2019.12.08こんにちは!先日(11月29日)、私はEC-CUBEカフェ@千葉UGの主催側ということで、「ECサイトのセキュリティを考える」というイベントが無事に終了しました。さんに、ほとんど取り仕切っていただいてましたが...。いつも大変助かっています!ありがとうございます!)その終了後、私はこんなことを呟いていました。今日のEC-CUBEカフェの話は、大変ためになりました。2019...そこから、随分と時間が経ってしまいました(笑)ごめんなさい。ECサイトには、サイト制作(ベンダー)側だけではなく、店舗運営者自身も、セキュリティへ意識を向けておくことが必要です。店舗運営者自身が直接サイト制作に携わっている場合も含めて、予めパッケージの仕様書(開発ドキュメント等)に示されている通りの標準的な対応・対策、また場合によってはそれ以上のセキュリティ対策を行っておくことが肝要です。ここでは、先日行われた勉強会の内容についてお伝えしたいと思います。会の進行について下記の進行手順で行われました。広くてきれいな場所を選んでいただきました!(大変感謝いたします!)ECCUBEカフェ始まりました。本日はGMOグローバルサインの松澤様をお招きし、セキュリティについて知識を深めていきます。さんにもお越しいただいております。2019まずは自己紹介から。自己紹介で、皆さん笑みがこぼれます。20195分くらいの短い時間ではありましたが、みなさんが和やかな雰囲気で、とても発表しやすかったです!なりすまし・漏えい被害の事例をもとにしたSSL活用~GMOグローバルサイン様GMOグローバルサイン様から、なりすましや漏えいの事例、SSLについてのお話をいただきました。持っているとのこと!率直にすごいです。WEBサイトのなりすましの被害が大きい全体的に、下記のケースが多いとのことです。クレジットカード情報の不正利用ウイルス感染フィッシング詐欺による個人情報等の漏えい実際の偽メール/偽サイトを見ながら、どこが怪しいのか全員で考えていきます。皆さんは、個人情報を入力する際にサイトのどこを見ますか?下記に一例を挙げますが、これは多くの人が見る場所のランキングです。当日の参加者さんからは、こんな声も聞かれました。https://twitter.com/nsnmo23/status/1200356689687396353あくまでも一例ではありますが、URL(ドメイン)が怪しいかどうかも、ひとつの判断材料となりえます。co.jpドメインは1社あたり1ドメインまでしか取得することができません。始まるドメイン(SSLとなっているhttps://ではない)※当日の発表内容より引用となっているものも「これは怪しいゾ」という、ひとつの判断材料となります。Encrypt)というものも広く使用されていて、導入コストがかからないことから、フィッシングサイト自体にSSL(https://から始まるドメイン)も使用され始めていることも注意してください。暗号化レベル自体は有償・無償でも違いはなく、値段の高さは審査のレベルの違いであるとのこと。2019下記に、有償・無償SSLの主な違いを列挙します。高価なものほど、審査期間が長い傾向にありますが信頼性は高くなっていきます。無償SSL~何も認証するものがない。無償であることから突然サービスが終了するリスクも孕んでいます。ドメイン認証(DV)~比較的低コストで導入できます。企業実在認証(OV)~コモンネーム(CN)だけでなく、第三者機関の情報を元にした企業名が入ります。EV認証SSL(もっとも厳格で、ショップ(店舗)用におすすめ!)~登記簿謄本や第三者機関のデータベースにより組織の実在性確認が入る。→会社名だけではなく住所も表示し、ユーザーに安心です。高価なEV認証SSLを導入したとしても、万一ユーザー側がなりすましサイトの被害を受けてしまい、いざ裁判になったときにEV認証SSLを使用していることが有利に働くかどうかはわからないとのことです。したがって、一例ですが下記の対応が検討されます。ショップ(店舗)で是非やっておきたい対応として、正規の店舗サイト上に「最近、当店のなりすましサイトが多くなっています。正規の店舗については○○○」などといった説明書きを、目立つように設けることが望まれます。した対策をとることによって、万一ユーザー側が偽のサイトで購入したときの、店舗運営者側のリスクヘッジにも繋がります。実際になりすましサイトがあるかどうかは、時間をとってエゴサーチ・画像サーチなどで探すといったこともあるとのこと。ECサイトの管理画面にアクセスする端末についても下記の対策が望まれます。SSLの観点からは、まず管理画面にアクセスするデバイスを選ぶこと。クライアント証明書を入れていないとログイン出来ないようにすること。Explorerでしか入れない印象でしたが、今はGMOグローバルサイン様であれば「メール認証」で入ることが出来るとのことです。