ニュース
» 2014年08月13日 16時19分 UPDATE

Webサイトの改ざん報告は月平均400件、早急な対策実施を

JPCERT/CCによれば、Webサイトの改ざん報告は月平均400件あり、9月からの増加が懸念されている。

[ITmedia]

 JPCERT コーディネーションセンター(JPCERT/CC)と情報処理推進機構(IPA)は8月13日、Webサイト運営者や管理者に対して、Webサイトの改ざん対策を早急に講じるよう呼び掛けた。9月頃から改ざん被害の増加が懸念されるためだという。

 JPCERT/CCによると、2013年7〜12月期には4378件の改ざん報告があり、9月以降は高止まりの状況が続いた。2014年1〜6月期の報告は2624件でやや減少したものの、依然として月平均400件程度の報告がある。

jpcertcc01.jpg JPCERT/CCへのWebサイト改ざんの報告件数

 これまでの報告からWebサイト改ざんの手口と対策には以下の3つがあるという。

1.サーバソフトウェアに残存する脆弱性を狙った攻撃

 古いバージョンやサポートが終了したバージョンのサーバソフトウェアに存在する脆弱性を悪用し、悪意あるWebサイトへ誘導するよう、不正なファイルをWebサイトに設置したり、悪意あるプログラムを実行させるための改ざんを行ったりする。

対策:最新バージョンへのアップデートおよび、サポートが継続している製品へ移行する。

2.Webサイト管理端末への侵入

 Webサイトを管理する端末のOSやアプリケーションの脆弱性を解消していない場合、それを狙ったウイルスが侵入すると、その管理端末から認証情報が窃取されてしまう。管理者権限が悪用され、Webサイトが改ざんされる。

対策:管理端末用のOSやアプリケーションを最新の状態に管理するとともに、ネットワーク構成を見直してWebサイトを更新できる端末を限定する。

SQLインジェクションを用いた攻撃

 Webサイトを構築するWebアプリケーションにSQLインジェクションの脆弱性が存在する場合、Webアプリケーションの入力フォームに悪意ある動作をさせるための値を意図的に入力することで、データベースシステムを不正に操作し、Webサイトを改ざんする。

対策:SQLを用いてデータベースを制御するWebアプリケーションは、入力フォームへの悪意のある入力値を無効化するようにプログラミングする。

 JPCERT/CCではWebサイト改ざんの発見や被害の報告、被害対応の依頼を受け付けている

Copyright© 2016 ITmedia, Inc. All Rights Reserved.

Loading

ピックアップコンテンツ

- PR -

注目のテーマ

マーケット解説

- PR -