セキュリティだけでないWebサイトのハードニング戦略

　2012年10月、セキュリティイベント「Hardening One」が都内某所で開催された。本イベントの最大の特徴は、実際の模擬ECサイトが用意され、セキュリティインシデントや見落とされがちな問題が次々と参加チームを襲うこと。いかにこれらの脅威を排除し、ECサイトの売上を伸ばせるかをチーム対抗で競う。

　官公庁サイトなど、DoS攻撃・改ざんが仕掛けられたAnonymousによるサイバー攻撃事件、インターネットバンキングの利用者情報を狙ったポップアップウイルス事件など、Webサイトのセキュリティインシデントは日ごと悪辣さと巧妙さを増している。外部に公開する以上、あらゆるECサイトや企業ホームページが日々、多様な攻撃にさらされている。

　しかも、Webサイトやサーバ、ネットワークでは毎年数千件ものぜい弱性が発見されており、過去のぜい弱性に遡って悪用されることも多々ある。これらすべてに対応するには、JavaやMySQL、Linuxカーネルなど、細かい技術知識が必要だろう。

「セキュリティポリシーを設定したり、PDCAやリスクコントロールを規定すれば大丈夫という時代は終わった。複雑化するシステム構成、膨大かつ多岐にわたるセキュリティ知識、詳細なコンピュータ言語の知識、運用戦略など、多角的な視点から堅牢化（ハードニング）を図る必要がある。」

　Webアプリケーションセキュリティの研究や情報共有、普及啓蒙を行う「Web Application Security Forum」（WASForum）が主催する「Hardening Project」実行委員会の実行委員長、奈良先端科学技術大学院大学の門林雄基氏は、こう述べる。

　ただし、ハードニング戦略は技術要素のみで成立するものではない。Webサイトを健全に保つことは、ECサイトであればそのまま売上に、企業ホームページであれば信頼性に直結する。また、サイト利用者からの苦情や問い合わせへの対応、経営部門への情報のエスカレーションや説明など、内外との的確なコミュニケーションも円滑な事業促進に影響する。

　セキュリティ知識、技術力、コミュニケーション能力。これらいずれかが欠けても、安全・安定のWebサイト運用は実現しない。こうした高度な総合スキルが要求されるWebサイト運用者にスポットライトを当て、トップエンジニアを発掘・顕彰するセキュリティイベントが、「Hardening One」だ。同イベントは、2012年4月に開催された「Hardening Zero」に続くもので、競技日の「Hardening Day」と、各チームによる考察や賞の授与が行われる「Softening Day」の2部構成になる。


　競技内容は、次のとおり。


【次ページ】無事守りきったのか？総合力を問う4つのリスクポイント