この度、クラウドブリック（Cloudbric） は、パートナー様の管理性および利便性の向上のため、パートナ様専用管理ページにて「自動メール送信機能」を追加させて頂きました。つきましては、Webセミナーならびに資料を以て本機能を説明させて頂きますので、開催日程をご確認の上、ご参加をお申し込み下さい。
テーマ
パートナ様専用管理ページにて追加された新規機能の説明：自動メール送信機能
場所：オンライン
※Zoomウェビナーにてライブ配信で行われます。
参加料：無料
開催日程およびお申し込み[/vc_column_text][mk_table]
| No. | 日時 | お申し込み |
| ① | 7月1日(水) 15：00～16：00 | こちらからお申込ください。 |
| ② | 7月7日(火) 11：00～12：00 | こちらからお申込ください。 |
| ③ | 7月9日(木) 15：00～16：00 | こちらからお申込ください。 |
| ④ | 7月14日(火) 11：00～12：00 | こちらからお申込ください。 |
| ⑤ | 7月16日(木) 14：00～15：00 | こちらからお申込ください。 |
新型コロナウイルスの影響で、緊急事態宣言が出されるにつれ多数の企業がテレワークを導入しました。そして、緊急事態宣言が解除された以降も、かなりの割合でテレワークが続けられています。一番楽な場所で業務に当たれるという事を好意的に受け取る方も、多数存在するのではないのでしょうか。実際、出勤する手間が省けるというだけでも、日常はかなり楽になるものです。しかし、テレワークがいかに従業員の仕事と生活の調和を助け、生産性を向上させたとしても、デメリットの存在を否定することはできません。テレワークは常にサイバー脅威と隣り合わせしており、いつ企業のデータがリスクに陥るのかわからない状態なのです。そこで、今日は一般的に運用されるテレワーク環境と、それに潜むリスク、そしてその対策についてお伝えします。
コロナの影響で急遽テレワークを始めた企業の多数が、「サイバーセキュリティに気を遣う余裕などない」という状況だったはずです。よって、ほとんどの方はもともと家庭に設置されたネットワークを利用してたに違いありません。しかし、テレワークの試行期間が長引き、「Zoom」などのセキュリティ問題が現れるにつれ、セキュリティ対策をせざるを得ない状況になりました。そこで数々の企業が導入したのが、「VPN」です。
VPN(Virtual Private Network)とは、ネットワーク上にプライベートな仮想通路を設置するアプリケーションです。強固なトンネルの様なものと想像していただければいいでしょう。そして、そのトンネルを通じ情報を送受信することによって、指定したサーバ、例えば社内ネットワークなどにより安全に接続できるようになる、というものです。
つまり、「家庭内に構築された既存のネットワークシステム」にVPNが足された形、が一般的なテレワーク環境になったのです。しかし、必ずしもすべての従業員がVPNを誠実に使っている、とは限りません。さらに、VPNを使ったとしても防げない脅威も存在します。
テレワーク中の従業員は、想像以上にかなりの頻度で、VPNを使わず家庭用Wi-Fiもしくは公共Wi-Fiを通じ社内ネットワークへ接続します。しかしこれは、攻撃者にとって、重要な情報を奪取するチャンスです。例えば、データが暗号化されず単なるテキストで伝送された場合、攻撃者は容易にこれを奪取することができます。
よって、テレワーカーは安全が保障されていないWi-Fiネットワークを使い、社内ネットワークに接続することを避ける必要があります。もしも、必ずセキュリティ面での不安が残るネットワークを利用しなければいけない場合、VPNを使う必要があります。オープンされた荒野に、トンネルを一つ作りそこを行き来するのです。
VPNは、テレワーカーを抱える企業にとってもはや命綱になりました。しかし、不運にも損傷されたハードウェアやマルウェアに感染されたホームネットワークは、企業のネットワーク全部を危険に追いやります。VPNは安全な「通路」に過ぎないので、それを通じ企業のネットワークにも脅威が迫るのです。
多数のテレワーカーが業務用デバイスと個人用デバイス間でファイルを送受信しています。しかし、個人用デバイスは決して安全ではないゆえに、情報が漏えいする可能性も高まります。つまり、個人用デバイスを業務に使うことを許可するという事は、脅威にさらされるリスクを受け入れるという事になるのです。
例えばテレワーカーが重要な情報を個人用デバイスに保存したまま退職した場合、その情報はテレワーカー自身のみが削除できます。また、全ての従業員が常にソフトウェアを最新バージョンに保っているという保証もありません。これは、テレワーカーの個人用デバイスに接近するハッカーが、さらに容易に企業の情報に接近できるという事です。
結果的に、ITチームがいくら業務用デバイスのセキュリティに気を使ったとしても、テレワーカーの個人用デバイスからいくらでも情報が流出しかねない、という状況が生み出されます。なので、個人用デバイスの使用を禁止し、業務用デバイスのみで業務を行わせる必要があります。
テレワーカーの個人用デバイスに対する欲求は、シャドーIT問題も引き起こします。個人用デバイスを使用する場合、必然的に企業のITチームから許可されていないソフトウェアやシステムを使うことになります。実際、テレワーカーは自分が容易に使えるアプリケーション、システム、プログラムに手を伸ばしがちです。
しかし、これはハッカーが脆弱性に突き入る隙を与えます。よって、テレワーカーは少し不便になるのを承知のうえ、ITチームから認められたものだけを使うべきでしょう。
