第1段階
まず、いまの状態を知る
この段階ですること
外から見える範囲と、中に入ってから見える範囲の両方を調べます。そのうえで、すぐ直すべきものと様子を見てよいものに仕分けます。
STEP 01
使っているソフトの版と、公開されている弱点を突き合わせます。外部からの診断と、内部に入ってからの確認を分けて行います。
STEP 02
仕分ける
見つかったものには、すぐ直すべきものと様子を見てよいものが混ざります。どこから手を付けるか判断できる形でお渡しします。
第2段階
見つけたものを、直す
この段階ですること
報告書を渡して、終わりにしない
STEP 03
見つかった箇所に実際に手を入れます。直したあと、同じ手順でもう一度確かめます。直っていなければ、直るまで続けます。
STEP 04
直す
手を入れる前に、いまの動きを確かめます。直したあとも同じ手順で確かめ、関係のないところまで変わっていないことを見ます。
確かめ直す
最初に使った手順をそのまま流し、同じ箇所が出てこないことを確認します。確認の記録もお渡しします。
STEP 05
止める層と、気づく層を足す
攻撃を止める仕組みと、起きたことに気づくための記録を整えます。ここまでやって、ようやく守りが成立します。
STEP 06
WAFを入れる
既知の攻撃を手前で止めます。誤検知で本来の通信まで止めないよう、運用しながら調整します。
STEP 07
ログを監視する
第3段階
守る層を足す
この段階ですること
取るだけで見ない記録は、無いのと同じです。何が起きたら知らせてほしいのかを先に決めます。
STEP 08
通知を設計する
STEP 09
仕分ける
鳴りすぎる通知は、誰も見なくなります。本当に対応が必要なときだけ鳴るよう、閾値と宛先を調整します。
パスワードだけで守る状態をなくす
STEP 10
管理画面や社内システムから順に、多要素認証を入れます。合わせて、戻せるかどうかも確かめます。
多要素認証を入れる
管理画面、社内システム、外部サービスの順に入れます。運用の負担が増えすぎない形を一緒に考えます。
バックアップを戻して確かめる
取っているだけでは足りません。実際に戻せるかを試し、手順を残します。
STEP 11
復元の訓練
第4段階
続ける
この段階ですること
決めた間隔で、実際に戻してみます。戻せなかった場合は、取り方から見直します。
STEP 12
一度直して、終わりではない
新しい弱点は毎月見つかります。放っておくと、直したはずの状態から静かにずれていきます。
STEP 13
設計のいちばん最初に入れる
「自分のサイトが
危ないのか」を
知りたいだけでも。
使っているバージョンと、何を直すべきかをお伝えします。
診断だけ、改修だけ、どちらか一方のご依頼でも構いません。
すでに他社で診断を受けた結果をお持ちでも対応できます。
見つけて、直して、気づける状態にする。
そこまでやって、はじめて守ったことになります。
他のページを見る
Other
