノウハウのあるベンダーに依頼する
以下でそれぞれ具体的に説明します。
最新のパッチをインストールする
セキュリティホールが発見されると、対策用のパッチ（プログラムの一部分を更新してバグ修正や機能変更を行うためのデータ）が配布されます。
最新版のパッチをインストールすることで、セキュリティホールをふさぐことが可能です。
最新版のパッチをインストールをせずに放置してしまうと、セキュリティホールを狙った攻撃を受ける可能性が高まります。
よって常に最新のパッチが適用されているかチェックしましょう。
- 最新のパッチをインストールすれば、対策は万全なのでしょうか？
- 実はそれだけでは、対策は万全とは言えません。
セキュリティホールが見つかってからパッチが作成されるので、配布されるまでの間、無防備な状態で利用を続けることになります。そのため、セキュリティホールが発見されてから対策が行われる前の攻撃（ゼロデイ攻撃）は防げないのです。
セキュリティ対策ソフトを導入する
パッチ未公開のセキュリティホールを狙った攻撃を防ぐには、セキュリティ対策ソフトの導入が効果的です。
もともとウイルス対策ソフトはウイルスを検知して駆除するためのプログラムでしたが、最近では、より高度なセキュリティ対策を備えたソフトが開発されています。
悪質なプログラム全般を検出、駆除する仕組みが備わっているソフトも多くあります。
そのためセキュリティ対策ソフトの導入は、セキュリティホールを狙った攻撃にも有効です。
またセキュリティソフトでは、定期的に更新プログラムが配布されます。
セキュリティ対策ソフトを常に最新の状態に保っておくことで、新たなウイルスが登場した際に、PCがウイルスに対して無防備な状態になる期間を最小限に抑えることが可能です。
- セキュリティ対策ソフトを導入すれば安心ですね。
- ただしセキュリティ対策ソフトも、新しいウイルスが見つかってから対策プログラムが作られます。よってプログラムが配布されるまでの期間は無防備な状態となるため、100パーセント攻撃を防げるわけではありません。
WAFを導入する
WEBサイトやWEBアプリケーションへの攻撃を防ぐには、「WAF」の導入が有効です。
WAFとはWEBアプリケーションの脆弱性を狙った攻撃対策に特化したファイアウォールで、SQLインジェクションや、クロスサイトスクリプティングなどの攻撃を防ぐことができます。
WAFは、WEBサイトやWEBアプリケーションへの通信内容を監視します。
WEBサーバーにアクセスしてきた通信が本来のアクセスパターンと異なる場合、攻撃と判断して通信を遮断するという仕組みです。
このとき参照するアクセスパターンは、シグネチャと呼ばれます。
WAFを導入する際は、このシグネチャを常に最新の状態にしておくことが重要です。
- ファイアウォールは自社でも導入しています。ファイアウォールだけではダメなのでしょうか。
- WEBアプリケーションの攻撃に対しては、ファイアウォールだけでは不十分です。
一般的なファイアウォールは、IPアドレスやポート番号など、ネットワークレベルでの監視を行い外部からの不正アクセスを防ぐ機能があるものの、外部に公開したWEBアプリケーション層の不正アクセスを防ぐはできないのです。
- ファイアウォールとWAFでは、監視の対象が違うのですね。
- WAFとファイアウォールはお互いに補完しあう存在であり、WAFを導入したからといってファイアウォールが不要になるわけではありません。
どちらかが欠けるとセキュリティレベルも落ちるので注意しましょう。
脆弱性診断を受ける
最新パッチのインストール、セキュリティ対策ソフトの導入は、企業全体で漏れなく実施することが重要です。
たったPC1台でもセキュリティ対策を怠っていると、そこが攻撃の入り口とされてしまいます。
しかし、すべての端末のセキュリティ状態を調査するのは簡単ではありません。
そこでまずは脆弱診断を受けて、企業で導入しているIT機器のセキュリティ対策状況を把握することが大切です。
- PCだけでなくルーターやIP電話など機器の種類がありますが、きちんと把握できていません。
- そのような場合でもご安心を、PC以外の機器も含めて脆弱診断ができるサービスもあります。
例えば脆弱性診断ツール『アイコンカルテ』は、PCだけでなくルータ、UTM、IP電話などネットワークに接続されているすべての機器を一元管理できて大変便利ですよ。
ノウハウのあるベンダーに依頼する
ノウハウのあるベンダーに依頼することも、ひとつの方法です。
セキュリティホールを狙った攻撃から企業を守るためには、第一にセキュリティホールを見つけることから始めなくてはなりません。
しかし、セキュリティホールの発見は専門家でないと難しいのが現実です。
攻撃の方法も日々変化しており、最新の情報を確認し、社内のセキュリティ対策に反映する必要があります。
すべて社内で対応するには、人材やコストなどのリソースに負荷がかかってしまう場合もあります。
- 正直なところ、セキュリティは専門的なことが多すぎてよく分かりません。
- そのような場合は、専門家に任せることも必要です。
OFFICE110ではセキュリティ対策の商材を多数取り扱っておりますので、お気軽にご相談ください。
セュリティホールを狙った攻撃を防ぐためには、セキュリティ対策が必須
本記事では、セキュリティホールを狙った攻撃と、対策方法についてご紹介しました。
近年、WEBサイト、WEBアプリケーションのセキュリティホールを狙った攻撃が増えています。
WEBサイトに直接攻撃されるだけでなく、企業のホームページが攻撃の踏み台にされる危険性もあります。
ファイアウォールやセキュリティソフトの導入だけでは、安心できません。
企業を狙うさまざまな脅威に対しては、総合的なセキュリティ対策が必要不可欠です。
セキュリティ対策製品にはそれぞれ特徴がありますので、状況にあわせて適切な製品を導入しましょう。
- 企業にあるさまざまな機器は、常にサイバー攻撃の危険性と隣りあわせ。ネットワークに接続する以上、攻撃を受けないということは不可能です。
そのため、攻撃を受けることを全体として攻撃を受けても防御できる仕組みを作ることが大切です。
セキュリティ対策は、どれかひとつだけでは不十分。
企業を守るためにも、複数のセキュリティ対策を組みあわせ、総合的なセキュリティ対策を行いましょう。
OFFICE110の「NISG6000Std」なら、さまざまなセキュリティ機能が1台で完結！
- セキュリティ対策ソフト、ファイアウォール、WAF、セキュリティ管理、脆弱性診断などのセキュリティ対策が必要だと分かりました。どれから始めたらいいのでしょうか？
- 総合的なセキュリティ対策には、ファイアウォールやWEBフィルタリングなど複数のセキュリティ機能を統合したUTMがおすすめです。OFFICE110の『NISG6000Std』なら、低価格で導入できる上に、さまざまなセキュリティ機能が1台で完結します。
OFFICE110の『NISG6000Std』なら、1台でファイアウォール、WEBフィルタリングなどの複数のセキュリティ対策が完結。
それぞれのセキュリティ対策を個別で導入すると高額ですが、1台ですべて完結するUTMなら最小限のコストでセキュリティ対策が実現します。
また既にファイアウォールを導入している、WEBサイトの被害に特化した製品を導入したいという方は、クラウド型WAFサービス『攻撃遮断くん』がおすすめです。
セキュリティ対策に不安がある方は、ぜひ「OFFICE110」へ。
セキュリティ対策をトータルサポートさせていただきますので、お気軽にお問い合わせください！