近年、サイバー犯罪は人間の弱点を利用する形に進化しています。例えば、最近ハッカー集団はWHO(世界保健機関)のサイトでコロナに関する状況を把握しようとする人々を狙った悪性アプリケーションを制作しました。アプリケーションがインストールされた場合、「トロイの木馬」と呼ばれるマルウェアにより、デバイスに保存された重要なデータが奪取されるのです。このように誤って悪性アプリケーションをインストールすることによって、情報を奪取されかねません。
こうした手口で手抜かれた情報は、武器となり、情報の主を攻撃します。特にテレワーカーは、出勤して勤務する従業員より、このような攻撃に屈する可能性が高いのです。出勤して勤務する場合には、アプリケーションなどをダウンロードする際、ITチームからの許可を得る必要があります。しかし、テレワーカーはそのような許可を得る必要がないので、自らハッカーの攻撃に露出される可能性が高まるのです。
よって、強力なVPNを使うだけではなく、強力な認証手段を利用するとともに、エンドポイントのセキュリティ状況を確認できる、VPNより高度なセキュリティ対策も考慮する必要があります。
デジタル環境が拡大される中、そしてコロナの影響が続く間には、必然的に社内で勤務するのではなく、テレワークなどの形を取る従業員が増えるでしょう。テレワーカーに脅威が付きまとうとはいえ、その脅威を排除する方法もまた、存在するのです。前述したように、テレワークのセキュリティを保存する手段としてはVPNがあり、幅広く利用されています。しかし、VPNがいくら安全だといえ、VPNはただの通路にすぎず、それを通る危険なトラフィックを制御することはありません。
まず、データを保護するための対策をとる前に、テレワークとネットワークに関するポリシーを見直しましょう。
ポリシーが確定すれば、セキュリティに対する脅威にどう立ち向かうかも、自然に明白になるはずです。下の項目は、そのポリシーに従い取りえる対策です:
テレワークはもはやビジネス界で最も重要なテーマになりつつあります。しかし、テレワークにあたる従業員をコントロールできぬまま、データが危険にさらされるのをただ見ているわけにはいきません。
このような対策を全てとるのは現実的に難しい、というお客様も多数おられると思います。そういう方には、「Cloudbric Remote Access Solution」をお勧めします。2FA認証を通じ、全トラフィックを監視・暗号化するソリューションを手軽に利用できます。従業員にテレワークを指示しながらも、ネットワークとデータ両方を守る事ができる「Remote Access Solution 」を、無料お試し提供中の今、是非お試しください。
新型コロナウイルスによって急遽始まったテレワークが、今も続いている、という方も多くいらっしゃると思います。それに伴い、多数の企業がセキュリティ対策に目を向け始めました。その一つとして幅広く使われているのが「VPN」です。しかし、VPNだけが有効なセキュリティ対策だというわけではありません。クラウドブリックの Remote Access Solution もまた、安全かつ低コストで従業員のテレワークの安全を守る、セキュリティ対策です。今回は、VPNと Remote Access Solution それぞれについて簡単に説明し、三つのポイントで VPNと Remote Access Solutionを比較しようと思います。
VPN(Virtual Private Network)とは、指定されたWebサーバとユーザ間に暗号化された通路を設置し、安全な接続を可能とするものです。言い換えれば、VPNはインターネットを利用しプライベートなネットワークへ接続するものであり、この「仮想」のプライベートネットワークは、安全な内部ネットワークのように稼働します。この過程のおかげで、ユーザは私設・社内サーバを含めたWebサーバに遠隔接続できるようになります。もちろん、すべてのデータは第3者から奪取されても安全なように、暗号化される必要があります。
Remote Access Solution はクラウドブリックが持つセキュリティ技術が詰め込まれた、クラウドベースのビジネス用テレワークソリューションです。ユーザは Remote Access Solution を通じ、全てのトラフィックを暗号化し安全な状態にさせた上で、社内ネットワークに接続できます。また、認証を経たユーザのみが、デバイスや場所に関係なく企業の情報とデータに接近できます。これだけを見れば、さほどVPNとの差がないように見えますが、そうではありません。Cloudbric Remote Access Solution はVPNと比べ、次のような三つの差別化ポイントを持ちます。
VPNの場合、安全な接続環境を構築するためには、サードパーティ製のアプリケーションが必要です。しかし Remote Access Solution の場合、お客様は何も設置する必要はありません。モバイル機器で接続する場合にも、VPNを利用するにはサードパーティ製のアプリケーションをダウンロードする必要があります。
しかし、クラウドベースである Remote Access Solution は、この場合にもいかなるダウンロードも要求しません。ただWebブラウザからログインするだけで、社内ネットワークを利用することができます。
VPNとは違い、Remote Access Solution は全てのトラフィックをモニタリングし、マルウェア、ボット、ハッキングなどの不審な動きをを自動的に遮断します。
また、VPNは通常シンプルなIDとパスワードを利用し、ゲートウェイにログインします。つまり、この情報を持つだれでも容易にゲートウェイへアクセスできるという事になります。しかし、Remote Access Solution の場合、FA認証を通じて認証されたユーザのみ、プライベートネットワーク(Private Network)内のWebサーバとデータへのアクセスを許可します。
