SNSでシェア
今すぐ始めるWebサイトのセキュリティ対策
はじめに
この数日、国内で多数の情報漏えいが発生しています。これらの中には仮想化基盤が攻撃されたと思われるランサムウェアやメール経由でマルウェアに感染したものなども含まれていますが、一方で、従来では見られなかったようなWebサイトに対する不正アクセスによって大規模な情報漏えいも多数含まれています。従来、Webサイトに対する不正アクセスが同時期に多発した場合には、共通して利用されるフレームワーク等で発見された脆弱性(CVEが付与されたもの)の悪用など、背景となる原因がある程度推測されました。しかし、現在発生している一連の不正アクセス事案についてはそのような共通する原因が見られないということがひとつの大きな特徴となっています。これは、実際の痕跡などからも、特定の共通する脆弱性が攻撃されたのではなく、それぞれのWebサイトにおいてサイト固有の設定不備や脆弱性を調査したうえでそれが狙われたと考えられています。
本稿では、そのような状況のなかで自社で保有するWebサイトにおいてどのような対応、対策を採るべきなのかについて説明していきます。
なお、本稿で対象としている「Webサイト」の範囲には、静的なWebサーバーに加えWebアプリケーションやAPIサーバー、スマートフォンアプリケーション（スマホアプリ）のバックエンドとしてWebを通じて機能を提供しているサーバーなども含みます。
参考
- 相次ぐWEBシステムからの情報漏洩事案について – セキュリティ研究センターブログ
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起
- 【注意喚起】相次ぐ情報漏洩、その原因の一つは「アプリ解析からのサーバ攻撃」― AIで高度化する脆弱性探索、Androidアプリを手がかりにしたA2B攻撃に注意 ― | ライブラリー | サイバーセキュリティネクサス | NICT
関連情報
まずは自社Webサイトにおける被害の有無を確認したい方は、以下の実践ガイドもあわせてご覧ください。
- 【臨時公開資料】自社の状況を把握し、必要な対策を検討するために ― 今できることを整理した実践ガイド ―
今すぐ行うこと
不正アクセスによる被害が頻発している現状では、まずは自分たちの保有しているWebサイトにおいてすでに攻撃が行われていないかを確認してください。被害が発生していないということが確認できれば、これから被害を発生させないようWebサイトの堅牢化を進めます。
被害有無の確認
自分たちの保有しているWebサイトに対してすでに攻撃を受け被害が発生している可能性があることから、まずはWebサーバーのログを中心に攻撃が行われた痕跡がないか以下のような観点を確認します。
- 上記で参考として掲載している記事内で言及されているIPアドレスによる不審なアクセスがログに残っていないか（これらのIPアドレスによるアクセスは必ずしも攻撃者からのものを意味するわけではなく、一般の利用者が同一のIPアドレスを使用している可能性もあることに注意してください）
- 404エラー、500エラーなどが通常に比べて多量に発生していないか
- 200の正常な応答であっても、特定のアクセス元から多量に呼び出しが行われていたり、通常に比べて大きなレスポンスを返していないか
- ログイン機能へのアクセス数、ログインの失敗が増加していないか
- 通常であれば発生しないアクセス元から管理画面や管理機能の呼び出しが行われていないか
もしこれらに該当するものが見つかり被害が発生している懸念がある、あるいは被害を受けているかの判断がつかないということであれば、インシデント対応を行っているセキュリティ事業者の協力を得ながら、より詳細な調査を行います。残念ながら弊社ではインシデント対応のためのサービスは提供していませんが、例えばJNSAソリューションガイドから適切なセキュリティ事業者を探すなどするといいでしょう。
ログの確認から被害が発生していないと判断した場合でも、これから攻撃が発生する可能性があるため次のステップとしてWebサイトの堅牢化を検討します。
ログの確認が難しい・判断がつかない場合
自社で十分に確認できない、または判断に自信がない場合は、ツールで早急な確認を支援するために、ビットフォレスト社の提供するWeb攻撃ログ分析ツール「Loggol（ロゴル）」の無償提供枠をご用意しています。
- Loggolはブラウザ(あるいはAPIクライアント)だけで利用可能なシンプルなクラウド型サービスです。管理コンソールから、任意のWebサーバ、任意の期間のログを、サポートされたログ形式/圧縮方法のファイルとしてLoggolにアップロード。 あとは分析ボタンを押すだけで、数分以内に自動的に分析が完了します。
