読みもの
攻撃者から見たサイト
空き巣が下見をするように、攻撃者も侵入を試みる前に、まず外から情報を集めます。そのほとんどは、特別な道具を使わなくても、インターネット上で誰でも確かめられるものです。この記事では、攻撃者の目にWebサイトがどう映っているのかを知り、守る側が先に手を打つためのポイントを紹介します。
本記事は、守る側が自社の見え方を理解するための解説です。具体的な調査手順や道具の使い方は扱いません。他者のサイトやシステムを許可なく調べることは、法律に触れるおそれがあります。
以下の7つは、どれも「それだけで侵入される」というものではありません。攻撃者はこうした断片を組み合わせて、どこから試すかを決めます。守る側も同じ目線で、一つずつ確かめていきましょう。
1. ドメインの設定（DNS）の記録
ドメインには、Webサイトやメールがどのサーバーにあるかを示す設定（DNSの記録）があり、これは仕組み上、誰でも参照できます。ここから、どのサーバー会社やメールサービスを使っているか、なりすましメール対策（SPF・DMARCなど）が入っているかが分かります。
守る側がやること：使っていないサービスを指す古い記録を整理し、なりすましメール対策の設定を入れておきます。解約したサービスを指したままの記録は、第三者に悪用されるおそれもあります。
2. サブドメイン
「shop.」「test.」「old.」のように、メインのドメインの前に名前をつけたものをサブドメインといいます。キャンペーン用やテスト用に作ったまま、忘れられて更新されていないサイトが、ここに残っていることがよくあります。
守る側がやること：自社のサブドメインを一覧にし、使っていないものは公開を止めます。残すものは、メインのサイトと同じように更新の対象に含めます。
3. SSL証明書の公開記録
https通信に使うSSL証明書は、発行されると、その記録が誰でも見られる公開のログに載る仕組みになっています（証明書の透明性）。不正な証明書の発行を見つけるための大切な仕組みですが、裏を返せば、証明書を取ったサブドメインの名前が外から分かるということでもあります。
守る側がやること：「名前を知られなければ大丈夫」という考えに頼らないことです。社内向けやテスト用のページも、公開する以上はログイン制限やアクセス制限をかけます。
4. サーバーの応答とバージョン
Webサイトを開くと、ページの本体とは別に、サーバーからさまざまな付随情報が返ってきます。設定によっては、そこに使っているソフトの名前やバージョンが含まれます。ページのソースに、CMSのバージョンが書かれていることもあります。古いバージョンだと分かれば、攻撃者は既知の脆弱性を試す相手として目をつけます。
守る側がやること：まずはソフトを最新に保つことが第一です。そのうえで、不要なバージョン表示は出さない設定にするよう、サーバー会社や制作会社に相談します。
5. 管理画面のログインページ
CMSやサーバーの管理画面は、初期設定のままだと推測しやすいURLにあることが多く、誰でもログインページを開ける状態になっていることがあります。ログインページが見つかれば、流出したパスワードを試したり、繰り返しログインを試みたりする対象になります。
守る側がやること：2要素認証を有効にし、パスワードを使い回さないこと。可能であれば、接続元の制限やログイン試行回数の制限も設定します。
6. 置き忘れたファイル
サイトの引っ越しやリニューアルのときに作ったバックアップファイル、設定ファイルの控え、テスト用のページなどが、公開された場所に残っていることがあります。中には、データベースの接続情報や個人情報が含まれている場合もあります。
守る側がやること：作業が終わったら不要なファイルを削除するよう、制作会社との作業ルールに入れておきます。バックアップは、公開される場所とは別のところに保管します。
7. ページを開くだけで伝わる接続情報
Webページを開いたり、フォームを送信したりすると、相手のサーバーには、接続元のIPアドレス、ブラウザやOSの種類、画面の大きさ、タイムゾーンなどが伝わります。これはインターネットの仕組みとして通常のことですが、攻撃者が用意したページを社員が開けば、会社で使っている環境のおおよその姿が相手に伝わります。その情報が、より本物らしい詐欺メールを作る材料に使われることもあります。
守る側がやること：不審なメールのリンクは開かず、ブラウザやOSを最新に保ちます。また、自社のサイトでフォームを設置している場合は、受け取った情報をどう扱うかをプライバシーポリシーで明らかにしておきましょう。
守る側が先に見ておく
ここで挙げた情報の多くは、隠しきることができません。DNSの記録や証明書の公開記録のように、インターネットを正しく動かすために公開が前提になっている情報もあります。大切なのは、攻撃者より先に、自社が外からどう見えているかを知っておくことです。古いものを片づけ、更新を続け、入口に鍵をかけておけば、下見の段階で「手間のかかる相手」として素通りされやすくなります。まもりスキャンの簡易診断では、こうした外から見える部分を、非侵入型の方法で確認しています。