ログデータの収集が気になる、という企業にも Remote Access Solution はうってつけです。VPNの場合、ベンダーごとにログデータへのポリシーは異なります。例えば、「No Log」ポリシーを随行しているというベンダーであっても、セッションログなどのデータを保存している場合があります。しかし、Remote Access Solution は、企業及び従業員のどのようなデータも保存しません。
前述したように、多数の企業がエンタープライズ級VPNソリューションを利用しています。しかし、規模によってはオンプレミスのVPN用機器や個別回線の設置が必要になる場合もあり、これには莫大な費用が伴います。
一方、Remote Access Solution はクラウドベースのソリューションなので、前述したとおり、設置を一切要求しません。よって、設置から発生する料金も、一切ありません。また、クラウドベースという利点を生かし、柔軟にサービス規模を調整できるので、納得できる範囲の中で料金が設定されます。さらに、2020年10月7日まで無料お試しプロモーションを実施中ですので、負担なく試していただけます。
日本でも広がったテレワークは、今や典型的な働き方の一つともなりえる程に浸透しています。しかし、セキュリティ対策なしのテレワークは、コロナが人体に与える被害と同じ様に、企業を傷つけ、さらには再起不能にまで陥らせる危険があります。クラウドブリックのすでに検証されたセキュリティ技術に基づいた Remote Access Solution は、テレワークに対する最も簡単な答えです。
新型コロナウイルス感染拡大により、テレワークが普及しました。ポストコロナ時代では、常時テレワーク化が求められ、VPN渋滞とセキュリティが問題となります。20年以上の実績をもつ韓国セキュリティ専門企業が解決策を提案いたします。
テーマ
ポストコロナ時代、ビジネス継続性を支える考え方としてのセキュリティとは
～求められている脱VPNと、セキュリティ課題への新たな取り組み方～
日時：2020年6月22日 16:30～17:30（16:10から接続開始）
場所：オンライン
※ライブ配信で行われます。
参加費：無料
内容
主催：大韓貿易投資振興公社(KOTRA) 東京IT支援センター
お申し込み：こちらからお申し込みください。
※ お申込みいただいた方に、ライブ配信のURLをお送りします。
新型コロナウイルスの影響で業務形態もまた急速な変化を重ねています。テレワークを導入する企業が急増していますが、セキュリティ上の懸念もあると考えられます。このような状況を鑑み、我々はオフィスから離れた場所でも安心して社内環境にアクセスできるようにセキュリティを強化した、「Cloudbric Remote Access Solution」をリリースしました。
新型コロナウイルス感染症の感染拡大により全国に出された「緊急事態宣言」が5月25日に解除されました。しかし、 第二波の懸念もあり、完全な終息には相当な時間がかかりそうです。まだ安心できるレベルまでに至らず、依然としてその影響は我々に響いています。
コロナ過という言葉も出てきている中、新型コロナウイルスは人々の生き方を大きく変えるきっかけとなっています。多くの企業で導入しているテレワークもその例の一つであり、オンラインで業務に当たる割合が増え続けるだろうといっても過言ではありません。
日本では政府が長年テレワークを推進してきたもののあまり成果を得られなかったのですが、これを機にテレワークが働き方の一つとして定着すると考えられます。しかし、これまで日本でなかなか普及していなかったテレワークが急に広がった分、予想できなかったテレワークの加速化による懸念も存在します。
緊迫した状況での急な転換によりテレワーク導入を決めた企業の場合、セキュリティ対策が事前に十分に講じられていないため、常にハッキングや情報流出等の脅威にさらされているといっても過言ではありません。
テレワークにおけるセキュリティ対策として多くの企業がVPNサービスを取り入れています。確かに、VPNは数々のメリットを持つセキュリティ対策ですが、システムを構築するにはサーバへのゲートウェイ設置や、追加的なソフトウェア等のインストールが伴います。このような過程は、企業側にとっても、セキュリティ管理者にとっても、従業員側にとっても相当な手間を要するはずです。
Cloudbric Remote Access Solutionは、クライアント側やサーバに対し、どのようなインストールも要求しません。従来のVPNサービスと違い、DNS変更など簡単な設定のみですぐ利用できるため、導入に対する負担を軽減させ、より効率的にテレワーク環境を構築することができます。
また、E2E暗号化を適用するなど、セキュリティを一層強化したリモートアクセスソリューションを提供します。ユーザが社内ネットワークに対し受送信する全てのトラフィックを暗号化するため、ハッカーの攻撃やあらゆるサイバー脅威を防げます。また、場所やデバイスに関係なく、予め承認されたユーザのみが企業の情報とデータにアクセスすることができます。
セキュリティ専門企業の技術とノウハウが詰まった「Cloudbric Remote Access Solution」は社内ネットワークにアクセスするすべての社員が安心して働けるように安全なテレワーク環境を作ります。
2020年10月7日まで無料お試しプロモーションを実施中です。今なら、「Cloudbric Remote Access Solution」の全ての機能を、無料でご利用いただけます。最も簡単で、万全のセキュリティ技術を適用し、さらに安全なテレワーク環境を実現する「Cloudbric Remote Access Solution」をこの機会に、ぜひお試しください。
