ITセキュリティをゼロから考える

講義の意図対象者
u 情報システム担当者
u 情報システムの⼈員を配置していない会社の総務担当者

講義の意図
u セキュリティ対策は時代とともに変化しますu 10年前の考えは今は間違えとされたりします
u 過去のセキュリティ対策の思い込みを捨て、原点回帰する

パスワードパスワードu パスワードは何⽂字に設定していますか︖
u 数字だけですか︖
u 英字だけですか︖
u 英字と数字混ぜてますか︖
u 英字と数字と記号を混ぜてますか︖

複雑なパスワードにする意味あるの︖→あるんですパスワード
総当たり攻撃でパスワードを探した場合

パスワード理想は以下の⽤のパスワードが良い

3Jgkdsa@#a%q2frGajfg
⻑所u 推測されにくい
u 総当たり攻撃でも⾒つけられない

短所
u 覚えられない
u どこかにメモしなければならず、メモが盗まれたら終わりパスワードパスワード設定のコツ
u 推測されにくい
u 覚えやすいu 総当たり攻撃でも⾒つけられない

こんな条件のパスワードなんか作れるの︖
A.作れますパスワードサンドイッチが好きだからパスワードを以下にするとします。
Daisukisandwich（⼤好きサンドイッチ）

しかしパスワードが「⼤好きサンドイッチ」と知られると突破されてしまうので以下のようにしますu aを@,iを1に変更

D@1suk1s@ndw1ch
u 間に推測つかない記号や⽂字を⼊れる

Daisuki#sand%wichパスワードu ⼀⽂字置き換えi → 1、l → 1、a → @u 複数の⽂字の置き換え

ni → 2,san → 3、Shi →4、Go→5
例
SantaMonica → 3taMonica

このようにすれば以下の条件に合うパスワードを作れる
u 覚えやすいu 推測されにくい
u 記号を含むu ⻑いパスワード

パスワード（サーバーシステム）
サーバーシステムのログインパスワードの場合は⼆段階認証が使えるか確認します。
正式名称は以下の通りですが、⽇本では⼆段階認証という名前が普及している。
u 多要素認証
u MFA
u Multi Factor Authentication

パスワード（サーバーシステム）
多要素認証には以下のものがあります
電話番号やメールアドレスを登録しパスワード⼊⼒後SMSにて６桁の数字の認証キーを送信する

Authenticator アプリもしくは番号を発⾏するキーホルダーと連動させて１分１回数字発⾏したものを⼊⼒する

パスワード（サーバーシステム）
多要素認証は１分毎にランダムに⽣成される番号を⼊れることでセキュリティが担保される
u サーバーが発⾏したユニークキーをアプリに登録
u キーホルダーのユニークなシリアル番号を登録
u 電話番号
u メールアドレス

多要素認証があれば多少パスワードを簡素化してもセキュリティレベルは落ちないパスワードの⼊⼒回数を減らす
管理するサーバー数が多くなるとパスワードを⼊⼒する回数が増えて利⽤者の負担が増えます。
そこで、シングルサインオン(SSO)を導⼊してパスワード⼊⼒の負担を減らします。
１回認証が成功すると SSO サーバーが認証情報を共有してくれるため、他のサーバーはパスワードなしでログインできます。

パスワードを3か⽉毎に変えるルール︖
2000年頃 Microsoft Active Directory が普及し始めたころから始まったルール
u パスワードを３が⽉に１回変更する
u 過去１０回まで使ったパスワードの使いまわし禁⽌

このルールってセキュリティ上有効なの︖
A.無意味です2019年4⽉に Microsoft が公式にセキュリティ上無意味だったと認めてます。負担が増えるだけでなんの意味もないのですぐにやめましょう。

アンチウイルスソフト

コンピューターウイルス
コンピュータに⼊り込むとコンピュータを本⼈の意思とは無関係に操るソフトの事を⾔います。
最近ではマルウェア(malicious software 悪意のあるソフト)という⾔葉も使われます。
コンピュータウイルスは３つの特徴と４つの種類に分類されると⾔われています。

