 |
| 弊社サーバー簡易構成図 |
今はホームページなどを作成できる個人事業主や会社が乱立し、その弊害としてセキュリティ対策が不十分なWebサイトが多数存在します。
特にホームページを簡単に制作できるWordpressは、Wordpress自体がセキュリティが高くないので、度々標的にされニュースになっています。
セキュリティと負荷対策を混ぜた話となってしまいますが、負荷対策も実はセキュリティと関係しています。
サーバーに負荷をかけ、エラーを吐かせて攻撃する手法も存在するからです。
以下から主なセキュリティ対策と負荷対策、今後のWebの進化など、現時点でまとめたものを、なるべく誰にでもわかりやすく書きました。
不明な点があったり、調べてほしい！などありましたら、お気軽にお問い合わせください。
また、弊社では、クラウドサーバー構築からホームページの制作・管理までお請けする事ができます。
是非弊社にお任せ頂ければ幸いです。
１．HTTPS
ホームページとの通信を暗号化し、その通信の過程で情報を傍受、もしくは書き換えできないようにする技術です。
http:// で始まるアドレスは暗号化されていませんので、途中で書き換え、入れ替え、傍受など、やり放題です。
暗号化されている通信は、https:// のみです。
https:// のみアクセスするようにする事で、安全性が保たれますし、企業のホームページに至っては、信用を担保できます。
ブラウザ最大のシェアを誇るGoogleChromeでは、バージョン94より、
「HTTPにアクセスする際は警告する」オプションが追加されています。
現在はデフォルトではOFFですが、これがデフォルトでONになる予定です。
Chromeだけでなく、他のブラウザでもデフォルトでHTTPを警告するようになっていく流れは一緒です。
※恐らく最終的には有害サイト同等の評価となると思います。現に、Google検索ではhttpの評価ランクは下げられています。
現在HTTPで作成されているものは、常時HTTPSへの対応が必要になります。
余談：2021年2月の段階では、Googleなどを含む利用率の高い上位1000サイト中のHTTPS普及率は91%となっていて、HTTPを利用したWebサイトはもはや時代遅れです。
調査対象のWeb全体としては69.6%と低くなっている事から、セキュリティ意識の低い制作者の多さがうかがえます。
２．SSL/TLS
 |
| 常時HTTPS通信を行ってるサイトでも、安全とされているのは僅か52.1% |
HTTPSのような暗号化通信をSSL/TLSと言います。
HTTPS時の暗号化で推奨されているのがTLS1.2以上（最新1.3）です。
他にSSL1～3、TLS1.0～1.1がありますが、いずれも脆弱性が見つかっているため、使用してはいけません。
ですので、HTTPSだから安全というわけではなく、HTTPS/TLS1.2以上 が、現在のセキュアな通信であり、それ以外ではセキュリティは担保されませんのでご注意ください。
弊社サーバーで管理しているWebサイトはすべて HTTPS/TLS1.2以上 になっていますのでご安心ください。
余談：常時HTTPS通信を行ってるアクセストップ15万サイトの統計でも、2022年1月5日時点では安全とされているのは僅か52.1%にとどまります。ようするに、常時HTTPS通信を行っているサイトでも半分はあまり意味を成していない事になります。
３．DNSSEC
HTTPSアクセスも重要ですが、DNSSECも重要になってきます。
DNSSECとは、ドメインサーバーから送られて来るIPアドレスが正しいかどうか検証できる仕組みです。
HTTPSアクセスは、Webサーバー間の通信の安全性のみですので、IPアドレスが偽造されると、その通信するサーバー自体が入れ替わる可能性があります。
そうした問題を解決するのがDNSSECです。
弊社で管理しているWebサイトはすべて DNSSEC に対応しております。
余談：.jpドメインのDNSSEC普及率は2022年4月1日時点で、22.17%にとどまっています。日本のDNSSECに対する意識、認識の低さが表れています。
４．VPC
VPCとは、インターネットに直接接続しない空間の事を指します。
弊社では、インターネットに直接接続しているのは、ロードバランサー、ストレージサーバー、メールサーバーのみで、内部のデータベースや、Webサーバーは直接インターネットに接続されていない為、セキュリティが高い状態と言えます。
５．オートスケーリング
オートスケーリングとは、Webサーバーなどに多くの負荷がかかった時に、自動的に別サーバーを立ち上げて負荷を分散し、正常性を担保する技術の事です。（ストレージ容量の事も指します）
以前はロードバランサーがそのような仕事をしていました。
※ロードバランサーとは、ロードバランサーの下にいくつものWebサーバーを用意して、負荷を分散させるものです。しかし、ロードバランサー自体が高負荷になった時や、用意しているサーバー以上の負荷に耐える事ができませんでした。