クラウド基盤Webセキュリティソリューションを提供するクラウドブリック株式会社（本社：韓国、ソウル、 代表取締役：鄭 泰俊、http://139.162.127.206/jp）はテレワークに最適なセキュリティソリューション「Cloudbric Remote Access Solution（リモートアクセスソリューション）」を6月8日より公開し、2020年9月30日まで期間限定で無償提供することを発表した。
新型コロナウイルス感染症（COVID-19）の世界的な大流行で、日本でも在宅勤務を導入する企業が増加している。自宅から社内ネットワークにアクセスする場合、不正アクセスや、情報漏洩など、脆弱性を狙ったサイバー攻撃のリスクが存在するため、テレワークを導入する企業においてITインフラの安全性を強化することが重要な課題となっている。 多くの企業ではVPN（Virtual Private Network）を導入し、テレワーク環境を構築しているが、VPNゲートウェイを設置し、各ユーザに対する認証作業を行いながら運用するには手間がかかる。
Cloudbric Remote Access Solutionは全てのトラフィックを暗号化して送受信するため安全性を確保しつつ、いつ、どこでも社内ネットワークに簡単にアクセスすることができる、テレワークのためのセキュリティソリューションである。
Cloudbric Remote Access Solutionは、既存のVPNソリューションとは異なり、3-Layer Security（3重セキュリティ）を提供することで安全性をさらに高めた。ハッキングやDDoS攻撃など、すべてのWeb脅威を防御する機能のほか、二要素認証（２FA） 機能の実装により、許可されたユーザのみWebサーバ及びデータにアクセスすることができる。さらに、通信トラフィックに潜む不正や疑わしい動きを検知及び遮断するためのモニタリング機能も備えている。
また、追加のソフトウェアやハードウェアのインストールが不要で、インターネット環境であれば ブラウザーからログインするだけで社内ネットワークにアクセスできる。導入が簡単なため、テレワーク体制が必要な企業だけでなく、オンライン教育を行う教育機関や公的機関などオンラインサービスを展開する企業でも簡単に導入することができる。
今回公開されたRemote Access Solutionは、2020年10月7日まで企業・機関・団体に無償で提供される。 クラウドブリック公式サイト（https://v2.cloudbric.com/remote-access）から申し込みできる。
クラウドブリック株式会社代表取締役の鄭 泰俊は、「これまでなかなか進まなかったテレワークがわずか数カ月で急速に広がったが、その分テレワーク環境での脆弱性を狙ったサイバー攻撃のリスクも高くなっている」とし、「セキュリティと利便性を両立したリモートアクセスソリューションを提供することによって、新型コロナウイルスがもたらした働き方の変化により早く対応し、テレワーク化の最前線で取り組みを続けていきたい」と述べた。
『OWASP Top 10』をご存知でしょうか？ これはOWASP(Open Web Application Security Project：オワスプ)が選定した最も重大なWebアプリケーションセキュリティリスクのリストで、2～3年に一度発表されています。その時期に特に流行していて大きな被害が続出しており、Webセキュリティの警戒をしなければいけない項目がリスティングされています。今回は最新の『OWASP Top 10 2017』の内容を精査し、流行しているWebセキュリティの危機とその対策をご紹介します。
OWASPはアメリカ東部メリーランド州に本部を持つ非営利組織であり、Webアプリケーションのセキュリティに関する研究や、ガイドラインの作成、脆弱性診断ツールの開発、イベントの開催等、多岐に渡る活動を2001年から行っています。OWASPは Webに関する脆弱性やリスク、攻撃手法、事例、情報漏えい、悪性ファイルやスクリプト、攻撃コードやマルウェアなどを研究しています。そして『OWASP Top 10』はWebセキュリティ上で多発する脅威の中で、その危険度が最も高いと判断された10個のトピックがまとめられたものです。
『OWASP Top 10』では、「悪用のしやすさ」「弱点の蔓延度」「弱点の検出のしやすさ」「技術面への影響」「ビジネスへの影響」の観点で、それぞれに点数をつけリスクの高さを可視化し、危険度の高い10種類の脆弱性を整理しています。具体的にはそれぞれの指針を3段階で評価し、「悪用のしやすさ」「蔓延度」「検出のしやすさ」の平均を求め、その数値と「技術面への影響」の数値の積を求めたものを総得点としています。『OWASP Top 10』は2～3年に1回更新されており、2020年現在の最新版は2017年に発表された「OWASP Top 10 2017」となります。「OWASP Top 10 2017」は、アプリケーションセキュリティの専門企業から寄せられた40以上のデータと、500人以上の個人による業界調査に基づいており、数百の組織の10万以上に上る実際のアプリケーションおよびAPIから集められた脆弱性データをもとにしています。
OWASP 2017で挙げられているTop 10の脅威は次の通りです。
引用：OWASP
上記は「OWASP Top 10 2013」と「OWASP Top 10 2017」のリストです。OWASP 2017で取り上げられた問題点のほとんどが2013でも見られ、その内容もまた酷似しています。これは WebアプリケーションのセキュリティがWebの進歩にまだ十分追いついていないことを示しています。次項ではTop 10の脅威について、1つずつ解説します。