コンピューターウイルスの特徴
u ⾃⼰伝染機能

他のプログラムやシステムに⾃分の複製をコピーする

u 潜伏機能

⼀定時間もしくは特定の条件が揃うまで実⾏しない

u 発病機能ファイルの破壊、異常動作を実⾏するコンピューターウイルスの種類
u ワーム型

増殖機能が強いウイルス。別のデバイスに感染する様⼦が⾍に似てるから名づけられた。不正URLのクリックで感染する。誤動作、情報漏洩等

u トロイの⽊⾺型

スクリーンセーバーやバックグラウンドに常駐して感染する。情報漏洩や遠隔操作などがありますIoT デバイスに感染して DDoS攻撃端末として利⽤する Mirai などがありますコンピューターウイルスの種類
u マクロ型

Microsoft Office 製品のマクロ機能を利⽤したウイルス。ファイル変更、削除、⾃⼰増殖、アプリの設定変
更、メール送信等

u ファイル感染型

exe, com などのプログラム実⾏ファイルに感染し、プログラムを改ざんする。上書き型、追記型に分かれる。

アンチウイルスソフトの選定
1995年〜2000年初期
u TrendMicrou McAfee

ウイルスバスター

アンチウイルス

u Symantec

アンチウイルス

3⼤アンチウイルスソフトウェア

アンチウイルスソフトの選定
2005年価格.com サーバー トロイの⽊⾺混⼊事件
u 価格.comサーバーがハッキングされマルウェアが混⼊された
u 3⼤アンチウイルスソフトウェアがこのウイルスを検知できなかった

この事件をきっかけに３⼤ソフトウェアの優位性が疑問視された
このマルウェアを唯⼀検知できたソフトとしてESET NOD32 に注⽬が集まるアンチウイルスソフトの選定
各社から様々なアンチウイルスソフトの製品がリリースされています。そして様々な形で利⽤を勧められます。
u 販売店の勧め
u 購⼊したパソコンに付属
u 知⼈の勧めu 法⼈サービス業者の勧め
u 雑誌記事

どれも勧めるソフトの⻑所しか述べませんアンチウイルスソフトの選定
実際はどれがいいの︖
正解は時代によって変わるので最新の検査指標を参考にする。
AV-TEST というドイツに本拠地を置
くセキュリティソフトウェア調査会
社の検査指標がよい。
u システム保護
u パフォーマンス
u 使いやすさこの３つをテーマに検証しています

https://www.av-test.org/en/

システム保護ゼロデイマルウェアの保護
ウイルスパターンとして存在しないウイルスを検出できるのか。
ゼロデイ(0 day)…対策が講じられる前に⾏われるもの
374パターンのサンプルウイルスで検証(2022年)
過去４週間以内に発⾒されかつ広範囲で確認されているマルウェ
アの検出の可否
リリースされて間もないが猛威を振るうウイルスを検知できるかを確認する
23,431パターンのサンプルウイルスで検証(2022年)

パフォーマンス
u ⼈気のあるWebサイトを起動した際の速度低下

60サイトで検証(2022年)

u よく使われるアプリのダウンロード速度の遅延

25ダウンロードファイルで検証(2022年)

u 標準ソフトウェアアプリケーションの起動速度

63パターンのテストケースで検証(2022年)

u 頻繁に利⽤するアプリケーションのインストール速度

25種類のアプリケーションで検証(2022年)

u ファイルコピー検証

9852種類のファイルでコピー検証(2022年)

使いやすさアンチウイルスソフトの誤検知は使いやすさに影響を及ぼします。
u Webサイトアクセス時に誤った警告やブロック

500のサンプルで検証(2022年)
u スキャン時正規のソフトウェアをマルウェアとして誤検知

1,084,883のサンプルで検証(2022年)

u 正規ソフトインストールおよび特定のアクションの誤警告

30サンプルで検証(2022年)

u 正規ソフトインストールおよび特定のアクションの誤ブロック

30サンプルで検証(2022年)