- 分析結果は、Loggol管理画面上での確認のほか、JSONやHTML形式でダウンロードいただけます。
Webサイトの堅牢化
自分たちの保有しているWebサイトに対してこれから攻撃が行われる可能性があるため、Webサイトを堅牢なものにする必要があります。具体的には以下のような施策を実施します。
- OS、ライブラリ、フレームワーク等、自社サイトで使用されているソフトウェアの更新プログラムを適用する
- サポート期間を終えたソフトウェアは、脆弱性が発見されても更新プログラムが提供されないことが一般的であり、速やかにサポート対象となっているバージョンに更新する必要があります
- OSやネットワーク、クラウド環境の設定不備が存在しないかを確認する
- 自社独自のWebアプリケーション部分に脆弱性が存在しないかを確認する。特に以下のような脆弱性がアプリケーション部分に作りこまれていないかを確認する
- SQLインジェクションやOSコマンドインジェクションのような、どこか1か所にでも存在すれば致命的な被害につながる危険な脆弱性が存在している
- ゲストユーザーが高権限の処理やデータにアクセスできる、一般ユーザーが管理者の機能を呼び出せる
- 管理画面や管理機能に一般ユーザーやゲストユーザーがアクセスできてしまう、管理画面に弱いパスワードがつけられている
- JavaScript内やスマホアプリ内に秘匿すべき認証情報やAPIキー、機密情報が埋めこまれている
- Webアプリケーション部分に脆弱性が存在する場合には、開発元の協力を得てソフトウェアを修正する
- 発行したAPIキーの管理が適切かを確認する
- 過去に発行したAPIキーが現在どのように使用されているか不明な場合やAPIキーの漏えいが疑われる場合には、APIキーを無効化し必要に応じて再発行します
- サービス提供が終了している場合には、サーバーの停止やスマホアプリの配信停止に加えてそのサービス運用のために使われていたAPIキーの破棄も忘れずに行います
- 不要な個人情報や機密情報を保有し続けていないか確認する
- 使用を終えた個人情報や機密情報であっても、法律や業界のガイドラインに従って長期にわたって保有することが求められる場合には、アプリケーションから直接的にアクセスできる場所にそれらを保管するのではなく、万が一Webサイトが侵害されたとしても簡単には漏えいしない場所に退避させたかたちで情報を保存します
- Web Application Firewall(WAF)の導入により速やかにWebサイト全体のセキュリティを向上する
Webサイトのセキュリティ向上のための本質的な対応という意味では、更新プログラムの適用や脆弱性診断の実施、発見された脆弱性の修正が必要です。一方で、使用しているソフトウェアの更新プログラムをすべて適用することは動作確認やソフトウェアの組み合わせの互換性などから現実的には難しいこともよくあります。そのため、提供されている更新プログラムのうち重要性、緊急性の高いものから優先的に適用する判断が求められます。また、更新プログラムの適用はWebサイトを公開している間は継続的に実施し続ける必要があります。加えて、自社Webアプリケーション部分に対する脆弱性診断において発見された脆弱性を修正するためにはWebアプリケーションのプログラムコードを修正する必要もあります。このような一連の対応は、今日からすぐに実施できるものではなく、体制を構築するために時間もコストもかかります。
そこで、まずはWAFを導入することで、プラットフォームやWebアプリケーションに対して広く実効性のある保護を速やかに適用し、その間にセキュリティ施策を継続的に実施する体制の構築や脆弱性診断、ソフトウェアの修正などを行うという方針が効果的です。
各セキュリティ施策の詳細
ここからは、弊社で提供している各セキュリティ対策サービスが一連の不正アクセス事案に対してどのように働くか、またより有効に機能させるためにはどういった点に注意すればいいかなどを解説します。弊社のセキュリティ対策サービスだけでなく、他社の同種のサービスを選定する際にもご参考頂ければと思います。
Web Application Firewall（WAF）