インジェクション攻撃（Injection Attack）とはソフトウェアへの攻撃手法の一つで、外部から文字列の入力を受け付けるプログラムに対し開発者の想定外の不正な文字列を与え、システムを乗っ取ったりデータの改ざんを行ったりする手法です。インジェクションは「悪用のしやすさ」が最高の3、「蔓延度」が2となっていて、依然警戒すべき脅威のひとつです。最も一般的でよく知られたインジェクション攻撃はSQLインジェクション（SQLi）で、攻撃者がデータベースのテーブルを公開するSQLステートメントを挿入することなどを指します。他にもディレクトリシステムを攻撃するLDAPインジェクション、不正なOSコマンドを送信するOSコマンド・インジェクションなどがあります。OWASPの脅威では1位になっていますが、「検出のしやすさ」としては3の評価で、コードを調べることで簡単に発見できるとレポートされています。
以前は「認証の不備とセッション管理」と呼ばれていました。認証やセッション管理に関連するアプリケーションの機能は、不適切に実装されていることがあります。不適切な実装により攻撃者はパスワード、鍵、セッショントークンを侵害でき、他の実装上の欠陥を利用して一時的または永続的に他のユーザの認証情報を取得します。強力な認証方式とセッション管理を実装し、ユーザが確実に本人であるかを検証しなければいけません。
多くのウェブアプリケーションやAPIは財務情報、健康情報や個人情報といった重要な情報を適切に保護していません。攻撃者はこのように適切に保護されていないデータを窃取または改ざんして、クレジットカード詐欺、個人情報の窃取やその他の犯罪を行う可能性があります。OWASPは機密データについて、保存されているものも一時的なものもすべて暗号化し、できる限り早く廃棄することを強く推奨しています。
XMLプロセッサはXMLドキュメントに指定された外部ファイルのコンテンツをロードするように構成されていることがよくあります。この脆弱性は、DoSやディレクトリトラバーサル（パストラバーサル）、SSRF（Server Side Request Forgery / サーバサイドリクエストフォージェリ）、Port Scan（ポートスキャン）といった攻撃にも繋がる脆弱性です。OWASPはXMLプロセッサのこの機能を無効化するよう推奨しています。
アクセス制御の不備とは、ユーザが自分の権限以上の機能を実行できる場合や他のユーザの情報にアクセスできる場合を意味します。攻撃者はこのタイプの脆弱性を悪用して他のユーザのアカウントへのアクセス、機密ファイルの表示、他のユーザのデータの変更、アクセス権の変更など、権限のない機能やデータにアクセスすることができます。OWASPは機能へのアクセスを信頼したユーザに限定する「deny by default」ルールの徹底、アクセス制御チェックの実装等を推奨しています。
不適切なセキュリティの設定は通常、安全でないデフォルト設定、不完全またはアドホックな設定、公開されたクラウドストレージ、不適切な設定のHTTPヘッダ、機微な情報を含む冗長なエラーメッセージによりもたらされます。すべてのオペレーティングシステム、フレームワーク、ライブラリ、アプリケーションを安全に設定するだけでなく、それらに適切なタイミングでパッチを適用することやアップグレードをすることが求められます。
クロスサイト・スクリプティングは、Webサイト閲覧者側がWebページを制作できる掲示板やTwitter等の動的サイトに対して、自身が制作した不正なスクリプトを挿入するサイバー攻撃です。攻撃者は信頼性の高いサイト上のページを変更することにより、信頼されていないサイトと通信して重要なデータを公開したり、マルウェアを拡散させたりする可能性があります。
安全でないデシリアライゼーション（Insecure Deserialization）は、リモートからのコード実行を誘発します。デシリアライゼーションの欠陥によるリモートからのコード実行に至らない場合でさえ、リプレイ攻撃やインジェクション攻撃、権限昇格といった攻撃にこの脆弱性を用います。OWASPはデシリアライズするオブジェクトの種類を制限するか信頼されていないオブジェクトを一切デシリアライズしないことを推奨しています。
ライブラリ、フレームワークやその他ソフトウェアモジュールといったコンポーネントは、アプリケーションと同等の権限で動いています。脆弱性のあるコンポーネントが悪用されると、深刻な情報損失やサーバの乗っ取りにつながります。既知の脆弱性があるコンポーネントを利用しているアプリケーションやAPIは、アプリケーションの防御を損ない、結果的に様々な攻撃や悪影響を受けることになります。
不十分なロギングとモニタリングは、インシデントレスポンスに組み込まれていないか、あるいは非効率なインテグレーションになっている可能性があります。その場合、攻撃者がシステムをさらに攻撃したり、攻撃を継続できたりするようにし、さらには他のシステムにも攻撃範囲を拡げデータを改竄、破棄、破壊することを可能にします。
多くの企業ではセキュリティ対策としてファイアウォールを導入しています。しかし、通常のファイアウォールは主にシステム及びネットワークを保護する機能であって、ここに挙げられているようなWebアプリケーションへの攻撃を保護するには限界があります。一般的にはWebアプリケーションファイアウォール（WAF）を導入することでWebアプリケーションに対する攻撃を防ぐことができます。
OWASPが発表した10大脆弱性にすべて対応した「Cloudbric WAF+（クラウドブリック・ワフプラス）」を導入することで、これらの脆弱性に対し対策を講ずることができます。さらに、クラウド型で提供されるため、企業の規模に関係なく簡単に導入することができます。システム及びネットワークを保護するファイアウォールと併せてWAFを導入しWebサーバーを保護することで、二重のセキュリティで昨今の脅威からWebサイトを保護し情報漏えい等の被害を防ぐことが可能です。
▼WAFをはじめとする多彩な機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」
