インフラエンジニアのVPS徹底比較

セキュリティ対策としてのセキュリティ(脆弱性)診断

セキュリティ対策として、いくつかの対策がありますが一番効果的なことはやはり脆弱性箇所をなくすことです。
そのために脆弱性診断が必須ではありますが、ひとことでセキュリティ(脆弱性)診断には大きく分けて２種類あります。


脆弱性診断には、【OS、ネットワークOSレベルの脆弱性診断】と【APレベルの脆弱性診断】です。
■OS、ネットワークOSレベルの脆弱性診断
　OSレベル、ミドルウェアレベルの脆弱性診断を行うため、インフラ担当者としては最低限クリアすべきです。
　対処方法としては、

　１．余分な情報(バナー)を出さない。
　２．不要なサービスを停止する。
　３．設定ミスをなくす。
　４．パッチ適用する

　などAPレベルの対処方法と比べると比較的定常化されており簡単です。

　 ■APレベルの脆弱診断
　APレベルの脆弱性診断は、サイトごとに異なる脆弱性を診断するため高度で手間がかかります。
　一般的な下記の攻撃があります。

　１．認証
　２．承認
　３．クライアント側での攻撃
　４．コマンド実行
　５．情報公開
　６．ロジックを狙った攻撃

■脆弱性のないネットワークワークとアプリを作るために参考になる書籍

体系的に学ぶ 安全なWebアプリケーションの作り方　脆弱性が生まれる原理と対策の実践 著者：徳丸 浩 出版日：2011-03-03 出版社：ソフトバンククリエイティブ

Nessus入門(ネットワーク脆弱性試験ツール活用術) 著者：広口 正之 出版日：2012-06-08 出版社：リックテレコム

NTT東日本のWEBセキュリティ診断

NTT東日本のWEBセキュリティ診断は、ホームページに潜む「脆弱性」や「改ざん」をお客さまに代わって定期的に診断するASPです。

■「NTT東日本のWEBセキュリティ診断」の概要
近年、企業や各種団体・組織のホームページに対するサイバー攻撃が増えており 個人情報の抜き取りやなりすましによる不正ショッピング等の被害が拡大しています。

NTT東日本のWEBセキュリティ診断では、企業や各種団体・組織さまに対して、公開しているホームページに 不正なプログラムやURLが埋め込まれていないか診断を簡単な手続きで行うことができるサービスです。
NTT東日本のWEBセキュリティ診断サービスは多くのお客さまに安心してホームページを提供して頂きたいと言う願いから、5,000円（税別）/月～と 診断サービスとしては非常に安価な料金でご提供しております。

■NTT東日本のWEBセキュイリティ診断内容

診断名	サブ診断	内容	診断範囲	実施回数>
脆弱性診断	SQL インジェクション	想定していないSQLをWebアプリケーションに実行させることによりデータベースを不正に操作されてしまう脆弱性の有無について診断	最大100 パラメータ	1回/月
	クロスサイト スクリプティング	攻撃者が作成した悪意のあるスクリプトをWebアプリケーションを介してWeb閲覧者のブラウザ上で実行されてしまう脆弱性の有無について診断
	ディレクトリ インデックス	対象ディレクトリに含まれるファイルの一覧を表示してしまい公開を意図していないファイルの閲覧・実行を許可してしまう脆弱性の有無について診断
改ざん検出	Webサイトにおける悪意のあるリンク埋め込みの有無について診断を行います		最大100 ページ	1回/日

NTT東日本「Webセキュリティ診断」