Webサーバーとクライアント間の通信を検査し攻撃と判断されるものだけを遮断するWAFの導入は、今回の不正アクセスへの防御に対しても大きな効果が期待できます。弊社Scutumでは、前述で参考として挙げた記事に掲載されているIPアドレスからの攻撃を多数検知し、Webサーバーに対する攻撃を遮断していることを確認しています。また、実際に情報漏えいを引き起こす攻撃に至るまでにもログインの試行や意図しないリソースの公開がないかを探るなど「攻撃可能な箇所が存在しないか」を探すことも含めて多数の試行を攻撃者は行っており、それらもWAFでの検知、遮断の対象となっています。脆弱性診断を実施し、更新プログラムの適用やソースコードの修正を行うといった本質的な対応に比べると、WAFの導入は即応性と防御効果の高い対策と言えます。
一方で、WAFを導入すれば今回の不正アクセスに対してそれだけでは以下のような懸念があるため、対応として十分ではないこともあり得ます。
- WAFは製品やサービスによって防御性能に大きく差がある
特にシグネチャだけに頼ったWAFでは攻撃側のリクエストをわずかに変更することでWAFをバイパスされることがあります。また、HTTPリクエストの一定サイズを超える範囲が検査対象とならない、一部のリクエストヘッダーしか検査対象とならないなど、様々な仕様上の制限が存在するWAFもあります。 - 誤検知対応のための除外設定により防御性能が低下する
正常な通信を誤って攻撃だと判断し遮断する誤検知が発生すると、WAFに対してその検知ルールやエンドポイントの防御を緩める除外設定を行う、攻撃を遮断せず検知のみのモードで利用するなど、防御性能を低下させる運用となることがあります。 - WAFでは止められない攻撃があり得る
WAFは個別の通信内容から攻撃か否かを判断する仕組みのため、認可制御の不備（権限外の機能やデータへのアクセス）のようにアプリケーションの仕様に起因する脆弱性に対する攻撃や、正規の利用者と見分けのつきにくいアクセスは、攻撃か否かの判別がつきにくい場合があります。
WAFの導入は即応性と防御効果の高い対策ですが、導入したWAFが実際にどこまでを守ることができるのかを確認するとともに、あくまでも緩和策のひとつとして、脆弱性診断で発見された問題を根本的に修正する取り組みと組み合わせての継続的な運用体制が臨まれます。
※参考情報：クラウド型WAF「Scutum（スキュータム）」の開発者・エンジニアによるブログでは、AIエージェントによるウェブサイトへの攻撃を観測し、注意喚起を公開しています。詳細については、以下の記事をご覧ください。
- Scutum技術ブログ 「AIエージェントによるウェブサイトへの攻撃の注意喚起」
脆弱性診断
一連の不正アクセスでは、攻撃者は攻撃対象となるWebサイトを個別に調査し、そのWebサイトごとの特性に合わせた攻撃を行っている様子が伝えられています。
そのため、Webサイトやそれに対応するスマホアプリ、それらの動作環境に対して脆弱性診断を実施することは、対策としてたいへん大きな意味を持ちます。
脆弱性診断にはいくつかの種類があり、代表的なものとしてはプラットフォーム診断、クラウド設定診断、Webアプリケーション診断、スマホアプリ診断などが挙げられます。これら各診断の役割を理解したうえで対象に合わせて適切な診断を選定し実施します。
プラットフォーム診断、クラウド設定診断
プラットフォーム診断は、サーバーで使われているソフトウェアに残存する脆弱性(CVE)やネットワーク設定の不備などを探すものです。また、動作環境がクラウドの場合には、クラウド環境固有の設定不備がないかを探すためにプラットフォーム診断に代わってクラウド設定診断を行います。
今回の一連の不正アクセス事案においても、設定不備や残存する脆弱性が狙われたものもあるため、動作環境に対するプラットフォーム診断やクラウド設定診断の実施を強く推奨します。また、時間経過とともに発見されたOSやミドルウェア、フレームワーク等の脆弱性に対するパッチ適用が漏れることも考えられるため、プラットフォーム診断は定期的に実施することが望ましいと言えます。
なお、AWSやAzureといったクラウドサービスを利用されている場合でも、AWS EC2やAzure VMなどのIaaSサービスに代表されるような、セキュリティ確保が利用者の責任範囲下にあるサービスについてはプラットフォーム診断の実施が有効です。これらは利用者によってインスタンス（仮想サーバー）の構築を行いますので、インスタンスに対する設定の不備や既知の脆弱性などの問題は利用者の責任となります。こうした問題点を見つけるために、プラットフォーム診断を実施します。
Webアプリケーション診断
今回の一連の不正アクセス事案では、各システム上の固有のアプリケーション部分すなわちWebアプリケーションに対しても脆弱性を調査、攻撃するという動きが見られます。そのため、プラットフォーム診断やクラウド診断と同様に、Webアプリケーション診断も実施することを強く推奨します。