▼製品・サービスに関するお問い合わせはこちら
Webサイトを作成するために使われているCMS（Contents Management System）ツール。オープンソースCMSといえば、WordPress（ワードプレス）、 Joomla （ジュームラ）、 Drupal （ドルーパル）などが広く使われていますが、世界的に高いシェアを誇っているのがWordPressです。WebサイトにおけるWordPress利用率は30%を超えているという報告もあります。
WordPressは日本でも企業、個人を問わず多く使われています。WordPressが提供するテーマ、プラグイン等、様々な機能を活用すれば誰でも簡単にWebサイトを制作することができます。しかし、誰でも手軽に編集することができるからこそ、セキュリティ問題も付き物になっています。ペンタセキュリティは毎四半期ごとに最新Web脆弱性を分析した結果をまとめたトレンドレポートを公開しておりますが、その結果によると2019年第2四半期から最も多く報告されたのが、WordPressに関する脆弱性ということが分かります。それでは、実際にはWordPressにどのようなセキュリティ問題があるのか、そしてどう対応すればいいのかをご紹介します。
WordPressで作成されたWebサイトの場合、普通Webサイト管理者はドメインの後に「wp-admin」 または 「wp-login.php」をつけることでWordPressの管理画面にアクセスすることができます。つまり、ハッカーもドメインに少し手を加えるだけで容易にWordPressの管理画面にアクセスでき、その状況を知ることができるということです。しかし裏を返せば、このような情報を隠すことだけでもセキュリティ面で一定の成果を上げることができるということになります。「Hide My WP Plugin」などのプラグインを使うことで、管理画面のURLやその他「WordPressを利用している」という情報を隠し、簡単に対策をとることができます。
WordPressは普通のWebサイトと違ってパスワードに有効期限がないため、間違ったパスワードをいくら入力してもログイン機能がロックされません。Webサイト管理者にとっては便利な機能ですが、これはハッカーにも有効で、この脆弱性を狙い、成功するまで無限の数のパスワードで試し続けることができます。これに対応するには、「Limit Login Attempts」などログインの試行回数を制限するプラグインが有効です。
また前述の様に、ドメインの後に「wp-admin」 または 「wp-login.php」をつけることでWordPressの管理画面にアクセスすることができますが、このURLを変えることでけでもハッカーからの無差別攻撃の試しを防ぐことができます。 他にも、Webサイト管理者のアカウント名を変える、特定のディレクトリを閲覧専用に設定する、ディレクトリリスティングを非活性化する等の対策をとることができます。
WordPressは他のソフトウェアと同様に定期的なアップデートを実施しています。しかし、使用しているプラグインの互換性などの問題で、アップデートをすぐさま実行するWebサイト管理者はほんの少しにすぎません。ハッカーは、このように新規パッチが発表されたにもかかわらず、旧バージョンを使用しているページを狙います。アップデートは主に旧バージョンの弱点を補完するものであるので、逆に旧バージョンの弱点をさらすものにもなるのです。その為、できる限り迅速なアップデートの適用をおすすめします。
冒頭で述べたように、WordPressでは多数のWeb脆弱性が発見されており、またそれを狙った攻撃も多発しています。 2020年第1四半期のWeb脆弱性トレンドレポートによると、WordPressのWeb脆弱性を狙った攻撃には以下の3種類がありました。
このようにWeb脆弱性を狙ったサイバー攻撃を防ぐためには、セキュリティ対策を講じる必要があります。特に、WAF(Webアプリケーションファイアウォール)を導入することも一つの有効な対策となります。WAFはWeb脆弱性に対する攻撃に対応するだけではなく、ハッカーがWebサイトにアクセスすること自体を防ぐことができます。つまりWordPressのようなアプリケーション自体に脆弱性が存在する場合も、それによる被害を事前に防ぐことができるということです。
WordPressは業界随一のCMSツールですが、セキュリティ面で問題を抱えていることも事実です。決して「安全ではない」わけではありませんが、Webサイト管理者の不注意によっては脆弱性を抱えることになるでしょう。しかし、簡単な対策をとることでより安全に使用することができます。ご紹介した対策を念頭に置き、安全にWordPressを運用しましょう！
最新Web脆弱性トレンドレポートの情報はこちら
新型コロナウイルスに関する緊急事態宣言が5月末に延長するなど、以違とは違った生活になったり、社会的に混乱な状況が続いています。変わっていく日常だけに目が行きがちですが、こういう時こそセキュリティ対策に気を付けなければいけません。実際、新型コロナウイルスの影響でオンライン教育やWeb会議などが拡大される中、それを狙ったような攻撃も続々発生しています。
オンライン教育に冷や水、ベネッセHD子会社で不正アクセス
ベネッセホールディングス（HD）子会社、Classi（クラッシー）が不正アクセスを受けて情報を流出した可能性があると発表した4月13日、インターネット上のSNSなどには高校生や教員とみられる利用者の不満の声が相次いだ。新型コロナウイルスの感染拡大でオンライン教育が広がる中、利便性の裏側に潜むリスクをあらためて示した。…教員や保護者を含む全利用者約122万人分のユーザーIDと、パスワードを暗号化した文字列、2031人の教員が作成した自己紹介文が流出した可能性がある。…「1人当たり3万3000円」。学校のIT化などに関する調査・研究や情報発信を行う教育ネットワーク情報セキュリティ推進委員会（ISEN）が試算した、生徒の成績情報が流出した場合の損害賠償額だ。
