はじめに
本書の目的
本ドキュメントは、Webセキュリティの基礎知識を初心者向けに分かりやすく解説することを目的としています。専門用語は最小限にし、具体例を交えて身近なリスクと対策を理解できるようにしました。
この章で得られること
- Webセキュリティの全体像がつかめます。
- 代表的な脅威や攻撃手法の概要が分かります。
- 日常的にできる基本的な対策が分かります（例：パスワード管理、ソフト更新）。
想定読者
Webサイト運営者、個人で情報を守りたい方、IT初心者を想定しています。専門的な知識は不要です。
読み方の指針
各章を順に読むと理解が深まります。まずは概念を押さえ、後の章で具体的な脅威や対策を学んでください。
注意点
本書は入門書です。実際の対策は状況に応じて技術者と相談することをおすすめします。
Webセキュリティとは何か
概要
Webセキュリティは、インターネット上の脅威からWebサイトやWebアプリ、そこに保存・やり取りされるデータ、利用者を守る取り組みです。許可のないアクセスや改ざん、サービスの停止、個人情報の漏えいなどを防ぐことを目的とします。
守る対象と具体例
- Webサイト・Webアプリ：会社のコーポレートサイトやネットショップ、会員向けサービスなど
- データ：顧客情報、会計データ、画像や文章などのコンテンツ
- 利用者・組織：顧客の個人情報や社内の管理画面
例えばネットショップでカード情報が盗まれれば顧客に被害が出ます。管理者のログイン情報が漏れるとサイト全体の改ざんにつながります。
どのように守るか（代表的な対策）
- ソフトウェアの更新：CMSやプラグインは最新に保つと脆弱性を減らせます。
- 認証の強化：強いパスワードや多要素認証を使うと不正ログインを防ぎます。
- 通信の暗号化（HTTPS）：通信を暗号化すると第三者による盗聴を防げます。
- 入力の検証：フォームに不正なコードが入らないようチェックします（例：コメント欄に悪意あるスクリプトを混入させない）。
- 監視とバックアップ：異常を検知したり、万が一の復旧に備えて定期的にデータを保存します。
- 教育と運用ルール：管理者や利用者に対する注意喚起や運用手順の整備が重要です。
誰が関わるか
開発者が安全な仕組みを作り、運用者が設定や監視を行い、利用者も基本的な注意を払うことで成り立ちます。技術だけでなく、人と運用も含めた総合的な取り組みがWebセキュリティです。
なぜWebセキュリティが重要なのか
背景
インターネット上で多くの情報とサービスを扱う現代、WebサイトやWebアプリは業務や生活の基盤になっています。利用者数や取り扱うデータが増えるほど、攻撃者が狙う理由が増えます。
発生する主な被害と具体例
- 個人情報の流出：顧客の住所やメールアドレスが外部に出ると、信頼を失います。
- 金銭的損失：オンライン決済や口座情報が漏れると直接の金銭被害が発生します。
- サービス停止：サイトが使えなくなると顧客が離れ、売上が落ちます。
Webサイトが踏み台になる仕組み
攻撃者は脆弱なサイトを足がかりにして、社内ネットワークや他システムへ侵入します。つまり一つの弱点が組織全体の危機に発展します。
なぜ組織で対策が必要か
被害は直接的な損失だけでなく、信用低下や法的責任にもつながります。運営側が基本的な対策を講じることでリスクを大きく減らせます。具体的な対策は別章で詳しく説明します。
Webサイト・Webアプリに潜む「脆弱性」とは
定義
脆弱性とはセキュリティの欠陥や弱点です。システムやソフトウェアの不備が攻撃者の入り口になります。Webサイトでは、小さな見落としが大きな被害につながります。
どこにあるか
脆弱性はOS・ミドルウェア・アプリケーション・ネットワークなど様々な層に存在します。Webサイトでは特に、入力フォーム、CMSやプラグイン、アクセス権の設定に多く見られます。
具体例（分かりやすく）
- フォームの入力チェック漏れ：悪意ある文字列でデータを盗まれることがあります（例：ログイン画面での不正挿入）。
- 古いCMSや放置したプラグイン：既知の欠陥を利用されて不正アクセスされます。
- 誤ったアクセス権限：公開してはいけない管理画面やファイルが外部から読める状態になります。
攻撃で何が起きるか
攻撃者は脆弱性を利用して不正ログイン、個人情報や顧客データの窃取、サイト改ざん、さらにはサーバーを乗っ取ることがあります。最初は小さな侵入でも、横展開で大きな被害に発展します。
発見と基本対策
- 入力値を必ず検証する（許可する文字だけ受け付ける）。
- CMSやプラグインは定期的に更新する。
