本文へスキップ

トップ / Web アプリ保護セルフチェック

SELF-CHECK

あなたの Web アプリ、
守れていますか？

Web サイトやアプリから情報が漏えいする事案が相次いでいます。本人確認書類の画像まで流出した事案もあり、脆弱性への対策だけでなく、どんな情報を持ち、どう管理しているかまで含めた見直しが必要です。Web アプリケーションを守るための基本的な対策を、10 の観点で確認できます。

10 の観点・36 項目
約 5 分
入力内容は送信・保存されません

対応できている項目にチェックを入れてください。

01認証0 / 4

管理者や重要な操作に、多要素認証を使っているパスワードが漏れても、それだけでは入られないようにします。
ログインの試行回数を制限しているパスワードの総当たりや使い回しの悪用を防ぎます。
パスワードの再設定が安全な手順になっているメールアドレスを知っているだけで他人のパスワードを変えられないようにします。
初期パスワードや共有アカウントを使っていない誰が操作したか分からず、退職後も使えてしまう状態を避けます。

02認可・アクセス制御0 / 3

URL やリクエストの ID を変えても、他人のデータは見えない検査で特によく見つかる問題（IDOR）です。サーバ側で毎回確認します。
API にも、画面と同じ権限チェックをしている画面で見えないボタンも、API を直接呼べば実行できてしまうことがあります。
管理画面を誰でも開ける状態にしていない接続元の制限や多要素認証で、管理画面への入口を絞ります。

03セッション0 / 3

ログアウトしたら、セッションが無効になる盗まれたセッションが使い続けられないようにします。
Cookie に Secure・HttpOnly などの属性を付けている通信の盗聴やスクリプトからの読み取りを防ぎます。
一定時間操作がなければ、自動でログアウトする共用端末などで、ログインしたまま放置されるのを防ぎます。

04入力と出力0 / 2

入力値を検証し、画面に出すときはエスケープしているクロスサイトスクリプティングや SQL インジェクションの基本的な対策です。
アップロードできるファイルの種類・サイズ・保存先を制限している不正なファイルの実行や、公開領域への保存を防ぎます。

05公開設定・情報の露出0 / 5

エラー時に、内部の詳細な情報を表示していない攻撃の手がかりになる情報を外に出さないようにします。
バックアップや設定ファイルを、公開領域に置いていないファイル名を推測されるだけで取得されてしまいます。
ディレクトリの一覧が表示されない置いてあるファイルが丸見えになるのを防ぎます。
クラウドストレージを意図せず公開していない保存場所の公開設定は、漏えいの原因になりやすいポイントです。
テスト環境や開発用の画面を、インターネットに公開していない本番より守りが弱い環境が、入口になることがあります。

06ソフトウェアと構成0 / 3

OS・ミドルウェア・ライブラリを最新の状態に保っている公開されている脆弱性は、すぐに攻撃に使われます。
使っていないポートやサービスを止めている不要な入口を減らします。
古い TLS や弱い暗号を無効にしている通信の盗聴や改ざんを防ぎます。

07アプリとソースコード0 / 3

API キーや秘密鍵を、コードやアプリに埋め込んでいないアプリやコードを解析されると、そのまま取り出されます。
モバイルアプリの端末内に、機密情報を平文で保存していない端末を解析されたときの被害を防ぎます。
開発委託先の成果物を、セキュリティの観点で確認している納品物に脆弱性が含まれていないかを確かめます。

08防御と監視0 / 4

WAF などで、攻撃を遮断する仕組みを入れている入れているだけでなく、実際に効いているかの確認も大切です。
アクセスログや操作ログを残している何が起きたのかを後から確認できるようにします。
不審なアクセスを検知し、担当者に連絡が届く気づくのが遅れるほど、被害は大きくなります。
インシデント時の対応手順と連絡先が決まっている漏えいが疑われたときに、迷わず動けるようにします。

09データの管理0 / 6

本人確認書類の画像などを、確認後も保存し続けていない確認が済んだら削除する、または保存しない仕組みにします。
保存する情報と、保存期間・削除のルールを決めている持っていない情報は、漏れることもありません。
個人情報のファイルを、Web から直接・推測できる URL で取得できる場所に置いていないファイルの置き場所とアクセス方法を確認します。
保存しているデータやバックアップを暗号化している万一持ち出されたときの被害を抑えます。
個人情報にアクセスできる人を必要最小限にし、履歴を残している誰がいつ見たかを追えるようにします。
退職者や委託先のアカウントを、速やかに削除している使われなくなったアカウントが、入口になるのを防ぎます。

10継続的な確認0 / 3

定期的に、第三者による診断を受けている自分たちでは気づきにくい問題を見つけます。
リリースや大きな変更のときに、セキュリティを確認している変更のたびに、新しい脆弱性の要因が生まれます。
新しい脆弱性の情報を確認し、対応している使っているソフトウェアの脆弱性情報を追いかけます。

Contact

結果をもとに、必要な対策をご提案します

未対応の項目や、判断に迷う項目があれば、お気軽にご相談ください。

お問い合わせ・お見積り診断メニューを見る