20200611 sakura koan_webinar_2_mm5q5ags_mijvzje4sngcybhc3tpnz8dkxm3

1Copyright © 2011-2020/6/8KOANKEISO CO., LTD. All rights reserved.
いま改めて見直すWebサイトのセキュリティ対策！
～お手軽に対策ができる「しぇあわふ」を徹底解説！～」
興安計装株式会社
第1事業部 ICT営業部門
営業部
2020年6月11日

会社紹介
1960年愛媛県松山市にて創業。計装工事、設備保全からスタートし1995年に
ICT事業に進出。1999年に東京支社を開設し、2012年に自社ブランドである
Owlook（アウルック）サービスを立ち上げ、現在MSPサービス、セキュリ
ティサービスを中心に展開。
興安計装株式会社
https://www.koan.co.jp/company.html
Owlookサービスサイト
https://www.owlook.jp/

自己紹介
ICTサービス部門営業部技術担当部長
情報処理安全確保支援士（第001561号）
礒部良輔
ICTサービス部門営業部
浅野梨佳

今からでも遅くない！
これからはじめるテレワーク
K O A N K E I S O p r e s e n t s
Special Guest
河野真一郎（エフセキュア株式会社）
日時：2020年6月11日（木） 16:00 - 17:00
会場：WEBセミナー（zoom）
費用：無料
主催：興安計装株式会社
【お問い合わせ】興安計装株式会社運営事務局
MAIL : contact-nw@koan.co.jp

本日のアジェンダ
１.サイバーセキュリティの動向とWebサイトのセキュリティ対策について
２．「しぇあわふ」のデモンストレーション
３.キャンペーン情報とFAQ

COVID-19の影響によるトラフィックの増加
引用：トラフィック情報（JPIX：2020年5月31日）
https://www.jpix.ad.jp/jp/technical_traffic.php

昨今の脅威の情勢
引用：令和元年におけるサイバー空間をめぐる脅威の情勢等について（警察庁：令和2年3月5日）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R01_cyber_jousei.pdf
脅威となりうるパケットの推移が5年間で約6倍

情報セキュリティ10大脅威
引用：情報セキュリティ10大脅威 2020[組織編]（IPA：2020年3月）
https://www.ipa.go.jp/files/000081291.pdf

COVID-19の影響によるテレワークの急速的な広まり
引用：緊急事態宣言解除後のセキュリティ・チェックリスト（JNSA：2020年5月19日）
https://www.jnsa.org/telework_support/telework_security/index.html

セキュリティ対策の昔と今
オフィス
• ファイアウォールで境界線防御
• システムはオンプレミス
• ロケーション固定
• Webサイトのセキュリティも個別の
アプライアンスで対応
昔

オフィス自宅
クラウドサービス
• ファイアウォールで境界線防御
• クラウド化したシステムのセキュリ
ティを考慮
• テレワークに必要なVPN
• デバイスの多様化によるエンドポイ
ントの進化
• マルチロケーション認証技術の進化
• Webサイトのセキュリティはアプラ
イアンスからサービスへシフト
今

・セキュリティリスクは増大している
・情報資産の重要度に応じて対策が必要
・全体から見たコストバランスが大切
Webサイトへのセキュリティ対策に
どれくらいコストをかけるか？

安全なWebサイトの運用管理とは
引用：安全なウェブサイトの運用管理に向けての20ヶ条～セキュリティ対策のチェックポイント～（IPA：2019年3月6日）
https://www.ipa.go.jp/security/vuln/websitecheck.html

■ウェブアプリケーションのセキュリティ対策
⚫ 公開すべきでないファイルを公開していませんか？
⚫ 不要になったページやウェブサイトを公開していませんか？
⚫ 「安全なウェブサイトの作り方」に取り上げられている脆弱性への対策をしていま
すか？
⚫ 「安全なウェブサイトの作り方」に取り上げられている「セキュリティ実装チェッ
クリスト」は確認済みですか？
⚫ ウェブアプリケーションを構成しているソフトウェアの脆弱性対策を定期的にして
いますか？
⚫ 不必要なエラーメッセージを返していませんか？
⚫ ウェブアプリケーションのログを保管し、定期的に確認していますか？
⚫ インターネットを介して送受信する通信内容の暗号化はできていますか？
⚫ 不正ログインの対策はできていますか？