2022年6⽉度の調査
オール６をはじき出している製品が優秀、他も許容範囲レベル
結論、どのウイルスソフトもそれほど外れがない…

パソコンの盗難と廃棄設置場所からの盗難防⽌設置場所及び保管場所からPCの盗難を防ぐ
u ワイヤーロックなどで机に固定する
u 鍵付きロッカーに不使⽤時のPCを保管

こんなもの誰も取らないだろう…という発想が危険です。取られたら困るものはとられない⽤⼼が必要です。

盗難されてしまったら移動中などでPCが⼊ったカバンを置き忘れてしまったり、盗まれてしまった場合です。

どんなに複雑なパスワードを設定していたとしても、パソコンの中のディスクを引き抜き、別ディスクとして認識してしまえば、中のデータを⾒ることができます。

BitLocker の設定
設定条件
u TPM(Trusted Platform Module)チップ搭載

Windows11が推奨しているのはTPM2
u Windows8 以降のPCに標準搭載

仕組み
チップに⼊ったハッシュ情報を基にデータ領域を暗号化する。
ディスクを引き抜いて別のパソコンに接続してもマザーボードのTPMチップが⼀致しないのでデータが複合できない

BitLocker が不要な例
u PC端末に重要なデータを保存していない
u 保存する場合が発⽣したら作業完了後速やかに削除する
u データをすべてクラウド上で管理する
u パソコンはあくまでもサーバーの接続端末としての役⽬盗難が発覚した瞬間にクラウド上のすべてのパスワードを変更してしまえば、盗難時のパスワードが分かってもデータが盗まれる⼼配はないパソコンの廃棄
パソコンの廃棄は産業廃棄物処
理業者に任せてれば⼤丈夫と考えが間違いだったという事件が2019年12⽉に神奈川県で発⽣しました。
第三者が廃棄されたディスクの内部のデータの価値を⾒出し転売する事件が発⽣しました。
第三者の⼿に渡る時にはデータが復元できないようにしなければならない

データ領域の物理破壊
u ハードディスク

円盤に⽳をあければOK、円盤が回らないように破壊する

u SSD

⿊いチップにデータが保存されるので⿊いチップを破壊したり基盤を真っ⼆つに折ればOK

⻑所︓短時間で消去できる
短所︓物理作業の⼿間、価値がなくなる

データ領域の消去処理
市販の消去ソフトもしくはフリーの消去ソフトを使う。
これらのソフトにはハードディスクやSSDのデータを消去するプログラムが⼊っている。
消去レベルのランクがありますが、⾏っていることは、ダミーデータを書き込んで削除を繰り返します。この回数が多ければ多いほどデータの復元が難しくなります。

データ領域の消去処理
データの消去グレードは３段階に分かれますu 個⼈・企業内再利⽤PCのデータ消去⽅式
u 個⼈で廃棄する場合
u 会社内で返却されたPCを消去し他の部署に回す場合

u 機密情報・顧客データの消去⽅法
u 廃棄する場合
u 重要なデータの⼊ったPCをリース返却する場合

u SSD向け完全消去
u SSDはハードディスクとデータの保存⽅法が異なるのでSSDに特化したデータの消去⽅法

個⼈・企業内再利⽤PCのデータ消去
u ゼロライト⽅式

データ領域ゼロ(0x00)で上書きする。

u ランダムライト⽅式

乱数で上書きする

u NIST 800-88⽅式

アメリカ国⽴標準技術研究所(NIST)が推奨する消去⽅法、ゼロ(0x00)を書き込んだ後、書き込み検証実施

u ランダム&ゼロライト⽅式

データ領域を乱数で上書きした後ゼロ(0x00)で上書きする※この⽅式は消去時間が短時間であるが、いづれも残留磁気を読み取る装置を使えば復元される可能性がある。

フォレンジックツール
消去された記憶媒体から残留磁気を読み取る装置があります。
u フォレンジックツール
u 復元処理を「フォレンジック調査」という事件や事故の調査でデータ消去された携帯電話、パソコンなどからデータを復元して事件解決などに利⽤される従業員及び第三者の不正⾏為が記録されたPCを証拠隠滅などで消去されてしまった場合にこのようなもので復元する

