公開したあとが本番。ドメインの更新とサイトの改ざん対策

サイトを作ったのは三年前でした。それ以来、ほとんど触っていません。先週、取引先から「開こうとしたら警告が出た」と連絡がありました。見に行くと、たしかに赤い画面が出ます。

公開したあとに何もしていない状態は、思っているより危うい。ここでは、ドメインの期限、改ざんやマルウェアの検知、脆弱性への手当てを、人手の少ない会社でも回る形に組み直します。作ることより、続けることのほうが手間がかかります。

作ったあと、誰も見ていない

見ていないと、止まってから気づきます。

小さな会社の自社サイトは、公開した日を最後に誰も開かないことがあります。問い合わせが来ないから見ない。見ないから、止まっていても分かりません。取引先や採用の応募者は見ていますから、気づくのは外の人です。

止まる理由は、期限切れ、支払いの漏れ、設定の変更、そして外からの攻撃です。前の二つは手帳に書けば防げます。残りは、見る仕組みを作らないと分かりません。

ドメインの期限が最初に来る

いちばん多い止まり方です。

ドメインは一年ごとの更新です。支払いに使ったカードの期限が切れていて、通知にも気づかず失効する。これが繰り返し起きます。失効すると、サイトもメールも同時に止まります。

防ぐには、自動更新にすること、カードの有効期限を控えること、そして通知の宛先をそのドメイン以外にしておくことです。取得と管理をお名前.com のような一か所に集めておけば、期限の一覧を同じ画面で確かめられます。

改ざんは、見た目で分からない

トップページは、いつもどおり表示されます。

サイトが書き換えられるとき、犯人は目立つ場所を触りません。誰も見ない階層に別のページを大量に作り、そこから外部へ誘導します。運営している側は、トップページしか見ませんから、何か月も気づきません。

気づくきっかけは、たいてい外からの連絡です。検索の結果に見覚えのない言葉で自社サイトが出てくる、警告が出て開けないと言われる、契約している先から連絡が来る。そのときには、すでに広がっています。

何を見ておくか

三つを定期的に確かめます。

ファイルが書き換えられていないか、公開している仕組みに脆弱性が残っていないか、そしてマルウェアが置かれていないか。手作業でやるなら月に一度、外から見た表示と、管理画面の更新日時を確かめる程度でも、何もしないよりはるかに違います。

継続して見るなら仕組みに任せるほうが確実です。Webセキュリティサービス【SiteLock（サイトロック）】をご入力下さい。 は脆弱性の診断と改ざんの監視、マルウェアの駆除までを合わせて提供していて、異常があれば知らせが来ます。人が毎月覚えていられない種類の作業だからこそ、自動で回る形にしておく価値があります。

古い仕組みを置きっぱなしにしない

危ないのは、使っていないもののほうです。

昔の応募フォーム、試しに入れて使わなかった機能、前の担当者が置いた検証用のページ。動いていることを誰も知らないので、更新もされません。攻撃されるのは、ほぼここです。

典型的なのは、問い合わせのフォームです。作った当時のまま何年も動いていて、届いた内容は誰も見ていない。攻撃する側から見れば、外から入力を受け付ける入り口がそこにあるということです。使っていないなら、まず止めてください。

年に一度、置いてあるものを数えてください。使っていないものは消す。消すのが怖いなら、外から見えない場所へ移す。残す判断をするなら、更新を当て続ける責任も一緒に引き受けることになります。

やられたと分かったときの順番

慌てて消すと、原因が分からなくなります。

最初にやるのは、公開を止めることです。次に、いつからおかしいのかを記録から確かめます。それから、複製を取ってあった時点まで戻します。原因を潰さずに戻すと、同じ経路でまたやられます。

個人の情報が外に出た可能性があるなら、対応が変わります。届出や連絡の要否は事案によって異なるため、専門家や関係する窓口に確認してください。自己判断で黙っているのが、いちばん傷が広がります。

戻せる状態を先に作っておく

守るより、戻せるほうが早いこともあります。

複製をいつ取っているか、どこに置いてあるか、そこから実際に戻せるか。三つ目を試したことがない人がほとんどです。取っているつもりの複製が壊れていた、という事故は珍しくありません。年に一度は、戻す練習をしてください。

置き場所は、同じサーバの中ではなく別の場所に。同じ場所に置いた複製は、その場所ごとやられたときに一緒に消えます。手元の端末に一部、別の保管先に一部。二か所あれば、たいていの場合は戻せます。

誰が見るかを決める

仕組みを入れても、通知を読む人がいなければ同じです。

月に一度で構いません。通知を確かめる人を名前で決めて、確かめた日を書き残してください。一人しかいない会社なら、その一人の予定表に繰り返しで入れておきます。

引き継ぎのときに渡すものも決めておきます。ドメインの管理画面、置き場所の契約先、監視の通知が届く宛先。この三つが渡っていないと、次の人は何も守れません。

よくある質問

Q. 作ったあと、何を確かめればいいですか。

A. ドメインと証明書の期限、ファイルが書き換えられていないか、脆弱性が残っていないかの三つです。月に一度でも違います。

Q. 改ざんされたら見た目で分かりますか。

A. 分かりません。誰も見ない階層に別のページを作られる形が多く、トップページは正常に見えます。

Q. 使っていない機能は消すべきですか。

A. 消してください。更新されないまま動いているものが、いちばん狙われます。消せないなら外から見えない場所へ移します。

Q. やられたと気づいたら何からやりますか。

A. 公開を止め、いつからかを記録で確かめ、複製から戻します。原因を潰さずに戻すと、同じ経路で繰り返されます。

まとめ

公開した日を最後に誰も見ていない自社サイトは、止まってから外の人に教えられます。

いちばん多い止まり方はドメインの失効です。自動更新と、通知の宛先を別に持つことで防げます。

改ざんは見た目で分かりません。脆弱性の診断と改ざんの監視は、仕組みに任せるほうが続きます。

使っていない古い機能は消してください。狙われるのは、そこです。

通知を読む人を名前で決めて、引き継ぐときに渡すものを三つ決めておきます。