不正アクセスについて　その対策方法やディレクションで考えること

今回は不正アクセスについて、まとめていきます。

賠償など、大きな問題に発展しかねないセキュリティに関する問題なので、ぜひご覧ください。

不正アクセスとは

本来できないはずの操作が出来てしまったり、見えるべきでない情報が第三者に見えてしまうようなバグや不具合を※セキュリティホールと言います。

これを悪用されると盗聴、改ざん、なりすまし、乗っ取り、遠隔操作等につながります。

※セキュリティホールについては、詳しくはこちら

IPA（情報処理推進機構）では最近の動向を公開しています。https://www.ipa.go.jp/files/000100440.pdf

ファイアウォールとはインターネットとネットワークの境界に設置する通信に関する仕組みです。

インターネットと社内ネットワークを行き来する通信データを監視し、あらかじめ決めたルールによってデータの転送を許可するかどうかを決めます。

ファイアウォールは通信データを監視しますが、電子メールの内容は理解できないため、メール添付のウイルスからは保護できません。こちらは専用の対策プログラムが必要です。

不正アクセス対策のため「特定のIPアドレスからの接続のみ可能」という制限をしている場合に、送信元IPアドレスを偽装して攻撃する手法がIPスプーフィングです。ここでもファイアウォールが対策として使われます。

不自然なIPパケットをファイアウォールで破棄することで社内ネットワークへの不正アクセスを防止できます。

管理者権限を守るために、WebサーバーやDBサーバーへのアクセスを制限し、特定の管理用端末からのみのアクセス可能とする運用です。

管理できる端末を制限することで、脅威にさらされる母体数を減らします。

ディレクションの際のサーバー提案については慎重にしたいです。AWSなど、細かく仕様を調整できるものの方がおすすめです。

サーバーの構成については、Webサーバーを２台用意して、データベースなどは別で分けた構成の方が望ましいです。

サーバーを一つにまとめると、攻撃があった際に、すべてに影響が出る場合があります。

Webとデータベースを切り分けて、データベースには特に不正アクセスされにくいようにセキュリティシステムを導入するなど、工夫が必要です。

しかし、不正アクセスに対する仕組みを全力で実施すると、予想以上にお金がかかります。

サーバーの保守費用だけで、月額数十万円かかることも珍しくありません。そこは発注者と、どこまで予算をかけられるのか、リスクを許容できるのかを話し合いましょう。

特に、決済情報をデータベースで保持する場合は、注意が必要です。