- 最小権限の原則でアクセスを制限する。管理画面はIP制限や二段階認証を導入する。
- 定期的に脆弱性スキャンやログ確認、バックアップを行う。これらでリスクを大きく減らせます。
代表的なWebの脅威・攻撃手法
マルウェア（不正なソフト）
マルウェアはウイルスやトロイの木馬などの総称です。感染するとデータを盗んだり、遠隔操作されたりします。例：偽のソフトをダウンロードして感染することがあります。対策はウイルス対策ソフトの導入やソフトを公式から入手することです。
フィッシング（偽サイトで情報をだまし取る）
フィッシングは銀行やサービスの偽サイトでログイン情報を入力させる手口です。メールやSMSで不審な誘導が来たらURLを直接入力して確認してください。二段階認証を設定すると被害を減らせます。
データ漏えい
データ漏えいはサーバーやサービスから個人情報が外部に流出することです。弱いパスワードや未更新のソフトが原因になります。パスワード管理やアクセス権の見直しで防げます。
サービス拒否攻撃（DoS / DDoS）
大量のアクセスでサービスを止める攻撃です。小規模なサイトでも被害を受けます。対策はトラフィックの監視やクラウドの防御サービスの利用です。
Webアプリ特有の攻撃（例：SQLインジェクション、XSS）
入力欄に悪意ある文字を入れてデータベースを操作したり、利用者の画面で不正なスクリプトを実行させたりします。入力の検証や出力のエスケープで防ぎます。
マルウェア
マルウェアとは
マルウェアは悪意を持って作られたソフトウェアの総称です。目的は情報を奪う、機器を不正に操作する、ファイルを暗号化して身代金を要求するなどさまざまです。日常では見えない形で動きますが、被害は深刻になります。
主な種類と特徴
- ウイルス：ファイルに寄生してほかに広がる。添付ファイルを開くと感染する例があります。
- ワーム：ネットワーク経由で自動的に広がる。メールのリンクや脆弱な機器経由で感染します。
- トロイの木馬：便利なソフトに見せかけて裏で不正を行う。見た目で判断しにくいです。
- ランサムウェア：ファイルを暗号化し復号の代わりに金銭を要求します。
Web経由の感染例
改ざんされたサイトにアクセスするだけで攻撃コードを読み込む場合があります。また不正広告（マルバタイジング）から自動的にマルウェアが落ちることもあります。
被害の具体例
個人情報の流出、パソコンの遠隔操作、重要ファイルの暗号化による業務停止などが発生します。
基本的な対策
- OSやソフトを常に更新する
- 信頼できるウイルス対策ソフトを導入する
- 不要な添付ファイルや不審なリンクを開かない
- 広告ブロッカーを利用する、公式サイトからソフトを入手する
- 定期的にバックアップを取る
発見と初動対応
異常な動作やファイルの消失・暗号化に気づいたら、まずネットワークを切断し、専門家や担当者に相談してください。無理に操作すると証拠が消える恐れがあります。
フィッシング
何が起きるか
フィッシングは、本物そっくりの偽サイトや偽画面でID・パスワードやクレジットカード情報をだまし取る攻撃です。攻撃者はメール、SNS、SMSなどで偽の誘導リンクを送り、利用者が入力した情報をそのまま収集します。被害は個人情報の盗難、なりすまし、不正課金など多岐にわたります。
具体的な手口
- ログイン画面を模した偽ページへの誘導
- 決済画面を装ったフォームでカード情報を入力させる
- ファイル添付やリンクでマルウェアを仕込むケース
見分け方のポイント
- 送信元アドレスやURLのドメインを確認する
- 予期しない緊急の要請（今すぐ確認、支払いが必要など）は要注意
- パスワードやカード情報をメールで求められたら断る
組織・運営者向け対策
- 正規サイトのブランドを保護し、公式ドメインとサブドメインを管理する
- SPF/DKIM/DMARCでなりすましメールを防ぐ
- SSL/TLS証明書を適切に設定し、監視する
利用者向けの注意点
- リンクをクリックする前にURLを長押しやホバーで確認する
- ブックマークや公式アプリからログインする習慣をつける
- 二段階認証（2FA）を有効にし、同じパスワードを使い回さない
SSL/TLSは通信の暗号化と証明に役立ちますが、鍵マークだけで安全とは限りません。常にURLや送信元を確認し、怪しいと感じたら直接公式窓口に問い合わせてください。
データ漏えい
概要
データ漏えいは、本来守られるべき情報が第三者に流出することを指します。Webアプリの脆弱性や設定ミス、誤操作、内部不正など原因は多岐にわたります。流出すると個人情報や機密情報の漏えいという重大な影響を招きます。
