セキュリティ対策のお願い

目次

情報漏えい対策

昨今、サーバーへの攻撃（クロス・サイト・スクリプティングやSQLインジェクションなど）により情報が漏えいしてしまう被害がニュースなどでも報道されています。ひとたびインターネット上に情報が漏えいすると、その情報を削除することも、社会的な信用を取り戻すことも困難となります。

こうした被害はサーバー側のセキュリティ対策だけでは防ぐことができません。お客様ご自身による対応も必要となります。
お客様ご自身で次の対策を必ず実施いただきますようお願いいたします。

1.Webアプリケーションのセキュリティ対策

PerlやPHPなどで動作するWebアプリケーションを利用している場合、Webアプリケーションの脆弱性を狙った攻撃を受けると、データの改ざん、情報漏えい、といった被害や、サーバーが乗っ取られることによりフィッシング詐欺や他サーバへの攻撃などに悪用されてしまうおそれがあります。
こうした被害を防ぐために、脆弱性情報を開発元に確認し、常に最新のバージョンにアップデートしてください。
また、不要になったWebアプリケーションは、サーバーに残したままにせずに削除してください。

■参考LINK 脆弱性対策情報データベース（JPCERT/CC and IPA）
http://jvndb.jvn.jp/

2.ファイル・ディレクトリの保護

個人情報などが含まれる重要なファイルをブラウザからURLを指定してアクセスできる場所に保存すると、第三者に閲覧されてしまうおそれがあります。
重要なファイルをサーバー内に保存する場合は、public_html 配下のディレクトリに保存しないようにしてください。
何らかの制約があって、public_html 配下に重要なファイルを保存する場合は、ブラウザから閲覧できないように、.htaccess でアクセス制限をしてください。
.htaccess の利用 > 重要なデータファイルへのブラウザからのアクセスを拒否する

旧共用サーバー（スタンダードプラン・Bプラン）で PHP（Apacheモジュール版）をご利用の場合、httpd 権限で動作するため、ファイル・ディレクトリの所有権やパーミッションの設定に一部制約があります。そのため、セキュリティを完全に守ることができません。重要なデータを取り扱う場合には、 PHP（CGI版）での利用、または専用サーバーでの利用を強くお勧めします。

PHPの利用 > Apacheモジュール版 と CGI版

3.SSLを利用する

通常、インターネット上の情報は暗号化されずに通信されています。そのため、通信途中でデータを傍受されると、情報が第三者に漏れてしまう可能性があります。
SSLを利用すると、サーバとクライアント間の通信が暗号化され、情報漏えいを防ぐことができます。

KAGOYA Internet Routing では、次のSSL暗号化通信をご利用いただけます。

サーバーの種類 プロトコル 暗号化する内容 利用料金
Webサーバー
HTTPS
（HTTP over SSL）
 ブラウザとウェブサーバー間の通信内容 SSL証明書の取得費用（他社取得のSSL証明書の持ち込みの場合は設定費用）が必要です。
料金表
FTPS
（FTP over SSL）
 FTPソフトとウェブサーバー間の通信内容
無料
メールサーバー
POP3S
（POP3 over SSL）
 メールソフトと受信メールサーバー間の通信内容
無料
SMTPS
（SMTP STARTTLS）
 メールソフトと送信メールサーバー間の通信内容
無料
IMAPS
（IMAP over SSL）
 メールソフトと受信メールサーバー間の通信内容
無料

4.IPS を利用する

IPS（不正侵入検知・防御機能）は、不正侵入や、未知の攻撃、またはサーバーに仕掛けられた悪意のあるプログラム（トロイの木馬など）が発する情報などを自動検知し、サーバーを防御します。
KAGOYA Internet Routing では、共用サーバー全プランで「IPS」を標準装備しています。
専用サーバープランでは、「IPS」に「IPS月次レポート」や「HIGHイベント通底（お客様の対応が必要な不正侵入や攻撃を検知した場合に緊急通報するサービス）」を加えた有料オプションとして「IPS(月次レポート付)」をご提供していますので、ご利用をご検討ください。
IPS(月次レポート付)について

コントロールパネル：◇コントロールパネル > システム > Webサイト > IPS

5.WAF を利用する

WAF (Web Application Firewall) は、WEBアプリケーションの脆弱性を悪用した攻撃などを防御することができるファイアウォールです。従来の IPS では防御できなかった攻撃を検知し、ブロックします。
ECサイトやCMSなど、動的なページを生成するWEBサイトのセキュリティ対策として有効です。
ご利用をご検討ください。

WAF の設定

目次