こんにちは、ニフティクラウドテクニカルサポート担当です。 今回は、クラウドのセキュリティ対策について、ブログに書きたいと思います。
はじめに
クラウドのセキュリティ対策と聞いて、どのようなものを想像されるでしょうか？
昨今、インターネットを利用している中で、様々な脅威があります。例えば、「マルウェアサイト」、「フィッシング」、「DoS攻撃」などです。様々な脅威がある中で、今回は不正ログイン・不正利用やウェブサイトの改ざんに繋がっていくフィッシングを対象として、セキュリティ対策をご紹介したいと思います。
ニフティクラウドのコントロールパネルはサーバーの追加や削除、ネットワークの変更など様々な機能を有しており、容易にシステム構築が可能です。そのような重要なコントロールパネルが乗っ取られたらどうなるでしょうか？
例えばニフティクラウドを騙ったフィッシングメールが来て、@nifty IDとパスワードを不正取得されるとコントロールパネルを自由に操作することが可能となってしまいます。
悪意を持った人がコントロールパネルを利用し、サーバーの大量設置や削除など、不正利用を行うかもしれません。その結果は自社の被害のみとなりますが、大量設置されたサーバーから他のサーバーやサイトへ攻撃してしまうと、知らないうちに乗っ取られた被害者から加害者の立場になるかもしれないのです。
そのようなことを防ぐために、コントロールパネルでは『IP許可制限』や『パターン認証』といった機能を保有しております。またコントロールパネルにログインする際に用いる@nifty IDには、不正ログインを防ぐための機能を保有しています。これらの機能を活用して対策を立てていくことが重要となります。
それでは、順を追ってみてみましょう。
何が問題なの？
以前から、インターネット利用者向けにフィッシングが行われています。ここで改めてひとことで説明すると、フィッシングとは「正規のWebサイトを装って、アカウントのIDやパスワード、個人情報を取得しようとする詐欺」のことです。 JPCERT/CCの『インシデント報告対応四半期レポート（公開日：2014-10-09）』によると、フィッシングは減少傾向にはあるものの、引き続き注意は必要です。
フィッシングにより、一般的には以下のような被害が想定されます。
- クレジットカード情報の不正利用
- インターネットバンキングにおける不正出金
- インターネットオークションにおけるなりすまし
- 個人情報の不正売買
対策、どうすればいいの？
では、フィッシングに対してどのように対策すればよいのでしょうか？
一般的な対策としては、『ニフティ伊藤求のセキュリティ・スコープ 第14回 日本国内向けフィッシングに注意』に記載の以下の方法を実施することが重要です。
- 一呼吸置いてからクリック
- ドメインの確認方法
- 同じID・パスワードを他のサイトで使い回ししない
- 最新のブラウザー、最新のアンチウイルスソフトを使う
また、サービス事業者の対策として、「フィッシング対策ガイドライン」が公開されています。その中で、『サービス事業者におけるフィッシング詐欺対策』として39の要件が定められています。39項目全てを満たすことが理想ですが、現実的には費用と効果のバランスを見ながら対策を行っていくことになります。
ニフティクラウドでの対策は？
ニフティクラウドではセキュリティ向上の一環として、コントロールパネルに「IP許可制限」や「パターン認証」の機能があります。合わせて@nifty IDの不正ログイン対策には、「ワンタイムパスワード」、「ログインアラート」、「ログイン履歴」があります。
『IP許可制限』は、コントロールパネルへのアクセスについて、特定のホストやIPアドレスからのアクセスのみを許可する機能です。許可したIPアドレス以外からのアクセスを制限します。例えば、会社からコントロールパネルへアクセスする元のIPアドレスが決まっている場合には、そのIPアドレスを登録することにより、コントロールパネルへのアクセスを会社のみに限定できます。この機能を使うことで、コントロールパネルへの余計なアクセスを制限することが可能になります。
『パターン認証』は、コントロールパネルへログインする際に、乱数表の数字位置や順番をパスワードとして用いる認証方式のことです。@nifty IDとは別にパターン認証を利用することで、セキュリティの強化を実現できます。 この機能を使うことで、毎回異なる数字の入力で安全性を高めることができ、なりすまし被害防止に役立ちます。
『ワンタイムパスワード』は、通常の@nifty IDとパスワードの認証に加えて、スマートフォンアプリもしくはあらかじめ設定されているメールアドレスに通知される使い捨てパスワードを入力することによってログイン可能となる仕組みです。
『ログインアラート』は、ログインする度にログインしたことをメールでお知らせいたします。身に覚えのないログインのお知らせがあるとすぐに気付くことが可能となります。『ログイン履歴』は、@niftyのサービスにログインした履歴（１年以内）を確認できます。
これらの機能は、先に記載している『サービス事業者におけるフィッシング詐欺対策』の要件の中に当てはまります。
- IP許可制限が満たしている要件
- 要件１８ 正規Webサイトにアクセス可能な端末を制限すること ⇒要件そのものを実現している機能となっています。
- パターン認証が満たしている要件
- 要件２４ 特別な認証方法を採用する場合には、その方式に特有のぜい弱性対策を行うこと ⇒認証失敗可能回数を設けており、パターン認証では５回連続して間違えると、アカウントロックされる仕組みとなっています。
- ワンタイムパスワードが満たしている要件
- 要件２５ 正規サイトログイン時の認証には複数要素認証を利用すること ⇒スマートフォンアプリもしくはあらかじめ設定されているメールアドレスに通知される使い捨てパスワードを利用した複数要素認証を持ってログイン可能となります。
- ログイン履歴が満たしている要件
- 要件２３ アクセス履歴の表示 ⇒アクセス履歴（複数回）を確認出来る様になっています。ログイン履歴には、接続時刻、時間、アクセス元IP アドレスが含まれています。
IP許可制限、ワンタイムパスワード、ログインアラート、ログイン履歴は無料のため、お気軽にご利用ください。パターン認証は月額3,800円（2014年12月12日時点）となっておりますが、認証を強固にするためにもぜひご活用ください。
なおIP許可制限とパターン認証は、マルチアカウント毎にも設定可能です。ワンタイムパスワード、ログインアラート、ログイン履歴は@nifty IDに設定可能となっていますので、ご注意ください。
一般的な対策に加えて、IP許可制限、パターン認証、ワンタイムパスワード、ログインアラート、ログイン履歴の機能を活用してニフティクラウドのセキュリティ向上にお役立ていただければと思います。
