いま、セキュリティで何が起きているか

学ぶ

どんな事象にも効く、5 つの備え

1. 1

   バックアップは 3-2-1コピーを 3 つ、種類の違う保存先を 2 つ、うち 1 つは離れた場所に。壊れても戻せる。

2. 2

   更新を後回しにしないOS・アプリ・ライブラリの修正版は、出たら適用する。放置が一番の穴になる。

3. 3

   多要素認証をつけるパスワードに加えてもう 1 つ確認を入れる。パスワードが漏れても入られにくい。

4. 4

   権限は最小にする必要な人に、必要な範囲だけ。全員が管理者だと、1 人の失敗が全体に広がる。

5. 5

   連絡先を確認しておく困ったとき誰に連絡するか（担当者・ベンダー・事業者）を、事前に決めて共有する。

🔰 用語集

クレデンシャルスタッフィング

どこかのサービスから漏れたID・パスワードの組み合わせを、別のサービスで片っ端から試す攻撃。同じパスワードを使い回している人だけが被害に遭う。

パスキー

パスワードの代わりに、指紋やFace IDでログインできる仕組み。偽サイトにパスワードを入力してしまう事故が起きなくなる。

二要素認証（2FA）

パスワードに加えて、メールやSMSで届く確認コードなど、もう1つの確認を求める仕組み。

試し打ち

漏れたID・パスワードの組み合わせを、ログイン画面に次々と入力して成功するものを探す行為。

RCE（リモートコード実行）

鍵をかけていなくても、外から他人のコンピューターで好きなプログラムを動かされてしまうこと。

CVSS

脆弱性の危険度を 0〜10 点で表す、世界共通のものさし。9 点以上はとても危険。

CVE

脆弱性につける世界共通の背番号。同じ問題を、みんなが同じ名前で呼べる。

mod_php・PHP-FPM・php-cgi

どれもウェブサイトで PHP を動かすときのやり方の種類。名前は違っても「PHP の動かし方」という点は同じ。

共用レンタルサーバー

ほかの人と 1 台のコンピューターを借り分けて、ホームページを置くサービス。

パッチ

ソフトの欠陥を直すための修正プログラム。

棚卸し

自分の組織で、何のソフトがどこで動いているかを全部書き出すこと。

EOL（サポート終了）

作った側が、もう修正版を出さないと決めた状態。欠陥が見つかっても直してもらえないので、新しい版へ移る必要がある。

侵害痕跡

誰かに入り込まれたあとに残る手がかり。見覚えのないファイル・管理者アカウント・ログの不審な記録など。

軽減策（緩和策）

完全に直すわけではないが、危険を少し減らすための一時的な対処。「安全になった」わけではない。