■ネットワークのセキュリティ対策
⚫ ルータなどを使用してネットワークの境界で不要な通信を遮断していますか？
⚫ ファイアウォールを使用して、適切に通信をフィルタリングしていますか？
⚫ ウェブサーバ（または、ウェブアプリケーション）への不正な通信を検知または、
遮断していますか？
⚫ ネットワーク機器のログを保管し、定期的に確認していますか？
■ネットワークのセキュリティ対策
⚫ クラウドなどのサービス利用において、自組織の責任範囲を把握した上で、必要な
対策を実施できていますか？
⚫ 定期的にセキュリティ検査（診断）、監査していますか？

■ウェブサーバのセキュリティ対策
⚫ OSやサーバソフトウェア、ミドルウェアをバージョンアップしていますか？
⚫ 不要なサービスやアプリケーションがありませんか？
⚫ 不要なアカウントが登録されていませんか？
⚫ 推測されやすい単純なパスワードを使用していませんか？
⚫ ファイル、ディレクトリへの適切なアクセス制御をしていますか？
⚫ ウェブサーバのログを保管し、定期的に確認していますか？
上記で記載した「ウェブサイトのセキュリティ対策のチェックポイント20ヶ条」の実施
状況を確認するためのチェックリストが提供されています。ご活用ください。
https://www.ipa.go.jp/files/000070296.xlsx

20ヶ条を運用し続けるのが理想だが、
運用コストと難易度が高い。
目的と状況に応じたセキュリティ対策の
「機能」「価格」「運用負担」見直しが必要。

「しぇあわふ」とはWAF機能をシェアするサービス
引用：さくらのクラウドニュースしぇあわふのβ提供開始（2020年4月9日）
https://cloud-news.sakura.ad.jp/2020/04/09/sharewaf-release/
機能価格運用負担
予定提供価格月額￥６，５００（税抜）

そもそもWAFって？
引用：Web Application Firewall 読本日本語版（IPA：2011年12月）

そもそもWAFって？
引用：しぇあわふサービス仕様書（興安計装株式会社：2020年4月）
https://www.owlook.jp/public/document/sharewaf_shiyou.pdf
•Cookieの悪用遮断
•フォームハードニング
•マルウェア対策
•クライアントレピュテーション
•プロトコル違反
•プロトコルアノマリー
•要求の制限
•HTTPポリシー
•バッドロボット
•共通攻撃操作
•SQLインジェクション攻撃
•XSS攻撃
•チェックの厳格化
•トロイの木馬
•出力情報制限

WAFの種類
引用：Web Application Firewallの導入に向けた検討項目（IPA：2019年3月28日）

WAF提供形態別の比較

いま改めて見直すWebサイトのセキュリティ対策
・サイバーリスクは年々増加傾向にある。
⇒COVID-19を背景にさらに増加する恐れがある。
・今どきのセキュリティ対策は考えることがたくさんある。
⇒機能、価格、運用コストを考えて全体最適が大切。
・Webサイトのセキュリティも目的と状況に応じたセキュリティ対策
が選択可能である。

しぇあわふ開通デモンストレーション

しぇあわふデモンストレーション
➢申込に必要な情報
➢開通までのフロー
➢開通後に実施すること
➢運用について
➢いろいろカスタマイズしたくなったら
※デモンストレーション環境はさくらのレンタルサーバ、
Wordpress、無料HTTPS証明書の利用を前提としております。

申込に必要な情報
β版はマーケットプレイスお問い合わせフォームよりお申し込みくだ
さい。お問い合わせに対し申込書を添付して返信いたします。
https://www.sakura.ad.jp/request_form/marketplace/
Sample

以下の2つの情報を作成する必要があります。
・さくらインターネット会員登録
https://help.sakura.ad.jp/360000125561/
・さくらのクラウドアカウント作成方法
https://cloud.sakura.ad.jp/flow/
※β版の提供に際し、こちら2点のご登録は不要となります。

保護したいサイトのFQDNと通信の暗号化有無を確認します。
FQDNはアドレスバーに表示される情報です。
鍵マークがついていれば「暗号化あり」です。
デモンストレーション環境
・さくらのレンタルサーバ
・ Wordpress
・無料HTTPS証明書

保護したいサイトのIPアドレスを確認します。
さくらのレンタルサーバ管理画面＞サーバ情報をクリック
・ Wordpress

HTTPS証明書を入手します。
さくらのレンタルサーバ管理画面＞ドメイン/SSL ＞利用している
サイトの「SSL」をクリック
「秘密鍵」「中間証明書」「証明書」を
それぞれダウンロードします。
・ Wordpress