引用：日経ビジネス
このような被害を防ぐためには、セキュリティ対策が必須です。しかしセキュリティ対策となると、大規模な装備を用いて大勢の人が対策する姿を浮かべがちであり、なかなか手が出せないという声が多く聞かれます。そんな方にお勧めするのが、「クラウド型セキュリティサービス」です。
クラウド型セキュリティサービスは、セキュリティ担当者を配置しづらい、もしくは多くの予算を省けない中小企業に適切なセキュリティサービスとして利用されるようになってきました。
クラウド型セキュリティサービスはSaaS型セキュリティサービス、またはSECaaS（Security as a Service、サービスとしてのセキュリテイ）とも呼ばれます。
まず、SaaSとは何かをご紹介しましょう。SaaSとは「Software as a Service」の略で、言葉通り、従来に高価な製品やソフトウェアを導入し利用してきたサービスを、インターネットのクラウド上で簡単に利用できるようにするということです。代表的な例としてはグーグルの「Gmail」等が挙げられます。厳密にはクラウドサービスの中にSaaS等が含まれるという形ですが、同じようなものとして捉えても無理はないでしょう。
つまり、SaaS型セキュリティサービス、すなわちクラウド型セキュリティサービスとは、既存の高度なセキュリティ対策をインターネット経由で利用する形です。SECaaSという言葉通り「セキュリティーをサービスとして受ける」ので機材を導入する必要がなく、使用した分だけ払えるのでリーズナブルな料金で利用できるのが特徴です。クラウド型セキュリティサービスとしてはWebアプリケーションファイアウォール（WAF）、ネットワークセキュリティ、メールのセキュリティ、暗号化等が主に提供されます。
Webセキュリティにおいて重要な要素には、Webアプリケーションファイアウォールと暗号化が挙げられます。Webアプリケーションファイアウォール（WAF）とは、ハッカーの攻撃を内部に侵入させぬべくそれを検知し遮断するものです。一方、暗号化はWebサイトのデータが奪取されたとしてもその悪用を防ぐものです。Webサイトの管理者はこれらに関するクラウド型セキュリティサービスを導入することにより、安全なWeb環境を構築できるだけではなくセキュリティへの手間を省くことができるので、一石二鳥の効果を得られると言えるでしょう。
それでは、クラウド型セキュリティサービスを選ぶときにはどのような部分を考慮すべきでしょうか。まず、複数のサービスを導入する場合、相互に互換性が保障されているかを検討しなければいけません。サービス間の衝突が発生した場合、さらなる脅威にさらされる場合があるからです。その他にも、サービスが主なセキュリティ案件に対するログを提供するのか、カスタマーサービスが有効であり信頼できるのかなどを考慮する必要があります。
ペンタセキュリティはクラウド型セキュリティサービスとして、クラウド型WAF（Webアプリケーションファイアウォール）であるクラウドブリック(Cloudbric)を提供しております。Webサイト防衛機能だけではなく、暗号化のためのSSL証明書サービスなど多様な機能と信頼性を併せ持っております。ぜひ、導入をご検討ください。
新型コロナウイルスに対する緊急事態宣言が全国に拡大されるなど、混乱した日々が続いています。新型コロナウイルスの感染拡大を受け、多くの企業が自宅勤務に切り替えテレワークを実施するケースも増え続けています。以前より強力な全社的サイバーセキュリティ対策が求められている一方で、企業のIT資産の保護は手薄な状態になってセキュリティリスクは高まっているのが実態です。但し、小規模事業者を含む中小企業にとっては、セキュリティの必要性を認識しても導入するまでのハードル（時間や費用等のコストの負担）は高いものです。このハードルを越えるには、国や自治体などで提供する助成金制度を利用することも一つの方法です。今回は、2020年東京都から提供するサイバーセキュリティ対策促進助成金について紹介していきたいと思います。
サイバーセキュリティ対策促進助成金はIPA（独立行政法人 情報処理推進機構）が実施する「SECURITY ACTION」の2つ星を宣言している東京都内の中小事業者を対象に企業で管理する企業機密、個人情報などを保護し、あらゆるサイバー攻撃を防止するためのセキュリティ対策や設備（暗号化製品、アクセス管理など）の導入を支援する制度です。
それでは、サイバーセキュリティ対策促進助成金をもらうための必須条件である「SECURITY ACTION」とはいったい何でしょうか。中小企業自らが、情報セキュリティ対策に取り組むことを自己宣言する制度で、企業の自発的なセキュリティ対策への取り組みにより、信頼を獲得しセキュリティ対策への持続的な取り組み「SECURITY ACTION 自己宣言者サイト」より申請できます。サイバーセキュリティ対策促進助成金の申請対象は段階目の「★★二つ星」を宣言している中小事業者や中小企業団体が対象となるため、先に手続きを行う必要があります。IPAによりますと「2つ星」を宣言するには、「情報セキュリティ5か条」と 「5分でできる！情報セキュリティ自社診断」で自社のセキュリティ状況を把握したうえで、情報セキュリティ基本方針を定め、申請するとSECURITY ACTIONロゴマークを使用することができます。2つ星の宣言には情報セキュリティ基本方針を策定し、公開している状態になったうえで、IPAへ申請する必要があります。
