質問: 外部に対してwebサービスを提供するにあたってのセキュリティがよくわかっていません。 そこでセキュリティについて質問になります。 カーネルやソフトウェアに重大な脆弱性が発見された場合、 【即時に対応】 するに関して質問です。 一つ目 仮にルータで100%悪意のある通信は遮断して正常な通信しか通さないことが可能である場合、カーネルやソフトウェアで重大な脆弱性が発見された場合、即時に対応するなんて必要ないでしょうか? 二つ目 どんなにセキュリティ対策をしても、一つ目の質問のような100%悪意のある通信を防ぐような安全なセキュリティ対策は現実では不可能なので、万一のことを考えて即時対応となる、ということで良いのでしょうか?
回答: > > ルータで100%悪意のある通信は遮断して正常な通信しか通さないことが可能 > > > 端的に言えば不可能です。なのでこの点は質問が成立しません。 例えばSQLインジェクションなどはhttp通信を使うので、ファイアウォールで遮断することはできません。 ではIDS/IPS、WAFを使えばいいのかと言うと、ゼロデイ攻撃というものが存在するので事はそう簡単ではないです。 ※何らかの手段で悪意ある通信を100%遮断できるならラクなんですけどね... > > 万一のことを考えて即時対応となる、ということで良いのでしょうか > > > 基本的にはそれでよいと思います。 ただし「即時」と言っても事前検証、各種根回しや告知が必要になると思うので、数時間から1日くらいはタイムラグが出てしまう可能性があります。 何も考えずに(事前確認も何もせずに)いきなり適用、というのもあり得る話ではありますが、その辺は脆弱性の内容次第になるかと思います。