機密情報・顧客データの消去⽅法
u NIST 800-80 Advanced⽅式

アメリカ国⽴標準技術研究所(NIST)が推奨する NIST80080に準拠した消去⽅式

u 現NSA⽅式(ランダムランダムゼロ)

ディスク全体を乱数で２回上書きした後ゼロ(0x00)を上書きする

u ⽶国国防総省準拠⽅式 DoD5200.28-M

ディスク全体を固定値(0xff)、ゼロ(0x00)、乱数で上書きする。

u ⽶国空軍⽅式 AFSSI5020

ディスク全体をゼロ(0x00)で上書きした後、固定値(0xff)、ランダム固定値で書き込み最後に検証を実施

機密情報・顧客データの消去⽅法
u ⽶国国防総省準拠⽅式

DoD5220.22-M
ディスク全体の領域を最初にゼロ、次に0xff、乱数で上書きし、最後に書き込み検証を⾏います。国内企業・官公庁で、最も採⽤されている⽅式

u ⽶国海軍⽅式

NAVSO P-5239-26-MFMディスク全体の領域を固定値（0x01）、固定値（0x7ffffff）、乱数で上書きした後書き込み検証を⾏う

u ⽶国海軍⽅式

NAVSO P-5239-26-RLL
ディスク全体の領域を固定値（0x01）、固定値（0x7ffffff）、乱数で上書きした後書き込み検証を⾏う

u 旧NSA⽅式 Bit Toggle

ディスク全体の領域をゼロ（0x00）、固定値（0xff）、ゼロ（0x00）、固定値（0xff）の順に計4回の上書きを⾏います。

機密情報・顧客データの消去⽅法
u ドイツ標準⽅式 VSITR

ディスク全体の領域をゼロ（0x00）と固定値（0xff）のパターンを3回繰り返し上書きし、最後に固定値（0xAA）で上書きする

u グートマン推奨⽅式

ディスク全体の領域に対して最初に乱数を4回、その後固定値を27回、最後に乱数を4回、合計35回の上書きを⾏います。
1996年にピーターグートマンによって紹介された⽅式

選ぶコツ︓完全に好み、名前の響き
どれも実⾏するのに１〜２⽇程度かかりますが、フォレンジッ
クツールなどでの復元が不可能

SSD向け完全消去
u Secure Erase⽅式

SSDのマッピングテーブルを消去し⼯場出荷状態に戻す⽅式。
SATA/IDE SSDに⽤意されているコマンドを使⽤し、⾼速にデータ消去を実⾏します。
u 拡張 Secure Erase ⽅式

SSD内部に設定された固有の値でデータを消去します。
SATA/IDE SSDに⽤意されているコマンドを使⽤し、⾼速にデータ消去を実⾏します。

特徴
SSDに特化して開発された⽅式の為、消去処理が HDD 向けに作られたものよりも処理が速く復元も不可能

ネットワークネットワーク
現代社会においてネットワークがなければ仕事にならないと⾔っても過⾔ではありません。
便利な反⾯、第三者の悪⽤も懸念されます。
第三者が出⼊りせざるを得ない会社の場合は以下を分けます
u 社員向けネットワーク
u すべてのリソースにアクセスできる

u ゲスト向けネットワーク
u インターネット接続
u 社外の⼈へのアクセスを許したシステムのみアクセス有線LAN
有線LANは DHCP 設定されているネットワークに接続すればすぐにネットワークにアクセスできます。そのため第三者へのセキュリティ対策を講じる必要があります。
VLAN設定ゲストネットワークと社内向けネットワークを VLAN で物理的に分断し、エリアを分ける
オフィス

