セキュリティ上の誤設定という言葉は、コードの問題ではなく、アプリケーションの設定に起因する一般的な脆弱性を含む、ちょっとしたキャッチボールのようなものです。最も一般的なものは、通常、単純なミスを伴うものですが、そのような誤設定をしたアプリを展開する組織にとっては大きな影響を与える可能性があります。

よくあるセキュリティの設定ミスには、本番環境にデプロイする前にアプリケーションのデバッグ処理を無効にしていない、アプリケーションに最新のパッチを自動的に適用させていない、デフォルトの機能を無効にし忘れている、などがありますが、これらは将来的に大きな問題を引き起こす可能性があります。

セキュリティの設定ミスによる脆弱性に対抗する最善の方法は、本番環境に展開する前にネットワークから排除することです。

このエピソードでは、以下のことを学びます。

• ハッカーはどのようにして一般的なセキュリティの誤設定を見つけ出し、悪用するのでしょうか。
• セキュリティの誤設定が危険な理由
• セキュリティの誤設定を見つけて修正するために採用できるポリシーとテクニック。

攻撃者はどのようにして一般的なセキュリティの誤設定を利用するのか？

よくあるセキュリティの設定ミスはたくさんあります。最もよく知られているものは、ハッカーのコミュニティでよく知られており、脆弱性を探すときにはほとんどの場合、検索されます。最も一般的な誤設定には、以下のようなものがありますが、これらに限定されるものではありません。

• よく知られているパスワードのデフォルトアカウントを無効にしない。
• スタックトレースやその他のエラーメッセージをユーザーに表示するようなデバッグ機能をプロダクションでオンにしておくこと。
• 不要なポート、サービス、ページ、アカウント、権限など、不要な機能やデフォルトの機能が有効なままになっている。
• セキュリティヘッダを使用していない、またはセキュリティヘッダに安全でない値を使用している。

誤設定の中には、よく知られていて、簡単に利用できるものがあります。例えば、デフォルトのパスワードが有効になっている場合、攻撃者はそのパスワードとデフォルトのユーザー名を入力するだけで、システムへのハイレベルなアクセスが可能になります。

また、アプリをデプロイした後にデバッグ機能を有効にしたままにしている場合など、設定ミスにはもう少し手間がかかります。このような場合、攻撃者はエラーを引き起こそうとし、返された情報を記録します。その情報をもとに、ターゲットを絞った攻撃を行い、システムに関する情報や、盗もうとしているデータの所在を明らかにすることができるのです。

なぜセキュリティの設定ミスは危険なのか？

悪用されるセキュリティの誤設定の内容によっては、情報の漏洩からアプリケーションやサーバの完全な侵害まで、さまざまな被害が発生する可能性があります。セキュリティの誤設定は、熟練した攻撃者が利用できる防御の穴を提供します。デフォルトのパスワードが有効になっているなど、一部の脆弱性については、経験の浅いハッカーであっても悪用することができます。デフォルトのパスワードを調べて入力するのは、天才でなくてもできることです。

セキュリティの設定ミスがもたらす脅威の除去

セキュリティの設定ミスを避けるための最善の方法は、組織全体に展開されるすべてのアプリやプログラムに安全な設定を定義することです。これには、不要なポートを無効にする、アプリが使用しないデフォルトのプログラムや機能を削除する、デフォルトのユーザやパスワードをすべて無効にするか変更する、などが含まれます。また、本番環境に導入する前に、ソフトウェアのデバッグモードを常に無効にするなど、よくある設定ミスをチェックして対処することも含まれます。

これらが定義されたら、すべてのアプリがデプロイされる前に通過するプロセスを導入する必要があります。理想的には、誰かがこのプロセスの責任者となり、それを実施するための十分な権限を与えられ、一般的なセキュリティの設定ミスがあった場合には責任を負うべきです。

セキュリティの誤設定に関する詳細情報

さらに詳しい情報は、OWASPの最も一般的なセキュリティ設定ミスのリストをご参照ください。また、サイバーセキュリティチームを究極のサイバー戦士に育成するSecure Code Warrior プラットフォームの無料デモで、新たに得た防御知識を試すこともできます。この脆弱性やその他の脅威への対策について詳しくは、Secure Code Warrior ブログをご覧ください。

今すぐセキュリティの誤設定を阻止する準備はできていますか？私たちのプラットフォームにアクセスして、自分自身に挑戦してください。 [Start Here]