現在はクラウドサーバーが発達し、ロードバランサー自体のオートスケーリングだけでなく、Webサーバー、データベースなどのオートスケーリングが可能となっています。
また、オートスケールは、負荷だけなく、ストレージ容量の事もさします。
ストレージ容量もオートスケールすることにより、容量オーバーにならずに運用する事が可能です。
弊社ではどのレイヤーでもオートスケールするように設定されていますので、高負荷・大容量による状態に耐える事ができる環境を構築しています。
６．FTPは使ってはいけない SSHを使おう
ホームページのWebサーバーに、ホームページのデータをアップする際に使う通信にFTPというものがあります。
FTPは、HTTP同様、暗号化されていませんので、簡単に傍受できます。
通信を傍受されるということは、FTPパスワードなどを抜かれる可能性があるという事です。
FTPのIDとパスワードがわかれば、ホームページは書き換え放題です。
ですが、未だにFTPを使っているところが多数存在します。
非常に危険ですので今すぐ止めましょう。
通常は通信が暗号化される、SSHというものを利用します。
弊社ではFTPのポート自体開けておらず、すべてSSH通信で運用しておりますのでご安心ください。
７．バージョンは最新にしよう
OS、ブラウザ、Webサーバー、データベース、フレームワーク、プログラム、などなど、すべてのシステムにはバージョンというものがあります。
バージョンを常に最新に保つ事で、セキュリティ対策になります。
メジャーバージョンアップ時は、現在のシステムと整合性がとれているか検証する必要があり、慎重にならなければなりませんが、できるならした方が良いというのには変わりありません。
※メジャーバージョンアップとは、Windowsでいうと、Windows10からWindows11にアップデート（アップグレード）するなど大きな変更がある時にするバージョンアップの事を指します。
なぜかというと、最新のバージョンではなくなってしまった物（型落ち品）は、セキュリティ的にサポートされる年月に限りがあるからです。
その日付以降はセキュリティが担保されませんので、危険と言う事になります。
これはWindowsだけの話ではなく、すべてのシステムで言える事ですので、システムを使っている以上、常にバージョンを最新に保つ作業が必要になります。
８．簡単セルフチェック
- Webサーバーヘッダー情報が適切かチェック
Security Headers https://securityheaders.com/
上記サイトにアクセスし、チェックしたいサイトのURLを入力すると結果が出ます。
 |
| 最高ランクはA＋ A以上で合格なので、B以下はセキュアではありません。 |
2022年4月8日現在の鹿角市のホームページはFランク（最低ランク）
- Webサーバーとの通信がセキュアかチェック
SSL Labs / SSL Server Test https://www.ssllabs.com/ssltest/
上記サイトにアクセスし、チェックしたいサイトのURLを入力すると結果が出ます。
(チェック履歴がなかったり、最終チェック日時から時間が経っていると、チェックに数分かかります)
 |
| 弊社サーバーは１サイトに対して複数あるので、このドメインでは４台のチェックが行われています。 最高ランクはA＋ A－以上で合格なので、B以下はセキュアではありません。 |
2022年4月8日現在の鹿角市のホームページはBランク
- DNSSECが実装されているかチェック
DNSViz https://dnsviz.net/
上記サイトにアクセスし、チェックしたいサイトのURLを入力すると結果が出ます。
 |
| 全ての線が、DNSKEYとDSで末端まで繋がっていれば、 DNSSECに対応している事になります。 |
2022年4月8日現在の鹿角市のホームページは未対応
９．最後に
実際には問題はもっと多く、システム管理者としてやらなければならない事は多岐にわたります。
今回は、「利用者側に関係のある重大なところ」のみに触れましたので、技術者からすると「それは仕方ない」「それはちょっと違うんじゃない？」という声が聞こえてきそうですが、今回は技術者向けではなく「なるべく多くの人に分かりやすく」を前提に書いていますので、細かいところまでは触れていません。
一番最初に載せている画像の図は、弊社のサーバー構成を簡単な図にしたものです。
厳密に描くと違う部分もございますが、だいたいこんなものだという感覚的になるべくわかりやすくした図になります。
セキュリティをしっかりしていないと、会社の信用を失ったり、ウイルスの踏み台にされたりと、大変な事になりかねません。
是非、自社のセキュリティを今一度ご確認してみてはいかがでしょうか。
※PAT_blogは、Googleのシステム（blogger）により作成・管理されていますので、弊社Webサーバーで管理しているものではございません。
コメント
コメントを投稿