ゲストエリア

社員向けエリア

無線LANの接続⽅式
u WEP接続、WPA接続

Wi-Fi初期の暗号化⽅式、改ざんされやすいため現在は利⽤を推奨されていない。
→同機能しか搭載されていない Wi-Fi AP は廃棄する
u WPA2(Wi-Fi Protected Access 2)

802.11i ワイヤレスセキュリティスタンダードと呼ばれるポピュ
ラーな企画
2017年11⽉に脆弱性発⾒→FWアップデートで対応

u WPA3(Wi-Fi Protocted Access 3)

2018年6⽉に登場した新しい暗号化企画、WPA2と互換性を持つ
2019年４⽉に脆弱性発⾒→FWアップデートで対応

WPA2, WPA3の脆弱性が⾒つかるが、FWアップデートで対応できるのでこまめにFWの最新バージョンをチェックする

無線LANu ゲスト⽤ Wi-Fi

インターネット接続およびゲスト向けに開放したリソースのみ
接続許可、VLAN設定

u 社員向けネットワーク社内のリソースすべてにアクセスできる。

社員向け SSID とパスワードの公開
u 担当者及び⼀部の⼈間のみ共有

パスワード情報が漏れにくいが管理者に集中し⼤変

u 全社員に公開

この場合は第三者に漏れやすくなるので、アクセス制限を⾏う無線LANのアクセス制限
MACアドレスネットワーク機器に固有に降られる番号例) 88-D7-F6-7F-5B-73
u

重複しない番号u

この番号で制御すれば固有デバイスの制限ができるのでは︖

2000〜2010年くらいまで、割と流⾏ったセキュリティ

無線LANのアクセス制限
仮想環境の登場で揺らぐセキュリティ
VMware 、Xen、KVM などをはじめとした仮想マシン及び仮想マシンをコントロールするハイパーバイザーの登場で事態は⼀変いしました。
これらのツールは⾃由に MAC アドレスを変更できるのです。
u 登録されているマシンの MAC アドレスを調べる
u そのMACアドレスを仮想環境を持つPC上で割り当てる
u 許可されていないマシンが Wi-Fi アクセスができる

簡単に回避できる

無線LANのアクセス制限
最新OSが持つランダムMACアドレス機能の登場
u Windows

Windows10以降

u iPhone

iOS14からデフォルトでON※それ以前も搭載されていたがデフォルトOFF

u Android

バージョン8以降

昨今の OS にランダム MAC アドレス機能が搭載されています。
MACアドレスが接続するたびに変更されるため、ますます、MACアドレスによる制御設定が難しくなった。

無線LANのアクセス制限
WPA2エンタープライズ接続
u WPA2エンタープライズ対応無線LANアクセスポイント
u WPA2エンタープライズ対応クライアント
u RADIUSサーバー

上記３つの機器があれば構築可能
RADIUS サーバーで以下をユニークに管理できる
u 端末固有の情報
u ユーザー名u パスワード※MACアドレス管理を⽌めて、WPAエンタープライズを導⼊する
個⼈利⽤の場合は WPA2パーソナルで問題ない。

USBメモリ
USBメモリはデータを便利で簡単に持ち出したりできる反⾯、情報漏洩のリスクが問題視されています。
u 盗難・紛失による情報漏洩
u 利⽤者のモラル低下による漏洩
u 漏洩事故が発⽣した場合の漏洩元情報が追えない

特別な場合を除き原則利⽤を禁⽌することが望ましい

USBメモリ
代替え案
u メール添付による送信容量の制限がある

u ダウンロード⽤ファイルサーバーの⽤意

ファイルサーバーの利⽤を記録を残す

u USBメモリ貸出申請式

申請書を提出したら貸し出す
貸出理由の⽬的を果たしたら速やかに返却する→情報漏洩発⽣時に発⽣元を追える
情報漏洩事故が発⽣した時に漏洩元が追えることが⼤切スマートフォン
2000年〜2012年頃まで会社が携帯電話を⽀給するケースが多かったのは、携帯電話端末が安かったからですが、スマホ時代になり会社から⽀給するハードルの⾼さが問題視されています。
u 端末の価格⾼騰

