Webサイトを安全に運用するためには、日頃のメンテナンスだけでなく、セキュリティ上の問題がないかを確認することも大切です。その方法のひとつが「脆弱性診断」です。
脆弱性診断では、サーバーやシステムに潜むセキュリティ上の弱点を調べ、外部からの攻撃によってどのような問題が起こる可能性があるかを確認します。今回は、サーバーの脆弱性診断の基本的な仕組みや診断方法、診断結果を理解するうえで知っておきたい評価指標についてご紹介します。
サーバーの脆弱性診断とは？
脆弱性とは、コンピューターのソフトウェアやシステムの設定などに存在する、セキュリティ上の弱点のことです。
例えば、サーバーで使用しているソフトウェアに既知の脆弱性があったり、サーバーの設定によって本来アクセスできないはずの情報にアクセスできたりする場合があります。
こうした弱点を悪用されると、情報漏えいやデータの改ざん、サービスの停止などにつながるおそれがあります。
脆弱性診断は、これらの弱点を発見し、必要な対策を検討するために行うものです。なお、サーバーを対象とする診断と、Webサイトの入力フォームやログイン機能などを対象とするWebアプリケーション診断では、検査する範囲が異なります。
脆弱性診断の方法は？ブラックボックス診断とホワイトボックス診断
脆弱性診断にはさまざまな方法がありますが、システムの内部情報をどこまで利用するかという観点では、ブラックボックス診断とホワイトボックス診断に分けられます。
ブラックボックス診断
ブラックボックス診断は、システムの内部構造やソースコードを知らない状態で、外部からアクセスして弱点を調べる方法です。
外部の攻撃者に近い視点で、公開されているサーバーやシステムにどのような問題があるかを確認します。内部のソースコードなどを用意する必要がなく、外部から発見できる脆弱性の調査に適しています。
ホワイトボックス診断
ホワイトボックス診断は、システムの内部構造やソースコードなどの情報を利用して検査する方法です。外部からのアクセスだけではわからない、プログラム内部の問題なども調べることができます。
それぞれ確認できる範囲が異なるため、目的や対象となるシステムに応じた診断方法を選ぶことが大切です。
セキュリティ評価の3つの観点「機密性・完全性・可用性」
脆弱性診断の結果を理解するうえで知っておきたいのが、「機密性」「完全性」「可用性」という3つの考え方です。これらは情報セキュリティの基本的な要素で、それぞれの英語の頭文字をとって「CIAの3要素」と呼ばれています。
1. 機密性（Confidentiality）
機密性とは、情報を閲覧する権限のない人に、情報を見られないようにすることです。
例えば、Webサイトの会員情報や顧客情報、管理者のパスワードなどが、外部に漏れない状態を指します。脆弱性が悪用された場合、本来は公開されるべきではない情報が第三者に取得される可能性があります。
2. 完全性（Integrity）
完全性とは、情報が正確で、許可なく変更されていない状態を保つことです。
例えば、Webサイトのページが第三者によって書き換えられたり、データベース内の情報が不正に変更されたりすることは、完全性が損なわれた状態です。
Webサイトの改ざんは、企業の信用にも関わる問題です。
3. 可用性（Availability）
可用性とは、必要なときにシステムや情報を利用できる状態を保つことです。例えば、サーバーが攻撃を受けて停止し、Webサイトが閲覧できなくなった場合は、可用性が損なわれている状態です。
ECサイトや予約システムなどでは、サービスの停止が業務や売上に直接影響する場合もあります。
脆弱性の深刻度を表すCVSSとは？
脆弱性診断の結果には、発見された問題の深刻度が示されることがあります。その評価に広く使われている仕組みが「CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）」です。
CVSSは、脆弱性の深刻度を共通の基準で評価するための仕組みで、基本的な評価では0.0から10.0までの数値で表します。評価には、攻撃のしやすさや、脆弱性が悪用された場合の影響などが含まれます。
先ほど紹介した機密性・完全性・可用性も、その影響を評価するための項目です。
例えば、機密情報が大量に流出する可能性がある場合は機密性への影響が大きく、システムが完全に停止する可能性がある場合は可用性への影響が大きい、と考えられます。
ただし、CVSSのスコアだけで対策の優先順位が決まるわけではありません。実際の運用環境や、対象となるシステムの重要性なども考慮する必要があります。
脆弱性診断は実施した後が大切
脆弱性診断を実施すると、問題の有無や深刻度などを確認できます。しかし、診断を実施しただけでセキュリティ上の問題が解消されるわけではありません。発見された脆弱性について、ソフトウェアの更新やサーバー設定の変更など、必要な対策を行うことが重要です。また、診断時点で問題が見つからなかったとしても、その後に新しい脆弱性が発見される可能性があります。日頃のメンテナンスに加え、必要に応じて定期的な診断を行うことで、Webサイトの安全性を維持していくことが大切です。
まとめ
サーバーの脆弱性診断は、目に見えないセキュリティ上の弱点を把握するための手段です。機密性・完全性・可用性という3つの観点を知っておくと、診断結果が示すリスクを理解しやすくなります。Webサイトが正常に表示されているからといって、必ずしも安全な状態とは限りません。ハマ企画では、Webサイトの制作だけでなく、公開後の運用・保守についてもご相談を承っています。Webサイトの運用やセキュリティ対策について気になることがありましたら、お気軽にご相談ください。
参考情報