申込書記載例（一部抜粋）
※実際の申し込みの際には注意事項をご一読ください。
メールアドレスは運用レポートを受け
取るために必要です。
鍵付きマークがあればHTTPS、
リスニングポート443です。
WebサイトのURLとサーバ情報に記載
されていたIPアドレスを記載します。
証明書は重要な情報である為、
送付方法は別途ご案内いたします。

その他お申込みいただけるオプション
・Weeklyレポート
・アクセス元ホワイトリスト・ブラックリスト
・国別フィルタ
※オプションについてはしぇあわふ仕様書をご参照ください。
※お申込みにはユーザ情報をご記入頂く必要があります。
※本資料では一部のご利用例に基づく記載となります。
記入方法に不明な点があればお問い合わせください。
参考：しぇあわふサービス仕様書（興安計装株式会社：2020年4月）

開通までのフロー
・申込書受領後、5営業日以内に開通
・開通後、「しぇあわふサービス開通案内」を送付
Sample

開通後に実施すること
・DNSのレコード変更
https://help.sakura.ad.jp/206053042/
「しぇあわふサービス開通案内」に記載された
「site-XXXXXXXXXXXX.gslbX.sakura.ne.jp」を
wwwの「CNAMEレコード」として追加します。
この手順を実施することで、Webサイトへのアクセスが
しぇあわふ経由に切り替わります！

運用レポートで確認できること（DailyとWeekly）
サーバー利用状況
・上位のアクセス元 IP アドレス
WAF 検知状況
・種類別のブロックされたリクエスト統計
・上位の攻撃元 IP アドレス
IPS 検知状況
・攻撃カテゴリ別統計
・攻撃対象プラットフォーム別統計
・攻撃対象種類別統計
・攻撃レベル別統計
・遮断ルール別統計
・上位の攻撃元 IP アドレス
・攻撃先アプリケーション別統計
・攻撃元国別統計
・遮断された攻撃
・通過した攻撃
引用：しぇあわふサービス仕様書（興安計装株式会社：2020年4月）

WAF機能を持つSophos XG Firewallがさくらのクラウドで
ご利用いただけるようになりました。
※本サービスはしぇあわふとは別サービスです。
・独自のWAF環境を構築できます。（リソース占有の為設計の自由度が高い）
・レポートなどの運用もより詳細な情報を取得できます。

β版キャンペーンのお知らせ
本セミナー参加者限定で8月末までβ版（無償）提供いたします。
お申込みご希望の方はアンケートにご連絡先をご記入ください。

引用一覧
➢ 引用：令和元年におけるサイバー空間をめぐる脅威の情勢等について（警察庁：令和2年3月5日）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R01_cyber_jousei.pdf
➢ 引用：情報セキュリティ10大脅威 2020[組織編]（IPA：2020年3月）
➢ 引用：トラフィック情報（JPIX：2020年5月31日）
https://www.jpix.ad.jp/jp/technical_traffic.php
➢ 引用：緊急事態宣言解除後のセキュリティ・チェックリスト（JNSA：2020年5月19日）
https://www.jnsa.org/telework_support/telework_security/index.html
➢ 引用：安全なウェブサイトの運用管理に向けての20ヶ条～セキュリティ対策のチェックポイント～（IPA：2019年3月6日）
➢ 引用：さくらのクラウドニュースしぇあわふのβ提供開始（2020年4月9日）
https://cloud-news.sakura.ad.jp/2020/04/09/sharewaf-release/
➢ 引用：Web Application Firewall 読本日本語版（IPA：2011年12月）
➢ 引用：しぇあわふサービス仕様書（興安計装株式会社：2020年4月）
➢ 引用：Web Application Firewallの導入に向けた検討項目（IPA：2019年3月28日）

20200611 sakura koan_webinar_2_mm5q5ags_mijvzje4sngcybhc3tpnz8dkxm3

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 20200611 sakura koan_webinar_2_mm5q5ags_mijvzje4sngcybhc3tpnz8dkxm3

Similar to 20200611 sakura koan_webinar_2_mm5q5ags_mijvzje4sngcybhc3tpnz8dkxm3 (20)

20200611 sakura koan_webinar_2_mm5q5ags_mijvzje4sngcybhc3tpnz8dkxm3