ガラケーの10倍近くする端末を⼈数分⽤意するのはハード
ルが⾼い

u 電話通話以外の利⽤の監視

ガラケー時代は電話の発信先の管理だけよかった
u 業務に無関係なインターネット接続の監視
u 業務に無関係なアプリケーションの利⽤

スマートフォン
これらの問題の回避⽅法として以下の２つが考えられますu 個⼈端末を業務端末として使うことを許可する(BYOD)→会社が端末を⽤意しない

u モバイルデバイス管理システム(MDM)の導⼊→会社が端末を⽤意する場合

個⼈端末を業務端末として利⽤許可
昨今スマートフォンを保有してない⼈がいないと⾔っても過⾔ではありません。
そこで、個⼈端末を業務端末として使⽤することを許可してしまう運⽤⽅法です。
u メールアプリ(Gmail, Outlook等)
u 電話アプリ（会社の番号・内線で通話可能）
u Authenticator
u 業務チャットアプリ(Slack, Teams等)

すべてクラウド管理なので盗難時、退職時はアカウント停⽌すればセキュリティ上問題ありません。

モバイルデバイス管理システムの導⼊会社としてスマートフォンを⽀給する場合は、モバイルデバイス管理システム(MDM)を導⼊して管理するのが望ましいです。
u モバイル端末の紛失・盗難時のリモート制御
u デバイス機能の⼀元管理
u 各種ポリシー、アプリの⼀⻫配布など盗難が発覚した後にリモートでスマホのデータを抹消できるため情報漏洩を防げるメールサーバーメールサーバー
現代社会においてメールはビジネスにおいて⽋かせない存在になっています。
管理⽅法
u ⾃社で構築・管理
u ⼩規模なホスティング管理
u Microsoft 365やGoogle Workspace などのクラウドサービス

⾃社構築・管理、⼩規模なホスティング
昔は⾃社構築・管理が主流でした。Linux やオープンソースが得意なエンジニアがメールサーバーを構築し、管理まで⾏っていました。私もその⼀⼈でしたが現在⾃社管理のメリットはないと思います。
u ⽇々発⽣するセキュリティ問題への対策の熟知
u 通信トラフィック膨⼤による回線帯域の確保の限界
u スマホ連携の難しさ
u IMAPが主流になりサーバーに膨⼤なメールを残す
u トラブル発⽣時の迅速対応の限界
u ⾼度な知識と強固な監視体制を要求される割に成果が低い

⼤⼿メールサービスを利⽤する
Google Workspace や Microsoft 365 などの世界レベルで可⽤性を担保しているサービスを利⽤することが望ましい
u 世界中で冗⻑構成してるのでシステムがダウンしない
u 膨⼤な通信トラフィックにも世界トップレベルのバックボーンで対応

u スマホアプリとの連携の親和性の⾼さ
u 世界トップレベルのセキュリティ
u パフォーマンスが低下しない
u 1ユーザー⽉額300〜500円程度で対応可能
u サポートの充実ホームページメールアドレスの開⽰
⾃社のホームページにメールアドレスを載せていませんか。これは第三者のスパムメールの送信対象になるのですぐ⽌めましょう。

弊社へのお問い合わせはinfo@example.com へメール送信フォームを作成します。
こうすることでメールアドレスを開⽰せず問い合わせのメールを受信することができます。
HTMLのみのフォームはソースにメールアドレスが開⽰されてるので、PHPなどのプログラムで作成する。

