セキュリティの落とし穴にご用心！
ソフトウェア開発が終盤に差し掛かってくると、なんだかんだ「できた！リリースだ！」と気が緩みがち。でも、そのちょっとした油断の隙をついてくるのが、セキュリティの落とし穴です。
今回は、そんな穴に落っこちないために必要な3つのポイント
「脆弱性診断」「WAFの導入」「使用言語のアップデート」について、ちょっぴり柔らかくお話しします。
脆弱性診断 〜 暴かれる前に暴いておけ！
そもそも脆弱性診断とは何をするものか？
一言でいえば、システムに潜む“ウィークポイント”を、悪いヤツ（攻撃者）に見つけられる前に、先回りして見つけておこうというものです。
もしもあなたのシステムが、
・ 個人情報
・クレジットカード情報
・社内の極秘情報
などを抱えていたら？
脆弱性を放置すれば、それらが漏れ出し、システムが止まり、対応コストが青天井……なんて惨劇が起こりかねません。
そこで脆弱性診断では「共通脆弱性評価システム」なるものを使って、発見した問題点をカテゴリ分けし、どれだけ危険かを判定します。
要するに「ここがヤバいです！」というリストを作ってくれるわけです。
脆弱性診断がなぜ必要か？
「うちのシステムに限って大丈夫」ーーそんな慢心こそが最大の敵！
攻撃者は24時間365日、あなたのシステムを物陰からじっと観察してます。
脆弱性を先に見つけるのは、開発者か、攻撃者か。
この差が、安心してコーヒーを飲めるか、深夜に謝罪会見を開くかの分かれ道です。
診断は大きく分けて2種類。
1つはアプリケーション診断（我々が得意なのはこちら）、もう1つはプラットフォーム診断。
例えば私たちが行うアプリケーション診断では、
ECサイト、SNS、ゲームアプリなど、Web上で動くものならなんでも対象です。
よく耳にする「SQLインジェクション」や「クロスサイトスクリプティング」などの古典的な攻撃はもちろん、認証の抜け穴や想定外の環境依存の弱点まで、徹底的に炙り出します。
診断が終われば「危険度：高・中・低」と結果がわかり、エンジニアはすぐに修正に取りかかれます。
大事なのは「わかった時点で即対応」！
小さな穴が大きな漏れになる前に塞ぎましょう。
WAF～まずは玄関の戸締りを。それが、Web防御の第一歩。
「じゃあ診断で全部防げるの？」
……残念ながら、そうもいかないのが現実です。
ここで登場するのがWAF（Web Application Firewall）。
いわばWebアプリケーションを外側から守る“番犬”みたいな存在です。
ネットショッピングやオンラインバンキングなど、大事な顧客データを扱うサービスには、この番犬を入り口に配置しておくのが今や常識。
WAFはアプリの中に組み込むものではなく、ネットワークの玄関で
「おや、怪しいヤツ来たぞ？ 入れない！」とブロックしてくれます。
ただし便利な分、サーバーとは別に導入コストはかかります。
最近はクラウド型でサービス提供元がメンテナンスを行ってくれるため運用コストが軽減され、コスパよく導入できるものも多いので、「まだWAF入れてないんです…」なんて方はぜひご相談を。
使用言語はアップデートしてこそ
最後にもう一つ、見落としがちなのが
「プログラミング言語やライブラリ、サーバーOSのバージョンアップ」。
「問題なく動いてるから古いままでいいや」は、実はとっても危険！
古いバージョンを使い続けるということは、「ここに穴がありますよ」と世界中に看板を立てているようなものです。多くの言語やライブラリには公式のサポート期間があり、この期間を過ぎると脆弱性が見つかっても修正されません。
さらに新しいバージョンでは、処理速度の向上や便利機能の追加が当たり前。
つまりセキュリティだけでなく、快適な動作にも直結するんです。
まとめ：転ばぬ先のセキュリティ
「うちは大丈夫！」と胸を張れる人ほど要注意。セキュリティに絶対はありません。
・脆弱性診断で穴を見つける
・WAFで外からの攻撃を防ぐ
・使用言語をアップデートして地盤を固める
この3つを怠らなければ、あなたのシステムはぐっと強くなります。
今回は入門編的にセキュリティのお話しをさせていただきましたが、グッドビーではセキュリティ対策に精通した専門家が多く活躍しています。
セキュリティ対策にお困りの方や、万全なセキュリティ対策を施したシステム開発をお考えの際はぜひ、ご相談ください！
明日を安心して迎えるために、今日の一歩をお忘れなく！！！
この記事をシェアする
この記事を書いた人
前の記事
CONTACT