ホームページのセキュリティ対策KAGISKeep AI Guarding Internet Sites

1. Step 01

   構成を取得する

   毎日、契約サイトで使っているバージョンを取得します。

   • WordPress本体
   • プラグイン
   • テーマ
   • OSのパッケージ（サーバー契約）
2. Step 02

   脆弱性情報と照合する

   複数の情報源を集約した公開データベースと突き合わせます。

   • 公開の脆弱性データベース（JVNを含む）
   • 攻撃が確認された脆弱性の公的なリスト
3. Step 03

   新しいものだけ通知する

   新しく該当したものだけを、深刻度と対応期限を付けて担当者へ通知します。通知済みのものは繰り返し流しません。

   • 緊急
   • 高
   • 中低

Next.jsなどWordPress以外で作られたサイトは、使っている依存パッケージの脆弱性を月1回監査します。深刻度ごとの対応期限は保守プランの表のとおりです。

毎朝、最新のバックアップが新しいかを確認します。取得が止まった場合は、別の外部の見張りからも通知が届きます。

毎月の復元テスト

1. 01

   実際に戻す

   月1回、バックアップを当社の検証環境に戻します。対象は直近の日次1本と、約1か月前の世代1本です。

2. 02

   開けるか確かめる

   ページが開くことと、データベースの整合チェックが通ることを確認します。結果は月次報告に載せます。

3. 03

   外へは送らない

   検証環境では外部への送信とメールを止めて動かします。戻したサイトからフォームの通知やメールが送られることはありません。

• 01

  WordPress本体とプラグインのファイルが、公式配布ファイルのチェックサムと一致するか

• 02

  画像などのアップロード用フォルダに、実行できるプログラムファイルが置かれていないか

• 03

  不正なコードによく使われる書き方が含まれていないか

• 04

  前回の照合から、新しく増えたり書き換わったりしたプログラムファイルがないか

ログイン試行回数の制限と2要素認証は、ご契約時に設定します。

改ざんや不正アクセスが見つかったときの手順です

1. 01

   止める

   サイトへのアクセスを遮断するか、メンテナンス表示に切り替えます。被害の広がりと、訪問者への影響を先に止めます。

2. 02

   ログを退避する

   調査に使うログを、復元作業より先に退避します。サーバー側のログは時間がたつと消えるためです。

3. 03

   正常な世代に戻す

   侵入される前の正常なバックアップを特定して復元します。日次で足りなければ、週次・月次の世代までさかのぼります。

4. 04

   入口を閉じる

   侵入経路を特定して閉じます。脆弱なプラグインの更新・停止、漏れたパスワードの変更、不要なユーザーの削除などです。

5. 05

   報告する

   何が起きたか、どこから入られたか、何をしたかを報告します。スタンダード以上のプランでは、侵入経路と影響範囲をA4 1枚の報告書にまとめます。

初動（止める・ログの退避・ご連絡）の期限はプランごとに決めています。期限は保守プランの表をご覧ください。緊急の一時停止は全プランで先に行い、事後にご報告します。