実行する仕組みを減らして、攻撃対象を絞る
- 本章の論点（Question）
- 公開サーバーに、どの実行機能を残す必要がありますか。
- 本章の命題（Assertion）
- 不要なCMSやPHP入口を減らすと対応すべき範囲を絞れますが、サーバーや認証、外部サービスのリスクは残ります。
更新日：
不要なCMSやPHP入口を減らすと対応すべき範囲を絞れますが、サーバーや認証、外部サービスのリスクは残ります。
使わない機能を残さない
CMSの管理画面やプラグインを使わないなら、更新と監視が必要な機能を減らす選択肢があります。ただし、静的化するだけで既存のPHPファイルやDBが消えるわけではありません。必要な画像や資料を確認し、バックアップと復旧方法を用意して整理します。
HTTP入口の停止とPHP本体の停止を分ける
当サイトでは、静的ファイルの配信を基本とし、PHP等のHTTP入口を拒否する設定を採用しています。これは、ホスティング基盤からPHP本体がなくなったという意味ではありません。
サーバーのソフトウェア、OS、SSH、認証情報、配置用PC、DNS、外部サービスなどの管理は残ります。攻撃対象が物理的に消滅したとは述べません。
減らした後も検証する
保護するURLと資料を一覧にし、設定変更後の応答を確認します。権限を絞り、認証情報を公開ファイルへ置かず、変更履歴を残します。不要な機能の削減と、残る機能の保守は並行して続けます。
参考資料
考え方や情報基盤の設計を組織へ導入する講演・研修も承っています。ホワイトペーパー目次・講演・研修・お問い合わせ