よくあるサーバーセキュリティの問題には、マルウェア感染、不正アクセス、データ漏えい、分散サービス妨害（DDoS）攻撃、ソフトウェアの脆弱性などがあります。
サーバーセキュリティとは？
開発ライフサイクルで最も重要なことの 1 つは、Web アプリを実行するホスト環境におけるサーバーセキュリティを理解することです。サーバーは、Web アプリを導入するたびに、特定のポートを介した外部システムからの着信接続を許可します。サーバーポート は、送受信のネットワークトラフィックを識別します。
システムの完全性を維持するには、安全な接続が必要です。サーバーの脆弱性を知るには、通信が行われる場所を考慮する必要があります。
上の例の説明：
- 左のクライアント（通常は Web ブラウザー）がサーバーに HTTP リクエストを送信します。
- サーバーが HTTP リクエストを受信して処理します。
- ドメイン名が、通常はドメイン名レジストラーが管理する 1 つまたは複数のドメインネームサーバーに問い合わせられます。
- サーバーがリクエストされたコンテンツを取得または生成し、HTTP レスポンスをクライアントに戻します。
- クライアントがそのレスポンスを受信し、コンテンツをレンダリングします。
このプロセス中に、サーバー設定の脆弱性を悪用しようとする悪意のあるコンピューターからサーバーへの接続が行われる場合があります。サーバーが悪用される理由はたくさんあります。
不十分なサーバーセキュリティが悪用される一般的なサーバー攻撃について見ていきましょう。
分散サービス妨害（DDoS）攻撃
分散サービス妨害（DDoS）攻撃では、攻撃者が標的のサーバーに大量の HTTP リクエストで過負荷をかけようとします。これは HTTP フラッド攻撃とも呼ばれます。HTTP リクエストを送信するたびに、サーバーはリクエストに応答するように求められます。サーバーに同時着信リクエストの数に対応するリソースがない場合、そのウェブサーバーは停止またはクラッシュします。その後、後続の HTTP リクエストは失敗し、Web サーバーに到達できなくなります。
DDoS 攻撃は通常、ボットネットを介して実行されます。ボットネットとは、マルウェアとも呼ばれる悪性ソフトウェアに感染したデバイスのネットワークです。ファイアウォールが十分でないターゲットマシンに対して大量の HTTP リクエストを生成するように設計されています。
上の図は、HTTP フラッド攻撃の仕組みの概要を示しています。右側のクライアントがサーバーにリクエストを送信していますが、サーバーにリクエストを送信するボットも複数存在するため、サーバーのリソースが枯渇し、クライアントはサーバーに接続できません。
ディレクトリトラバーサル
ディレクトリトラバーサルも、一般的に設定が不十分なサーバーを標的とするよくある攻撃です。すべての Web ファイルは、Web のルートディレクトリから直接提供されます。HTTP Web リクエストでサーバーに接続するユーザーは、Web ルートディレクトリから特定のファイルにのみアクセスでき、ディレクトリ構造の上位にあるフォルダーに移動したりファイルを実行したりすることはできません。これが発生した場合、攻撃者が重要なシステムファイルや設定ファイルにアクセスし、サーバーに損害を与える可能性があります。
上の画像は、この攻撃の仕組みを示しています。攻撃者は、システムや設定ファイルへのディレクトリパスが含まれる変更された URL を使用して、悪意のある HTTP リクエストを送信します。サーバーがリクエストを処理し、サーバーのセキュリティ設定やアプリケーション設計が不十分なため、システムファイルを取得して、そのコンテンツやソースコードが表示されます。
総当たり攻撃
総当たり攻撃は、辞書攻撃またはアカウント乗っ取りとも呼ばれ、悪意のあるエージェントがサーバー上の制限されたアクセスポイントに侵入しようとする、非常によくある攻撃です。この制限されたアクセスポイントは通常、サーバーのルートアカウント、またはルート権限を持つ別のアカウントです。攻撃者はマルウェアを使用して、辞書の単語に基づいて自動的に生成されたパスワードとユーザー名の組み合わせで、多数のログイン試行を自動的に送信します。
上の図は、この攻撃の仕組みを示しています。左側の攻撃者が、マルウェアを使用して単語リストから生成された繰り返しログイン試行を送信します。正しい組み合わせが見つかると、攻撃者はサーバーにアクセスできます。総当たり攻撃は、サーバーが SSH 鍵認証のみを使用している場合でも、非常に効果的です。
サーバーセキュリティの確立と維持
セキュアサーバーを設定する際に考慮すべきサーバーセキュリティのベストプラクティスをいくつか紹介します。
- 最新のサーバーセキュリティパッチとアップデートにより、オペレーティングシステムとソフトウェアを最新の状態に保ちます。
- 不要なサービスやポートを無効化またはブロックして、攻撃対象を最小限にします。
- 許可されたユーザーのみがサーバーに接続してやりとりできるようにすることで、サーバーへのアクセスを制限します。
- SSL や TLS などの暗号化プロトコルを使用して、ネットワークトラフィックのセキュリティを確保します。
- 堅牢なバックアップと災害復旧計画で、データ損失とダウンタイムを最小にします。
- 強力なパスワードと多要素認証を実装して、不正アクセスから保護します。
- ファイアウォールを使用して、送受信ネットワークトラフィックを制御します。
- 疑わしいアクティビティがないか、サーバーログとネットワークトラフィックを監視します。
- 侵入の検知システムと防止システムを使用して、攻撃を特定し、防止します。
- ファイルシステムの権限やアクセス制御などのセキュリティ対策を実装して、機密情報への不正アクセスを防止します。
よくある質問（FAQ）
セキュアサーバーとは、暗号化、ファイアウォール、セキュアプロトコルなどのさまざまなセキュリティ対策でデータと通信を保護し、不正アクセスを防止し、データを安全に送信して保存するサーバーです。
はい。Web サーバーに脆弱性（古いソフトウェア、脆弱なパスワード、設定ミスなど）があると、攻撃者が不正なアクセス権や制御を得る可能性があります。
サーバーセキュリティのベストプラクティスには、ソフトウェアの定期的な更新、強力なパスワードと多要素認証の使用、データの暗号化、ファイアウォールと侵入検知システムの採用、定期的なセキュリティ監査と脆弱性評価などがあります。
Akamai が選ばれる理由
Akamai は、オンラインビジネスの力となり、守るサイバーセキュリティおよびクラウドコンピューティング企業です。市場をリードするセキュリティソリューション、優れた脅威インテリジェンス、そして世界中の運用チームが、あらゆるところで企業のデータとアプリケーションを多層防御で守ります。Akamai のフルスタック・クラウドコンピューティング・ソリューションは、世界で最も分散されたプラットフォーム上で、パフォーマンスと手頃な価格を両立します。安心してビジネスを展開できる業界トップクラスの信頼性、スケール、専門知識の提供により、Akamai は、あらゆる業界のグローバル企業から信頼を獲得しています。