セキュリティ対策の進め方。FTP情報をいただく前の巡回点検から、直したあとの確認まで

最近、セキュリティ対策について、ご相談をいただくことが多くなりました。

前回の記事では、点検で見ているところと、保守で直してきたことを書きました。今回は、ご相談をいただいたときにお出ししている作業の流れです。

FTP情報をいただく前に、まず外から巡回点検をします

ご依頼をいただいたら、サイトのURLだけで始められます。

外から確かめているのは、たとえば次のようなところです。

• httpで開いたときに、httpsへ切り替わるか
• ブラウザへ送られる、セキュリティのための設定（ヘッダ）がそろっているか
• 置き忘れたファイルなどを、外から開けないようにする設定が入っているか
• フォルダの中身が、一覧で見えてしまわないか
• 管理画面やマイページが、ログインしないまま開けないか

見て回るのは、ページを開いて確かめられる範囲だけです。入力欄に何かを打ち込んで送ったり、ログインを試したりはしません。一度にたくさんのアクセスを送ることもしません。

外から見て気になる点が無かった場合も、それは外から見える範囲での結果としてお伝えします。中まで点検するかどうかは、そこでご相談ください。

気になる点が見つかったら

FTPやSSHの情報をお預かりして、サーバーの中とプログラムを点検します。置き忘れたバックアップ、入力の受け取り方、ログインまわりの作り、エラーが起きたときの扱い、フォームのスパム対策などは、中を見ないと分からないためです。この段階でも、サーバー上のファイルは読むだけで、書き換えはしません。

どれから直すか、どこまで直すかは、点検の結果をお見せしたうえで、ご相談して決めます。危ないのに作り直しが大きいものは、まずすぐ塞げる応急の手を入れ、作り直しは別にご相談します。保守契約をいただいているサイトなら、保守の範囲で直せるものと、お見積もりが要るものを分けてお出しします。

直すときの手順

1. 直すのは手元のファイルです。サーバー上のファイルを直接書き換えることはしません
2. 反映の前に、サーバーにあるファイルと見比べて、ほかの修正を消してしまわないかを確かめます
3. いまのファイルのバックアップを取ります。その前に、バックアップが外から読めない設定になっているかを確かめます
4. 書き間違いがないかを、サーバーで検査してから反映します
5. 反映したら1件ずつ、いつものページが表示されるか、塞いだファイルが開かないか、ログイン画面とフォームが表示されるかを確かめます
6. おかしければ、バックアップからすぐに戻します

ログインまわりやパスワードの処理のように、サイトへの影響が大きいものは、営業時間外に1件ずつ反映します。翌営業日には、エラーが増えていないか、お問い合わせや応募がいつもどおり届いているかも見ます。

終わったら、直したものと、別にご相談が要るものを分けてお伝えします。

制作した会社は問いません

巡回点検はURLから始めるので、うちで作っていないサイトでも同じように進められます。気になることがあれば、お問い合わせから、サイトのURLを添えてひとことお送りください。