皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、昨日お伝えした『WordPressのLogin Security』はログイン先の『2FA（Two-Factor Authentication / 二要素認証）』に何を使うか？というものでしたが、今日は、『ワンタイムパスワード』を発行するアプリに何を使うか？ということをお伝えしたいと思います。

2FA（二要素認証）のスマホアプリ

日本において一番使われていると思われるスマホアプリは『Google Authenticator / Google LLC』かとは思いますが、それ以外にも使えるものはいくつかあります。

・Microsoft Authenticator / Microsoft Corporation

・Authy / Authy Inc.

・Sophos Mobile Security / Sophos Ltd.

・1Password (mobile and desktop versions) / AgileBits Inc.

・LastPass Authenticator / LogMein, Inc.

・FreeOTP Authenticator / Red Hat

・その他etc…

こんな感じですが、『Google Authenticator / Google LLC』と同じくらい使われているのは『Microsoft Authenticator / Microsoft Corporation』のような気がします。

『1Password (mobile and desktop versions) / AgileBits Inc. 』は『パスワード管理』でもよく使われています。

個人的には『Sophos Mobile Security / Sophos Ltd.』がお勧めです。

ウイルス対策などの『エンドポイントセキュリティ』からネットワーク保護のための『UTM（Unified Threat Management） / 統合脅威管理』まで、コンピュータセキュリティのソフトウェアとハードウェアを開発・提供するベンダーです。

アプリには『2FA（Two-Factor Authentication / 二要素認証）』の『ワンタイムパスワード管理』以外に、『パスワード管理』、『QRコードのセキュリティチェック』、『Wi-Fiセキュリティ』も付いており、2FAの方式は『TOTP（時間ベース）』、『HOTP（カウンターベース）』、両方の方式に対応しています。

では、これらのウイルスメールにはどのように対処したら良いのでしょうか？

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

冒頭でも書きました通り、ウイルスメールの拡散は非常に多い状況にあります。

それらの被害を軽減するには、UTM（統合脅威管理）を導入するなどしてそれらを排除してしまうことが手っ取り早い方法ではありますが、これには導入時のイニシャルコストや保守費用としてのランニングコストが掛かります。

費用面などのこともあり、なかなか導入に踏み切れないところもあるでしょう。

また、UTM（統合脅威管理）を導入したからと言って、必ずしも万全な体制が整備されるかと言うと、そうではありません。

（※　お勧めではありますので、費用面などにおいて余裕があるのであれば導入をお勧めします。）

では、何か他に良い方法はないものでしょうか？

ウイルスメールの受信率を下げる

まず大前提として、社内のインターネットセキュリティ、端末におけるエンドポイントセキュリティは絶対条件です。

小規模であれば、インターネットセキュリティとアンチウイルスソフトなどが1つにまとめられているパーソナル向けのセキュリティでも構いませんので、各端末への導入は必須です。

さて、それを前提とした上でウイルスメールの受信率を下げるとはどういうことでしょうか？

ウイルスメールになり得るのは、zipファイルやExcel・Word、.exeや.comなどの添付ファイルが付いたメールか、メールの本文にウイルス感染への導線となるURLが書かれているかの2つになります。

そこから考えると、そもそもそれらを受信しなければ、メール経由でのウイルス感染は確率的に減少することになります。

例えば、最近最も多いウイルスメールとしてはzipファイルが添付されたものが多いですが、これをメールサーバーに届いた段階で専用アカウントに転送してしまうか、無条件で削除してしまうなどの対策をすればウイルスメールの端末（クライアントパソコン）での受信率は下がります。

クライアントパソコンでそれらを受信することがなければ、誤って添付ファイルを開いてしまうこともなくなるわけです。

ウイルス対策ソフトも絶対的に保護されることを約束されているものではありません。

タイミングなどによっては検知・駆除されない場合もありますので、端末（クライアントパソコン）で受信する前段階における対策も1つの方法と言えるでしょう。

メールサーバにおける設定方法などは明日のブログにおいてご紹介しますので、是非、明日の投稿もお読みください。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

冒頭でお書きしたことは、特にWordPressなどのオープンソースのCMSツールを使っている場合のことを意味しています。

以前もWordPressアップデート不可の記事にて書かせていただきましたが、いくつかの理由でWordPressは定期的にアップデートされています。

セキュリティ関連の修正も含まれているため本来はアップデートを行った方が良いわけですが、レンタルサーバーが対応していないなどの理由によりアップデートができないケースが存在するのも事実です。

そのような場合はどのような方法にて対処するのが良いのか？

WAFを用いたセキュリティ対策

アップデートができない以上、何らかの対策を行っていないとウェブが非常に危険な状態にさらされることは言うまでもありません。

その場合、WAF（ウェブアプリケーションファイアウォール）というものを使ってウェブアプリケーションの脆弱性を補っておくことが望ましいです。

このWAFは、通常のファイアウォールやIPSでは対処できない『SQLインジェクション』や『クロスサイトスクリプティング』などの攻撃からウェブアプリケーションを守ってくれるもので、ウェブアプリケーションの脆弱性対策アップデートが行えない以上、これくらいのことをしておくくらいしか正直手段がありません。

レンタルサーバーと自社サーバー

レンタルサーバーの場合、探せばオプションとしてWAFが使えるところはありますので、アップデートができない場合はこのようなオプション契約をされることをお勧めします。

費用的には月額500円程度で利用可能でしょう。

また、自社サーバーの場合はUTMなどの統合型セキュリティを導入されることが望ましいです。

ウェブアプリケーションそのものは脆弱性対策がとられていたとしても攻撃を受けないわけではありませんので、被害の確率を減少させるためにもUTMなどは導入していただきたいものです。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

昨今、サイバー犯罪が高度化していく中、外部からの攻撃を保護するのはファイアウォールで良いのでしょうか？

ファイアウォールでは困難

事業者の場合、社内ネットワークのどこかに業務システム・業務データが存在しています。

また、そのローカルネットワークはインターネット接続されていることが大半です。

その場合、従来のファイアウォールにて外部からの攻撃を保護しようとしても困難な時代になってきています。

ファイアウォールの場合、通信の通るところを許可したり拒否したりすることはできるものの、通信の内容までは把握することはできないため、それだけでは保護することが難しくなってきているのです。

ファイアウォールは、内側からの通信を大半許可していることが多いことから、外から不用意にダウンロードしてしまったりすることでウイルス感染してしまったり、最悪は侵入経路を作られてしまうことがあります。

不正侵入を防止する

先日の記事『リスク分析と情報セキュリティ』でも書きました通り、中小・零細企業であってもハッカーのターゲットになります。

最終目的ではなく、踏み台にされることでのターゲットになります。

その踏み台にされないためにも、不正なアクセスを検知して防御してくれるIDS（侵入検知）やIPS（侵入防御）を導入し、踏み台にされない対策が必要です。

その他の防御

上記以外にも、DLP（情報漏洩防止機能）やAPT（高度標的型攻撃）などの対策も必要になってくるでしょう。

これらに関しては、UTM（統合脅威管理）や次世代ファイアウォールと呼ばれるものを導入することが効果的です。

これらのセキュリティ製品の導入に関しては私どもでもご相談をお受けしております。

是非お気軽にご相談くださいませ。

追伸：『自社なんかが攻撃されるわけがない。』と思っていらっしゃる方、そんな時代はもう終わりました。

是非真剣にセキュリティを考えてください。