特に、今回の一連の攻撃では管理用APIの呼び出しなど本来想定されている権限を超える操作を狙った試行(認可制御の不備)も確認されています。
Webアプリケーションの脆弱性診断では、一般的には重要な機能を抜粋し、それらの機能に対して重点的に疑似攻撃を行うことで脆弱性が存在しないかを確認しますが、このとき、たとえば管理者向けの画面など一般に広く利用されるものではない機能、APIなどは診断対象から除外されることもよくあります。また、管理者向けの機能に限らず一般ユーザーであっても権限によって実行できる機能がわかれている場合などに、診断事業者にはそのことが伝えられず、異なる権限での動作が許容され得るものなのかの確認が診断から漏れるといったこともあり得ます。今回の一連の攻撃では管理用の機能が狙われていることもありますので、過去に自社システムの脆弱性診断を行ったからといって安心するのではなく、管理画面や重要な機能が実際に脆弱性診断の対象となっていたかを再度確認することを推奨します。
とはいえ自社システムへの脆弱性診断において費用対効果を考えた場合に、すべての機能を診断するということは現実的ではなく、その一方で「何に対してどこまで診断を実施すべきか」の判断に迷うということも少なくありません。脆弱性診断サービスを提供するセキュリティ事業者の多くは、診断対象範囲の選定や絞り込みについてもご支援が可能です。現在の状況下においての効果的な診断のための対象範囲の選定に課題を感じる場合には、脆弱性診断を提供しているセキュリティ事業者に相談するといいでしょう。
スマホアプリ診断
スマホアプリはバックエンドのサーバー側に様々な機能を実装しWeb APIとして呼び出して利用するものが多くあります。このバックエンド側については前述のWebアプリケーションの脆弱性診断により問題点を洗い出しますが、サービスを安全に提供するためにはスマホアプリについても安全な実装であることを確認する必要があります。
一般的なスマホアプリはアプリストアを通じて公開されユーザーの端末上で動作するため、攻撃者がアプリ自体を入手してアプリ内部を調べることができます。アプリの設定ファイル、端末内に保存されるデータ、動作ログ、アプリ内に保持されている通信先の一覧、サーバーとの実際の通信内容などは、いずれも攻撃の糸口として解析対象になります。アプリ内に認証情報、APIキーなどがハードコードされている場合があり、それが攻撃者によって取得されるとバックエンドのシステムへの不正アクセスへとつながる可能性があります。
スマホアプリ診断では、アプリの解析を経て設定不備や設計不備などを洗い出し、このような情報漏えいや不正アクセスにつながる挙動や実装がないかを確認するものです。
今回の一連の不正アクセス事案では、実際にスマホアプリを解析し管理用APIのアクセス先(エンドポイント)やAPIキーを特定しバックエンド側の不正アクセスが行われたという動きも見られています。そのため、バックエンドに対するWebアプリケーション診断に加えて、スマホアプリについても脆弱性診断を実施することを推奨します。
External Attack Surface Management（EASM）
攻撃者は攻撃に先立って、ドメインやサブドメイン、公開されているサーバーやポート、稼働しているソフトウェアとそのバージョンなど、インターネット上から見える組織の資産を調べることが一般的です。 そのうえで、それぞれの資産に存在する既知の脆弱性の悪用、Webサイトを巡回してのWebアプリケーション固有の脆弱性の探索、管理画面やログイン画面へのパスワードの総当たりなど、見つけた資産に応じてさまざまな攻撃を試みます。EASM（External Attack Surface Management）は、こうした攻撃者と同じ視点で組織の外部公開資産を洗い出し、攻撃の入口となりうる状態にないかを把握するための取り組みです。
EASMの役割の一つは、組織が把握できていない資産を見つけることです。過去のキャンペーンサイトや検証用に立てたまま放置されているサーバー、部門や子会社が独自に構築したWebサイトなどは、管理台帳への登録や脆弱性診断の対象から漏れがちです。堅牢化や脆弱性診断は認識している資産に対してしか行えないため、資産の全体像を把握することがすべての対策の前提になります。
もう一つは、見つけた資産に攻撃の入口となりうる脆弱性やリスクがないかを確認することです。既知の脆弱性を抱えたソフトウェアだけでなく、管理画面やログイン画面が誰でもアクセスできる状態になっている、不要なポートが開いている、サポートが終了したソフトウェアが動き続けているといった状態も攻撃の格好の標的になります。こうした状態を早期に把握して対処することで、攻撃者に与える手がかりを減らすことができます。