サイバーセキュリティ対策促進助成金を申請すると、中小企業者を対象にサイバーセキュリティ対策を実践するために必要な設備やサービスの導入にかかる経費の一部を支給されます。助成金は最大１５００万円、 助成対象経費の１/2以内となります。申請基準や申請手続きについて詳しく見てみましょう。
東京都お内中小企業者、中小企業団体、個人事業主が助成金の対象事業者となり、特定非営利活動法人、財団法人、学校法人、宗教法人、社会福祉法人、医療法人及び政治・刑事団体は対象外になります。
中小企業のサイバーセキュリティ対策に必要な物品・設備購入費、メール 訓練委託費、クラウドサービス利用料などを対象に経費が支給されます。助成金支援対象機器は以下の項目となります。
（1）統合型アプライアンス（UTM等）
（2）ネットワーク脅威対策製品（FW、VPN、不正侵入検知システム等）
（3）コンテンツセキュリティ対策製品（ウィルス対策、スパム対策等）
（4）アクセス管理製品（シングル・サイン・オン、本人認証等）
（5）システムセキュリティ管理製品（アクセスログ管理等）
（6）暗号化製品（ファイルの暗号化等）
（7）サーバー（最新のOS搭載セキュリティ対策が施されたものに限る）
（8）標的型メール訓練
Webサイトを守るWAF（Webアプリケーション・ファイアウォール）は、助成金の対象になるのか？と問い合わせが多く寄せられます。助成金支援対象機器として上記には言及されてはいませんが、 端的に対象となりますので、新型コロナウイルスでテレワークが多く実施されている中、Webにつながっている企業様のITシステムを保護するためにぜひチェックしてみてください。
当社ではクラウド型WAFサービスのクラウドブリック（Cloudbric）を提供しております。ハードウェアを購入し、ネットワークを設計し、導入スケジュールを立てる等の手間は必要ありません。DNS情報を置き換えて、アクセスの向き先をCloudbricへ変更して頂くだけで、導入し利用できます。Cloudbricは、サイバー攻撃を遮断するWAFサービスに加え、DDos対策とSSL証明書まで同時に利用できる優れもので、日本、韓国、米国にて特許取得済みの論理演算型解析エンジンを搭載しているため、そのセキュリティは、証明されています。最も推奨するポイントは、セキュリティの運用・管理を専門家にお任せできることです。各企業では提供されるユーザインターフェースにアクセスし、セキュリティ運用状況を確認するだけです。
2020年の第2期サイバーセキュリティ対策促進助成金の申請受付は5月18日（月）～25日（月）となります。助成金予算の執行状況により新規受付を早期終了する場合があります。また、申請には事前予約が必要なため、早めの申請をお勧めします。
当社はクラウド型WAFサービスのクラウドブリック（Cloudbric）を提供しております。DNS変更だけで簡単に導入できるクラウド型サービスで、どのプランであっても同じレベルで高精度のエンタープライズセキュリティを提供するため、企業規模に関わらず安心してWebサイトを保護することができます。それでは、クラウドブリックが中小企業者に選ばれる理由について説明したいと思います。
クラウドブリックは中小企業者のセキュリティレベルを画期的に向上させることができます。日本・韓国・米国にて特許取得済みの独自開発のロジックベース検知エンジン（COCEP）を搭載し、あらゆるサイバー攻撃に対しロジカルに分析・即遮断を行います。シグネチャー基盤のWAFと違いシグネチャーの更新が不要なため、新種・亜種の攻撃に対応できる高精度のセキュリティを提供します。また、Cyber Defense Magazine Infosec Awards 2019の「Hot Company Website Security」に選ばれるなど、数々の海外受賞歴を保有しており、世界で評判のクラウド型WAFです。
クラウドブリックは他社と共有せず、企業単位で完全に独立したWAFサービス環境を構築、提供します。企業の状況に合わせてカスタマイズされたセキュリティ運用ポリシーを策定することができるため、より安全な環境で、セキュリティ対策を実施することができます。
クラウドブリックはWAFサービスに加え、DDoS対策及びSSL証明書を提供し、企業の高セキュリティを実現できるよう手助けします。日々巧妙化かつ高度化が進むDDoS攻撃に対し、L3・L4だけでなく、アプリケーション対象（L7）攻撃にまで対応ます。さらに、WebサイトとWebサーバー間で通信データを暗号化するためのSSL証明書サービスを無料で発行でき、常時SSL化によるWebサイトの安全を確保できます。中小企業にとってリーズナブルな価格でより良いサービスを利用できるということになります。
クラウドブリックはWebサイトへの攻撃を可視化し、一目でわかるような直観的なダッシュボードを提供します。攻撃数、閲覧数、不正アクセス件数、IPアドレス情報、攻撃回数など、誰が、いつ、どこから、どのような目的で攻撃したかというWebサイトセキュリティ状況をリアルタイムに把握できます。また、月次単位で提供されるレポートを通じて自社のWebサイト情報をより詳しく分析することも可能です。
クラウドブリックの直観的なユーザインターフェースに関する資料はこちらからダウンロードできます。
クラウドブリック・ユーザインターフェース紹介
今回紹介したサイバーセキュリティ対策促進助成金などを利用して、ビジネスを守るWebセキュリティ対策の第一歩を踏み出してみてはいかがでしょうか。セキュリティ対策への悩み、不安を抱えている中小企業の担当者をしっかりとサポートしていきますので、この機会に、ぜひ当社のクラウド型WAF「クラウドブリック」もご検討していただけたらと思います。
サイバーセキュリティ対策促進助成金に関する詳しい情報は中小企業における危機管理対策促進事業「サイバーセキュリティ促進助成金【募集要項】」をご参照ください。
出典：東京都中小記号振興公社「令和2年度サイバーセキュリティ対策促進助成金申請案内」
