Webサイトを狙う脅威は多様化し、年々、巧妙化しています。
特に、企業サイトにおいては、個人情報や機密情報の漏洩など、組織としての責任問題や損失ににもつながるため、万全の対策が求めらています。
本コラムでは、Webサイトのセキュリティ対策にどのようなものがあるか、具体的に学んでいただけるように、
フロントエンド・CMS・インフラの観点から詳しく解説します。企業サイトの運営ご担当者様など、ぜひ参考にご覧ください！
目次
Webサイトのセキュリティを保つために重要な3つの要素
セキュリティ対策がされていないWebサイトは個人情報の漏洩・データの改ざん・サーバー攻撃などのリスクを抱えることとなります。それらを防ぐためにセキュリティ対策をする必要があり、それを保つためには、以下の３つの要素を抑える必要があります。
 |  |  |
機密性
機密情報が不正にアクセスされ、企業の知的財産・財務情報などの機密情報漏洩や、顧客・取引先の重要なデータが流出し、悪用されるなどのリスクからWebサイトが保護されているか
安全性
データの不正に改ざんによる、意図しないメッセージ、画像等の表示や、マルウェア(悪意のあるソフトウェア)による、データの破壊、顧客情報の流出などを防げているか
可用性
DDos攻撃などの、悪意のある意図的な攻撃により、Webサイトがダウンし、ユーザがサービスを受けられなくなるリスクを未然に防ぎ、利用者に安全な閲覧環境を提供できているか
以上が、押さえておくべきセキュリティの3要素です。
実情として、企業サイトのセキュリティ対策が適切か否かを確認するには、高度な専門知識が必要になりますが、最新の脅威に対応できているか社内でもポイントを抑え、定期的に確認することをおすすめします。
次項では、インフラ・フロントエンド・CMSと、Webサイトに関わる3つの領域から、セキュリティ対応の基本的なチェック項目例をご紹介します。
フロントエンド観点のセキュリティ対策
まずは、フロントエンド観点でチェックするべきセキュリティ対策の一例です。
基本的にWebサイト/Webアプリケーションのセキュリティ対策は、バックエンドやインフラの領域だと認知されていますが、実際は以下のように、フロントエンドでもいくつかのセキュリティ対策を対応する必要があります。
フロントエンドで対応できる主な対策
- XSSの対策
- ライブラリのバージョン管理（脆弱性）
- なりすまし等の対策等
特にXSSの対策は、「Webサイトの改ざん」「セッション乗っ取り」「情報窃取」「悪意のあるサイトへのリダイレクト」などにつながるので高い優先度で対応しておきたい項目です。
また、セキュリティをチェックするにあたって、大きく分けて6つの項目をチェックする必要があります。
- 外部JavaScriptやCSSは信頼できるサイトから読み込んでいるか
JQueryやSlickなどの一般的に使われているライブラリなどが望ましいです。 - ライブラリは脆弱性があるバージョンを利用をしていないか
最新バージョンに問題がないか調査した上で、バージョンアップなどを行います。 - コンソールに不要なconsole.logを出力していないか
表示してはいけない情報は、表示しないような仕組みを考慮し設計をします。実装後も表示確認をします。 - URLパラメータに機密情報を含んでいないか
urlパラメータを扱う処理をする際は、こちらで設計した機密情報とは関係ない変数や値を用いて実装します。 - HTMLに適切なDOCTYPE宣言が記載されているか
DOCTYPE宣言は最新のHTMLのバージョンに合わせたものにします。 - 特殊記号を扱う際に安全な文字にエスケープしているか
パラメータやAPIの出力などにおいて、特殊記号がスクリプトとして認識されることは避けたいです。（XSSを防ぐため）として認識されることを避けたいです。 データに含まれているもしくは、入力された特殊記号は基本エスケープして使うこととします。
一例となりますが、フロントエンド観点でチェックする必要がある項目は以上です。
CMS観点のセキュリティ対策
CMS観点でのセキュリティ対策は、近年のWebセキュリティ対策の一環として見過ごせない重要な要素となっています。
企業や組織が持つ情報資産やデータがサイバー攻撃の標的となるケースが増えている中、CMSの適切な管理と更新、セキュリティ強化は欠かせません。
以下は、CMSの安全性を保つためにチェックしておくべき項目です。
- 自社のセキュリティ要件に合ったCMSを導入しているか
導入するCMSが企業のセキュリティ基準を満たしていることは、リスク軽減のための第一歩です。
特に、企業特有のデータ保護規則や情報漏えい防止対策に対応できるかを検討します。 - CMSが最新のバージョンに更新されているか
新たな脆弱性への対策として定期的にCMSをバージョンアップしていくことが重要です。
古いバージョンのCMSを使い続けると、既知の脆弱性を悪用されるリスクが高まります。更新は手間ではありますが、セキュリティの観点からは不可欠です。自動更新機能の設定や更新通知の確認を習慣化すると良いでしょう。 - プラグインやテーマが最新の状態に保たれているか
