Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

抜け漏れないウェブのセキュリティ対策を - IPAがポイント20カ条

一方「ウェブアプリケーション」を動作させる「ウェブサーバ」に関しても脆弱性対策やサーバログの確認などを求めた。あわせて不要なサービスやアカウントの利用を停止、適切なアクセス制御やパスワード管理なども求めている。

またクラウドやホスティングサービスなど利用する場合も、責任の範囲を確認し、必要に応じて自組織で対応することや、定期的なセキュリティ診断、脆弱性診断を行うよう求めている。

同機構が示したウェブサイトのセキュリティ対策におけるチェックポイントの20カ条は以下のとおり。

・公開すべきではないファイルを公開していないか
・不要となったページやウェブサイトを公開していないか
・「安全なウェブサイトの作り方」に取り上げられている脆弱性への対策を実施しているか
・ウェブアプリケーションを構成するソフトウェアの脆弱性対策を定期的に実施しているか
・不必要なエラーメッセージを返していないか
・ウェブアプリケーションのログを保管し、定期的に確認しているか
・インターネットを介して送受信する通信内容を暗号化しているか
・不正ログインの対策はできているか
・OSやサーバ、ミドルウェアをバージョンアップしているか
・不要なサービスやアプリケーションはないか
・不要なアカウントが登録されていないか
・推測されやすい単純なパスワードを使用していないか
・ファイル、ディレクトリへの適切なアクセス制御を実施しているか
・ウェブサーバのログを保管し、定期的に確認しているか
・ルータなどを使用してネットワークの境界で不要な通信を遮断しているか
・ファイアウォールを使用して、適切に通信をフィルタリングしているか
・ウェブサーバやウェブアプリへの不正な通信を検知、遮断しているか
・ネットワーク機器のログを保管し、定期的に確認しているか
・クラウドなどのサービス利用において、自組織の責任範囲を把握し、必要な対策を実施できているか
・定期的にセキュリティ診断、監査しているか

(Security NEXT - 2018/12/14 ) このエントリーをはてなブックマークに追加

PR

関連記事

応募企画を実現、セキュリティコンテスト「SECCONCON」開催
CODE BLUE 2021の講演者を発表 - 「ProxyLogon」発見者も登壇
CSIRTの倫理規範「EthicsfIRST」の日本語版を公開 - JPCERT/CC
学生向けCTF「NetWars 2021」、11月に開催 - NRIセキュア
アジア圏U25対象のCTF大会「ACSC 2021」 - 成績優秀者はアジア代表に
IPA、2021年前半の被害届出127件を公開 - ランサムや認証突破など
「サイバーセキュリティ経営可視化ツール」にウェブ版 - 業界平均との比較も可能
2021年2Qの標的型攻撃に関する情報共有は40件 - J-CSIP
公共空間における安全なワイアレス通信でガイダンス - 米NSA
「情報セキュリティ白書2021」のPDF版が公開に