外部公開資産はサイトの新規公開や構成変更によって日々変化するため、一度きりの棚卸しで終わらせず、継続的に監視して変化に気付ける仕組みを持つことが重要です。なお、EASMやASMと呼ばれるサービスでもセキュリティベンダーによって備えている機能の範囲はさまざまです。自社が何を把握したいのか、見つかった問題に誰がどう対応するのかを整理したうえで、未把握の資産までどの程度発見できるか、変化を継続的に追跡できるか、対応の優先度が判断しやすい形で問題が示されるか、といった点を確認して選ぶとよいでしょう。
一方で、EASMは主に外部から見える範囲の情報をもとに脆弱性やリスクを把握するものです。製品によってはWebアプリケーションに対する自動診断の機能を備えるものもありますが、認可制御の不備のように、アプリケーションの仕様や権限の理解が必要な脆弱性は、自動診断では見つけにくいのが実情です。 こうした脆弱性はWebアプリケーション診断で確認することが望ましく、EASMで把握した資産の全体像は、どのシステムを優先して診断すべきかを判断する材料にもなります。
アタックサーフェス調査(ASA)
継続的な監視の仕組みをすぐに整えるのが難しい場合や、まずは現時点の状況を把握したい場合には、専門家による調査型のサービスを利用する方法もあります。弊社のアタックサーフェス調査(ASA)は、インターネット上の公開情報をもとにお客様の組織に関連する外部公開資産を洗い出し、攻撃の足がかりとなりうる脆弱性やリスクを報告するサービスです。あわせて、ダークウェブ上で組織に関連する情報が流通していないかも確認します。調査は公開情報の収集を中心に行うため、稼働中のシステムに影響を与えることなく実施できます。
Webセキュリティアドバイザリー
Webサイトへのセキュリティ対策は一過性のものではなく運用を含めて継続的に行う必要があります。そのような中では、自社のWebサイトに対するセキュリティ対策が有効なものなのか、いま発生している攻撃が自社にどのような影響があるのかなど、疑問や課題を感じることも少なくありません。
弊社の提供するWebセキュリティアドバイザリーは、お客様と定期的なミーティングの実施を通じて、Webサイト運営に関して生じるお客様の疑問や課題、相談に応じるサービスです。自社のWebサイトへのセキュリティ対策といっても何から手を付ければいいかわからない、自社の状況に応じた効果のあるセキュリティ施策なのか確認したいなど、様々な相談に応じてアドバイスを差し上げます。
まとめ
現在発生しているWebサイトに対する一連の不正アクセスは、これまでの多くの攻撃とは異なり、金銭的な情報を持っていないWebサイトに対してもそれぞれのWebアプリケーション固有の脆弱性を探し出し、実際にそれを攻撃することで大量の情報漏えいを発生させるという、従来には見られない傾向となっています。こうした攻撃に備えるためには、まずは今の時点で被害が発生していないことを確認した上で、早急にWebサイトの堅牢化を行うことが求められます。そのためには、WAFによる防御に加え、脆弱性診断の実施と発見された脆弱性の解消、攻撃対象となり得る資産の把握、アクセスログの監視など多層的な防御が有効です。
本記事がみなさまのWebサイトのセキュリティ向上の一助になれば幸いです。
臨時ウェビナー開催のお知らせ
本稿で解説した内容をより深く理解し、自社のWebサイトの状況把握や、被害の防止・拡大防止に向けた具体的な行動につなげていただくため、臨時ウェビナーを開催します。
| タイトル | 今すぐ始めるWebサイトのセキュリティ対策 自社の状況を把握し、必要な対策を検討するために |
| 開催日時 | 【ライブ配信】2026年10月19日（月）12:00～13:00 【アーカイブ配信】2026年10月20日（火）以降より配信 |
| 開催形式 | オンライン（参加費無料） |
| 対象者 | ・相次ぐ情報漏えいを受け、自社のWebサイトへの影響が気になっている方 ・自社のWebサイトで被害の有無を確認する方法を知りたい方 ・不審な兆候を見つけた際に、何から対応すべきかを知りたい方 ・WebサイトやWebアプリケーションのセキュリティ対策を見直したい方 |
| 主な内容 | 自社のWebサイトにおける被害の有無を確認する方法と、確認後に取り組むべきセキュリティ対策を解説、自社での対応と専門家相談の切り分けなど |
| お申込み | https://www.securesky-tech.com/contact/webinar-202610/ |
- SNSでシェア
