目次
はじめに
目的
本ドキュメントは「web セキュリティ スキャン」に関する調査結果をわかりやすくまとめたものです。Webサイトやシステムを安全に保つための診断方法、ウイルス検出の基本、家庭や小規模事業で実践できる簡単なチェック手順を具体例を交えて解説します。
対象読者
- Web担当者やサイト運営者
- 小規模事業者や個人でサイトを管理する方
- セキュリティの基本を学びたい方
専門知識がなくても読み進められるよう、専門用語はできるだけ減らし、手順や例を丁寧に示します。
本書で学べること
- 自宅や職場でできるセキュリティチェックの具体手順
- 無料で使えるツールの紹介と注意点
- 手動診断とツール診断の使い分け
各章で実践的な手順を紹介しますので、実際に試しながら学べます。
読み方のアドバイス
最初は第2章の簡単なチェックから始めると取り組みやすいです。診断結果に不安が残る場合は、専門の業者に相談することを検討してください。
2. セキュリティ診断の新常識！自宅で実践できるチェック方法
Windowsの標準機能で手早く確認
- Windows セキュリティを開く（スタートメニュー→「Windows セキュリティ」）。
- 「ウイルスと脅威の防止」でクイックスキャンかフルスキャンを実行します。時間があるときはフルスキャンを推奨します。
- 「アカウントの保護」でサインイン設定やWindows Helloの状態を確認します。
- 「ファイアウォールとネットワーク保護」でファイアウォールが有効か確認します。
具体例：更新が止まっている場合は「Windows Update」を開き、最新の更新プログラムを適用してください。
オンラインスキャンの使い方（例：Trend Micro HouseCall）
- ブラウザでHouseCallの公式ページにアクセスします。
- 指示に従ってスキャンを開始します。専用ソフトのインストール不要で手軽に使えます。
- 検出された場合は「隔離」や「削除」の指示に従ってください。
注意点：オンラインスキャンは補助ツールです。常時監視のアンチウイルスの代わりにはなりません。
自宅でできるチェックリスト
- ファイアウォールを有効にする
- OSとソフトを最新に保つ
- 定期的にフルスキャンを行う
- 見覚えのないプログラムは削除する
- 不審なリンクや添付ファイルは開かない
簡単な習慣を続けるだけで、被害のリスクを大きく減らせます。困ったときは専門業者に相談してください。
3. Microsoft セーフティ スキャナー ダウンロード
概要
Microsoftが提供する公式のスキャンツールです。ウイルスやマルウェアの検出に特化し、常駐するアンチウイルスとは別に単発で使えます。インストール不要で実行できる点が便利です。
ダウンロードと準備
- 公式サイトからダウンロードしてください。配布ファイルは単一の実行ファイルで、ダウンロード後すぐに実行できます。
- 管理者権限で実行すると検出の精度が上がります。重要なアプリやファイルは閉じておくとスキャンが速くなります。
スキャンの手順
- ダウンロードした実行ファイルをダブルクリックします。
- 使用許諾に同意し、スキャンの種類を選びます（クイック、フル、カスタム）。クイックは短時間で要点をチェックし、フルは時間がかかりますが詳しく検査します。
- スキャンを開始して完了を待ちます。終了後に検出結果が表示され、駆除や隔離の選択ができます。
結果とログの確認
詳細なログは以下で確認できます：
%SYSTEMROOT%\debug\msert.log
ログには検出や処理の履歴が残ります。検出項目に不明点があるときは、ログ内容を参考にしてください。
注意点
- 一時的なツールなので、常駐型のセキュリティ対策の代わりにはなりません。
- 配布元は必ずMicrosoftの公式サイトを利用してください。偽の配布に注意が必要です。
4. 脆弱性診断の仕組みと選定｜手動診断とツール診断使い分け
概要
脆弱性診断には「ツール診断（自動）」と「手動診断」があります。目的や予算に応じて使い分けると効果的です。
ツール診断の特徴
- 網羅性：ポートスキャンや既知の脆弱性を短時間でチェックします（例：数千ポートの一括確認）。
- 速度と低コスト：定期的なチェックに向きます。
- 注意点：誤検知（偽陽性）や見逃し（新規の論理的脆弱性）があります。
手動診断の特徴
- 精度が高い：業務フローや設計の穴を人間が見つけます（例：二重支払いや権限昇格の検証）。
- 時間とコストがかかりますが、重要システムでは不可欠です。
ネットワーク診断で行うこと
- ポートスキャン、サーバー脆弱性、設定（ファイアウォール、TLS等）、アカウント運用の検査。
- リモート診断は外部からの攻撃を想定、オンサイト診断は内部ネットワークや機器を直接確認します。
アプリケーション診断（リリース前）
- 入力検証、クロスサイトスクリプティング（XSS）、SQLインジェクション、認可の確認を重点的に行います。
- 例：ログインや検索フォームに不正な入力を送って動作を確認します。
選定の目安
- 定期的なチェックはツールで自動化し、年に一度以上は手動診断を入れると安心です。重要度が高ければ手動中心にしてください。
実務的な注意点
- 診断前にバックアップと実施範囲の合意を取り、検査時間帯や連絡方法を明確にしてください。