CMSに導入するプラグインやテーマも、CMS本体と同様に脆弱性の対象となるため、最新バージョンに保つことが重要です。
未更新のプラグインやテーマが原因でサイト全体が危険にさらされることも少なくありません。特にサードパーティ製のプラグインは、不具合が発生した際に提供元からのサポートが受けられるかどうかも含めて、慎重に選ぶべきです。 - 管理画面の利用権限を制限やパスワードを強化しているか
CMSの管理画面は不正アクセスを防ぐためのセキュリティ強化が必要です。
アクセス権限の管理や推測されずらいパスワード設定、2要素認証の導入などで、管理画面への不正アクセスのリスクを減らしましょう。特に複数の管理者がいる場合、役割に応じて適切にアクセス権限を設定することが求められます。 - 不正なリクエストを防ぐための適切な検証が行われているか
SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を防ぐために、フォームやAPIのリクエストはサーバー側での検証を行う必要があります。これにより、悪意を持ったユーザーによる不正な入力やスクリプトがサイトに影響を与えるリスクを軽減できます。
特にユーザーからの入力を扱う部分では、ホワイトリスト方式の導入やエスケープ処理の徹底が推奨されます。
これらの項目を定期的に見直し、必要に応じて更新や対策の強化を行うことが、セキュリティの強化につながります。
インフラ観点のセキュリティ対策
サーバーやネットワークが直接的な攻撃を受ける可能性が高いことから、インフラレベルでも堅固な防御対策が求められます。
以下は、インフラ担当者が必ず押さえておくべきセキュリティチェック項目です。
- DDoS対策を含めたサイバー攻撃への対策が行なわれているか（ファイヤーウォール設定、WAF導入等）
DDoS攻撃は、サーバーやネットワークに過負荷をかけてシステムを停止させる攻撃手法の一つで、近年ますます巧妙化しています。
これを防ぐためには、ファイアウォールで不正アクセスを制限するだけでなく、Webアプリケーションファイアウォール（WAF）を導入し、アプリケーション層への攻撃も防ぐ体制が必要です。また、DDoS対策サービスを提供するCDNの活用も効果的です。 - OSやソフトウェアが最新の状態か
OSやミドルウェア、各種ソフトウェアが最新のバージョンに保たれているかどうかもインフラのセキュリティに直結します。
脆弱性が発見されている古いバージョンを使い続けると、それが攻撃の入口になる可能性が高まります。定期的な更新スケジュールを策定し、リスクのあるシステムは可能な限り迅速にアップデートする体制を整えることが大切です。 - 不正アクセスや攻撃を検知、遮断するシステムを導入しているか
不正なアクセスをリアルタイムで検知し、遮断できる侵入検知システム（IDS）や侵入防止システム（IPS）の導入は、インフラセキュリティの基本です。
これらのシステムにより、異常なトラフィックや未知の攻撃パターンを即座に検知して対策を取ることができます。 - ログ監視・管理ツールを導入しているか、適切にモニタリングできているか
サーバーやネットワークのログを常に監視することは、セキュリティインシデントを未然に防ぐための基本です。
ログ監視ツールを導入することで、異常なアクセスや不正な行動をいち早く察知できるようにします。また、監視データは適切に管理し、重要なインシデントの発生時に迅速に対応できる体制を整えることも重要です。データ保管期間や可視化ダッシュボードの整備も効果的です。 - マルウェア（ウイルス等）対策ソフトを導入しているか、定期的にスキャンできているか
マルウェア感染は、内部システムに深刻な被害を及ぼすため、対策ソフトの導入と定期的なスキャンが必須です。
最新のウイルス定義ファイルを維持し、自動スキャンの設定を行うと同時に、マルウェアに感染した場合の対応マニュアルも整備しておくと、迅速な復旧が可能です。加えて、サーバーだけでなくクライアントPCへのマルウェア対策も徹底することで、企業全体の安全性をさらに高められます。
これらのチェックリストを基に、インフラ全体の強固なセキュリティ体制を築くことで、外部からの攻撃や内部の脅威から企業を守る環境が整います。
サイトのセキュリティ対策についてのご不安はご気軽にご相談ください。
いかがでしたでしょうか？ サイトのセキュリティ対策は、重要な情報を守るためにに必要不可欠です。
マイクロウェーブクリエイティブでは、お客様のWebサイトのセキュリティーをあらゆる観点から見直し改善します。
サイトのセキュリティに問題がないか心配な場合や、セキュリティをより強固なものにしたい場合はぜひお気軽にご相談ください！
この記事の著者
マイクロウェーブクリエイティブ バックエンドグループ
CMS、Webアプリケーション、開発・プログラミングに関する情報などエンジニア目線で深く切り込んだ情報を発信します。