主な原因
- Webの脆弱性（例：SQLインジェクションでDBから情報が抜き取られる）
- ファイルやディレクトリの公開設定ミス（誤って社内資料を公開する）
- 設定漏れや認証の弱さ（パスワード使い回し、未保護のAPI）
- 人的ミスや内部不正（誤送信、USB持ち出し、悪意ある社員）
流出データと影響
個人情報（氏名・住所・連絡先）、顧客情報、営業・技術の機密が主です。被害は法的制裁、信用失墜、金銭的損失につながります。被害者の二次被害（詐欺など）も懸念されます。
発見時の初動対応
- まず影響範囲を特定し、流出源を隔離します。サーバやアカウントを一時停止する場合があります。
- 関係者へ報告し、法的・監督機関への届出要否を判断します。
- 警察や外部の専門家と連携してログ解析と原因調査を行います。
- 必要なら被害者へ通知し、再発防止策を説明します。
具体的な予防策
- 定期的な脆弱性診断と速やかな修正
- アクセス制御と最小権限の徹底
- データの暗号化（保存時・送信時）
- ログの監視と不正検知の仕組み
- 社員向けの操作・セキュリティ教育
内部不正・誤操作への対策
変更履歴やアクセス履歴を残し、承認フローを設けます。外部記録媒体の利用を制限し、持ち出しを管理します。定期的な権限見直しで不要なアクセス権を削除します。
具体例
- SQLインジェクションで顧客DBが流出した事例：入力検証不足が原因
- S3や公開ディレクトリの設定ミスで大量ファイルが公開された事例：設定確認不足が原因
日常の運用と迅速な初動が、被害を小さくするカギです。
サービス拒否攻撃（DoS / DDoS）
概要
サービス拒否攻撃（DoS/DDoS）は、大量の通信や不正な要求を送り付けて、正当な利用者がサービスを使えなくする攻撃です。1台から行うものをDoS、複数台を使うものをDDoSと呼びます。
主な影響
- ECサイト：注文できず売上が落ちます。
- 企業サイト：信頼が低下します。
- 社内システム：業務が止まり生産性が下がります。
攻撃の種類（わかりやすく）
- 大量送信型：単純に大量のデータや接続を送り資源を使い果たします。
- プロトコル型：通信の仕組みに穴を突き、負荷を作ります。
- アプリ層型：通常の操作に見せかけてアプリを疲弊させます。
検知と初動対応
- 通信量や接続数の急増を監視します。
- 異常を発見したら、トラフィックを遮断せずにまず状況を把握します。
- 必要ならISPや防御サービスに連絡して緩和策を依頼します。
予防と緩和策
- レート制限：短時間のリクエストを抑えます。
- CDNやロードバランサ：負荷を分散します。
- WAF（攻撃の振る舞いを遮る仕組み）：悪意あるリクエストを弾きます。
- ブラックホールやスクラビング：不正トラフィックを隔離します。
事後対応と運用上の注意
- 被害状況を記録し原因を分析します。
- 再発防止の設定やルールを更新します。
- 関係者への報告と顧客対応手順を整備します。
日常から監視と簡単な対策を整えておくことで被害を小さくできます。
Webアプリケーション特有の攻撃
概要
Webアプリにはブラウザとサーバーをつなぐ特有の攻撃が存在します。代表はSQLインジェクションとクロスサイトスクリプティング（XSS）です。どちらも入力や表示の扱いを誤ると簡単に成功します。
SQLインジェクション（SQLi）
説明：攻撃者が悪意あるSQLを入力欄に入れて、データベースを不正操作・窃取します。
例：ログインで “‘ OR ‘1’=’1” を入れると認証をすり抜けることがあります。
対策：プレースホルダ（パラメータ化されたクエリ）を使い、生の文字列連結を避けます。入力長や型のチェックも有効です。
クロスサイトスクリプティング（XSS）
説明：攻撃者のスクリプトを他ユーザーのブラウザで実行させます。MDNの定義と同様に、Webアプリを経由してクライアント側にスクリプトを挿入します。
例：掲示板に “alert(document.cookie)” を書き込み、他人のCookieを盗む可能性があります。
対策：出力時に適切なエスケープ（HTML属性・テキスト・JavaScript別）を行い、信頼できない入力はそのまま表示しないでください。HTTPOnlyクッキーとContent Security Policy（CSP）も有効です。
検出と対応
ログやWebアプリ脆弱性スキャナ、コードレビューで早めに見つけます。問題発見時は速やかに入力検証と出力処理を見直し、必要ならパッチを適用して監視を強化してください。