証明書以外にも、そもそもECサイトの管理画面自体をIP制限している方は多いですが、たとえば持ち歩き用のノートPCで、一時的にVPNを張って会社のPCにアクセスしたりすることがありますが、VPN自体が1~2時間程度有効であることが多いので、移動の多い営業さんなどがVPNにアクセス出来る時間にノートPCを盗まれて、機密情報などが流出してしまうことがあるそうです。最後に、当日以下のテーマについて皆で話し合いました。サイト運営者とサイト製造者の間で、どのようにして責任の所在を明確化したら良いかインシデントが起きる前の対策として運営者レベルでどのようなことができるか万が一インシデントが起こってしまった場合の行動フローサイト運営者とサイト製造者の間で、どのようにして責任の所在を明確化したら良いか契約書にセキュリティに関する規約・記載がなくても、制作会社側にも責任が生じるそうです。(もちろん、運営者側の責任がなくなるわけではありませんので注意!)インシデントが起きる前の対策として運営者レベルでどのようなことができるか運営者側で出来ることとしては、まず人的なミス等のインシデントが起こって情報が漏えいする事例が多いとのこと。ヒューマンエラーによる、ID・パスワードの流出はもちろん、単純なものでFAXの送り間違いや、添付ファイルのミスによる情報漏えい等があります。運営者として望ましい方向としては、週次くらいで良いのでセキュリティのニュースをチェックすることが挙げられました。最近では、ブログで公開してくれている人がいます(私もがんばります!笑)。RSSで情報を取得してSlackに情報を自動で飛ばすようにして、ニュースを自動で受信するような体制を構築するのも良いですね。最近の動向を把握していくことは、何もすべての情報を完璧に理解する必要があるということではありません。最初は意味がわからなくても良いのです。意識的に調べていくことによって、次の行動のきっかけが生まれることが、何よりも大切なことです。最新情報も常に把握しておきたいですね。2系に多い事例として、dataフォルダがサーバー上のpublic_html(公開フォルダ)に暴露されている、ログが入手できてしまう、といったことが多い昔のバージョンのまま放置して、既知のバグや脆弱性が狙われてしまうパーミッション設定が、777のまま上記は危険なので、絶対にやらないようにしてください。ID)の導入(※PCを閉じるだけでセキュアな状態を作ることができる)かつ、パスワードを30~40文字くらいでランダム自動生成して、Googleアカウント等に記憶させてしまう。パスワードを忘れたら、再発行するなど(※その際パスワードを再発行したときに、生のパスワードを書いてくるところは解約したほうが良い)万が一インシデントが起こってしまった場合の行動フローまず、インシデントについては、いつでも「自分のところにも発生する可能性がある」と考えることが肝要です。「インシデントが発生したらしい(やられたらしい)」という状況の発生1時間以内にサイトを止める(権限のある人が決める、腹をくくる)といったことです。2019インシデントが発生したときには、気づいたときにサイト運営を止めることが重要です。そのままにしておくと、余計に被害が広がってしまう可能性があります。個人情報の流出等に関して、リリースが出るまでに半年以上かかるといった対応はおかしいと考えたほうが良いでしょう。サイトのログに関しては最低限1年以上残すようにしましょう。おわりに今回のEC-CUBEカフェはいかがでしたでしょうか。皆様に、何かしらお役に立てると幸いです。良かったらご興味ありましたら、是非次回以降にご参加・お集まりいただけると嬉しいです。それと、セキュリティ関連の話について、当サイトでも、まだまだお伝えしきれていない・扱いきれていない内容がまだまだたくさんあります。した情報については、後日また改めて更新していきたいと思います!次回のEC-CUBEカフェについてはここは私個人のサイトでご案内ができないため、詳しいことが決まりしだい、改めて運営側からご案内いたします!本決定後は、当サイトからでもご案内いたします!それでは、また。EC-CUBE全般SWELLテーマを購入したことと、このサイトで行った設定内容についてEC-CUBEをサーバーにインストールしてみよう・勉強会に参加してみようこの記事を書いた人しらこのんびり色々とやっとります。WordpressやEC-CUBEを弄っています。カスタマイズ方法などをこのサイトで更新していく予定です。関連記事2019.12.17EC-CUBEをサーバーにインストールしてみよう・勉強会に参加してみようしらこ管理人のんびり色々とやっとります。WordpressやEC-CUBEを弄っています。カスタマイズ方法などをこのサイトで更新していく予定です。