質問: 外部サービス提供時におけるインフラにおけるセキュリティについて質問です。上記内容でwebサービスを外部に提供しているのですが、インフラにおけるセキュリティ的に対策が不足なく行えているのかよくわかっていません。不足している場合はどこが不足しているのでしょうか?もし情報が不足しているようであればご指摘下さい。よろしくお願いします。
回答: 「インフラ」の観点から言うとざっくり以下の対策が取れると思います。 ・使用するプロダクトはサポート期限切れでないこと。 ・最新のアップデートが適用されていること。 ・無用なサービスが起動しないようになっていること。 ・パケットフィルタリングがなされていること。 ・アクセス権限が適切に付与されていること。 また加えて、きちんと「ログが取得されていること」「バックアップを適切に取得していること」なども挙げられます。 ただそれだけでは不十分で、アプリケーション側で脆弱性を抱えているとそこが突破口になる可能性もあります。 アプリケーション側のセキュリティ対策というと、フレームワークやライブラリを最新版にするという事が挙げられるかとも思いますが、「作りの問題」も原因になり得ます。 なのでぜひ**ペネトレーションテスト**をしてみることをお勧めします。 "Kali Linux"、"Backtrack Linux"といったディストリビューションでご自身でテストすることもできますが、きちんとやるのであれば専門の業者に依頼する方が良いです。 また、セキュリティ対策はやろうと思えばいくらでもやることが出てきてしまうので、「何を守るのか」「費用対効果」も意識する必要があると思います。 とはいえWebサービスを提供しているとのことなので、IDS/IPSの導入は検討した方がよい気がします。 (IDS/IPSは自分で運用するのが中々大変なので、費用が許せばマネージドサービスだとより良いかと)