ホームページの構成
ホームページをPHPやJSPなどで制作した場合、以下のセキュリティ対策を講じなければならないことは認識していますか。
u SQLインジェクション
u クロスサイトスクリプティング
u CSRFu ディレクトリトラバーサル
u OSコマンドインジェクション
u セッション管理不備
u HTTPヘッダインジェクション
u HTTPS不適切な利⽤ホームページの構成
今挙げた攻撃を理解し対策している⼈は問題ありませんが、わからない場合はサイトが攻撃にさらされているということです。
対応⽅法
u 今挙げた攻撃の対策を１つ１つ⾏う→代表的なものを８つ挙げただけで他にもある可能性あり

u CMSの利⽤
u フレームワークの利⽤CMSの利⽤
Contents Management System の略で、Webサイトのデザインと内容の部分を分離し、内容を簡単に編集できる仕組み。
HTMLを理解してなくてもホームページの内容の編集が⾏える。
代表的なものu WordPress (オープンソース)
u Drupal(オープンソース)
u HeartCore(商⽤)

セキュリティ対策
定期的に CMS の公式サイトをチェックして脆弱性対応があった場合はバージョンアップを⾏うフレームワークの利⽤
CMSは⽂章の修正程度しか⾏えず、ある程度⾃由にプログラムを組んだりする場合には利⽤できません。
その場合はフレームワークを使います。
u Ruby on Rails(Ruby)u CakePHP(PHP)u Synphony(PHP)u Laravel(PHP)u Django(Python)u Spring Framework(Java)

フレームワークの利⽤フレームワークは Model, View, Controller の MVC の考え⽅に基づいて開発します。
フレームワークが決めたファイル、ルール、記述⽅法に沿ってページを作成します。
メリットu 記述するコードが少なくなり記述が統⼀される

複雑なコードを１⾏で表せる⽂法を⽤意している

u 同じ記述を繰り返さない

HTMLだと複数のページに同じ記述がまたがるが、１か所に定義して使いまわす

u Webセキュリティ対策がフレームワーク事態に対応済み

WebデザイナーのWebデザイン
Webデザイナーは企業の依頼を基に会社のホームページを修正します。その際に⼈によりますが、癖で HTML 内部にメモ代わりにコメントを残す⼈がいます。
ブラウザで開くと⾒えないからと⾔って記録した内容が、本来開⽰してはいけない情報をコメントしてしまってるケースが散⾒されます。
デザイナーにコメントに情報を載せないよう意識合わせや、掲載前に確認し削除する対応が必要です。

<!-- ここから下の情報は株式上場後に表⽰する。上場までは隠す --><!- 来期「事業部を〇〇⼯業に売却する情報を載せる」-->DoS 攻撃と DDoS 攻撃
DoS攻撃
攻撃元が１台もしくは複数台のコンピュータを使って⼤量にアクセスすることでWebサーバーを落とす攻撃→⾝元が特定できるので不正アクセス防⽌法で逮捕も可能

DDoS攻撃攻撃元があらかじめマルウェア感染させた⼀般のサーバーをコントロールして複数台のコンピュータを使って⼤量にアクセスすることでWebサーバーを落とす攻撃→⾝元が特定できないので対応不可能

DDoS 攻撃対策
DoS攻撃、DDoS攻撃の対策はただ１つ
ホームページのサーバーを隠しつつホームページを表⽰する
こんなことできるの︖
CDNを使えばできます
CDN(Contents Delivery Network)
アクセス数が多すぎて⾃社でサーバーを賄いきれないサーバーのコンテンツを世界中のサーバーで分散させて表⽰する仕組みです。
YouTube, NetFlix, AbemaTVCDNの利⽤で DDoS攻撃対策
CDNは提供する企業からサービス料⾦を⽀払って利⽤します
u Akamaiu CloudFlareu Amazon CloudFront(AWS)u CDNetworks

設定⽅法
DNSに以下の設定をするだけ
www CNAME

通常
www A 22.22.22.22

xxxxxxxx.cloudflare.com

CDN事業者が指定する URL を記載するので本当のサーバーの情報は外部に公開しない。
CDN事業者に本当のサーバーのIPアドレスを登録する