インフラ構築・保守
セキュリティ対策
現代のビジネス環境において、サイバー攻撃から企業を守るための総合的なセキュリティ対策は欠かせません。
当社では、Fire Wall、IDS、IPS、WAFなどの最新技術を駆使し、強固なセキュリティ対策を提供しています。以下に各種セキュリティ対策の概要と、当社が提供するサービス内容をご紹介します。
お客様のよくあるお悩み
サイバー攻撃のリスクが心配
サイバー攻撃の増加に伴い、企業データの保護に対する不安が高まっています。
専門知識が不足している
社内にセキュリティの専門知識を持つスタッフが不足しており、効果的な対策が取れない。
運用コストが増加している
セキュリティ対策にかかるコストが増加し、予算の管理が難しくなっている。
コンプライアンスの遵守が難しい
業界規制や法令を遵守するためのセキュリティ対策に苦慮している。
エクザムの強み
高度なセキュリティ専門知識
経験豊富なセキュリティ専門家が最新の技術と知識を活用して、最適なセキュリティ対策を提供します。
総合的なセキュリティソリューション
ファイアウォール、IDS/IPS、WAFなどの多層防御を組み合わせ、包括的なセキュリティを実現します。
コスト効率の高いサービス
適切なセキュリティ対策を選定し、運用コストを最小限に抑えながら、高い保護レベルを維持します。
コンプライアンスの支援
業界規制や法令の遵守に必要なセキュリティ対策を提供し、企業のコンプライアンスをサポートします。
セキュリティ対策サービス
Fire Wall（ファイアウォール）
ファイアウォールは、ネットワークの入り口で不正なアクセスを防ぐ基本的なセキュリティ装置です。内部ネットワークと外部ネットワークの間に配置され、外部からの攻撃や不正アクセスを遮断します。
対策可能な攻撃
- ポートスキャン
- 内部ネットワーク侵入 など
サービス内容
- ファイアウォールの設置・設定
- 継続的な監視とメンテナンス
- 定期的なルール更新
IDS / IPS（侵入検知システム / 侵入防止システム）
IDS（侵入検知システム）は、不正なアクセスや攻撃の兆候をリアルタイムで検出します。
IPS（侵入防止システム）は、IDSの機能に加え、検出した不正アクセスを自動的に遮断します。対策可能な攻撃
- DoS攻撃
- SYNフラッド攻撃
- パケットクラフタネーション攻撃
- OSの脆弱性を狙った攻撃 など
サービス内容
- IDS/IPSの導入・設定
- リアルタイム監視とアラート発行
- 自動応答と攻撃遮断機能の提供
WAF（Webアプリケーションファイアウォール）
WAFは、Webアプリケーションを狙った攻撃を防ぐためのセキュリティ装置です。SQLインジェクションやクロスサイト・スクリプティングなど、アプリケーションレベルの攻撃を検出し、遮断します。
対策可能な攻撃
- SQLインジェクション
- クロスサイト・スクリプティング（XSS）
- OSコマンド・インジェクション
- パスワード強度試行 など
サービス内容
- WAFの導入・設定
- 継続的な監視とルールアップデート
- 攻撃検出と遮断機能の提供
IPAが提示する「安全なウェブサイトの作り方」
IPA（情報処理推進機構）が提示する「安全なウェブサイトの作り方」に基づき、エクザムは以下のセキュリティ対策を徹底しています。
| SQLインジェクション | ユーザーからの入力を正確に検証し、プレースホルダやパラメータ化されたクエリを使用して、SQLインジェクション攻撃を防ぎます。 |
|---|---|
| OSコマンド・インジェクション | ユーザー入力を直接OSコマンドに渡すことを避け、入力値を適切にエスケープして、OSコマンド・インジェクションのリスクを低減します。 |
| パス名パラメータの未チェック／ ディレクトリ・トラバーサル |
パス名やディレクトリパラメータを厳密に検証し、不正なパスやディレクトリ・トラバーサル攻撃を防ぎます。 |
| セッション管理の不備 | セッションIDの生成、管理、廃棄を適切に行い、セッションハイジャックやセッションフィクセーションを防止します。 |
| クロスサイト・スクリプティング （XSS） |
出力エンコーディングやコンテンツセキュリティポリシー（CSP）の適用により、XSS攻撃を防ぎます。 |
| CSRF（クロスサイト・リクエスト・フォージェリ） | CSRFトークンの利用やリファラーチェックを導入し、CSRF攻撃から保護します。 |
| HTTPヘッダ・インジェクション | ユーザーからの入力をHTTPヘッダに直接使用せず、適切にエスケープして、HTTPヘッダ・インジェクションを防ぎます。 |
| メールヘッダ・インジェクション | ユーザー入力をメールヘッダに直接使用せず、エスケープ処理を行うことで、メールヘッダ・インジェクションのリスクを軽減します。 |
| クリックジャッキング | X-Frame-OptionsヘッダやContent Security Policy（CSP）を使用し、クリックジャッキング攻撃を防止します。 |
| バッファオーバーフロー | 安全なプログラミング習慣を徹底し、バッファサイズのチェックを行うことで、バッファオーバーフロー攻撃を防ぎます。 |
| アクセス制御や認可制御の欠落 | ユーザーの認証と認可を厳密に管理し、適切なアクセス制御を実装することで、不正なアクセスを防止します。 |
WordPressにおけるセキュリティ対策
国内で最も普及しているWordPressのセキュリティ対策もお客様からよくご相談にあがります。エクザムでは下記のような対応をご提案します。
基本対応事例
- 管理画面にBasic認証、またはIP制限をかける
- adminアカウントの削除
- パスワードを16文字以上に変更
- XML-RPCを無効化
- WP REST APIを無効化
- SSLの導入
- バージョン情報の非表示化
- config系ファイルのパーミッションを400に設定
- テンプレート書き込み権限を拒否
- フロントからユーザー情報を非公開化
- DBのプレフィックス名をデフォルトから変更
保守サービス
- セキュリティアップデート情報の確認
- 検証環境の保守
- 動作不具合時の調査及び対応
- 年1回以上のWordPressプログラムのセキュリティアップデート作業
- 年1回以上のWordPressプログラムのプラグインにおけるセキュリティアップデート作業
- 上記に伴う動作確認・不具合の修正
総合的なシステム環境の保護
当社のセキュリティ対策サービスは、ネットワークセキュリティだけでなく、システム全体の保護を目的としています。アプリケーション層からミドルウェア、OS層まで、各層での脆弱性を総合的にカバーし、安全なシステム運用を支援します。
エクザムでは最新の技術と経験に基づき、企業のITインフラを総合的に守るための包括的なソリューションを提供します。詳細なご相談やお見積りについては、お気軽にお問い合わせください。専門のコンサルタントがお客様のニーズに合わせた最適なプランをご提案いたします。