Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

抜け漏れないウェブのセキュリティ対策を - IPAがポイント20カ条

一方「ウェブアプリケーション」を動作させる「ウェブサーバ」に関しても脆弱性対策やサーバログの確認などを求めた。あわせて不要なサービスやアカウントの利用を停止、適切なアクセス制御やパスワード管理なども求めている。

またクラウドやホスティングサービスなど利用する場合も、責任の範囲を確認し、必要に応じて自組織で対応することや、定期的なセキュリティ診断、脆弱性診断を行うよう求めている。

同機構が示したウェブサイトのセキュリティ対策におけるチェックポイントの20カ条は以下のとおり。

・公開すべきではないファイルを公開していないか
・不要となったページやウェブサイトを公開していないか
・「安全なウェブサイトの作り方」に取り上げられている脆弱性への対策を実施しているか
・ウェブアプリケーションを構成するソフトウェアの脆弱性対策を定期的に実施しているか
・不必要なエラーメッセージを返していないか
・ウェブアプリケーションのログを保管し、定期的に確認しているか
・インターネットを介して送受信する通信内容を暗号化しているか
・不正ログインの対策はできているか
・OSやサーバ、ミドルウェアをバージョンアップしているか
・不要なサービスやアプリケーションはないか
・不要なアカウントが登録されていないか
・推測されやすい単純なパスワードを使用していないか
・ファイル、ディレクトリへの適切なアクセス制御を実施しているか
・ウェブサーバのログを保管し、定期的に確認しているか
・ルータなどを使用してネットワークの境界で不要な通信を遮断しているか
・ファイアウォールを使用して、適切に通信をフィルタリングしているか
・ウェブサーバやウェブアプリへの不正な通信を検知、遮断しているか
・ネットワーク機器のログを保管し、定期的に確認しているか
・クラウドなどのサービス利用において、自組織の責任範囲を把握し、必要な対策を実施できているか
・定期的にセキュリティ診断、監査しているか

(Security NEXT - 2018/12/14 ) このエントリーをはてなブックマークに追加

PR

関連記事

経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん
2021年度の個人情報漏洩などの報告は6000件弱 - 4件に1件が不正アクセス
2020年度の国内WAF市場、前年度比15.9%増
東京都、若年層向けにSNSトラブル防止動画コンテストを開催
IoTセキュリティがテーマのワークショップをハイブリッドで開催 - TCG
「サイバー防衛シンポ熱海2022」が8月に開催 - 露烏戦争から見るサイバー戦
セキュ研究者や実務者向けイベント「JSAC2023」が開催決定 - 講演やWSを募集
「ICTサイバーセキュリティ総合対策2022」の策定に向け意見募集 - 総務省
Interop Tokyoが幕張メッセで開幕 - 「Best of Show Award」が発表
「セキュリティお助け隊サービス」の登録申請を受付 - IPA