SECURITY

お預かりするサイトを、
攻撃から守るために。

サイトを守るために、コアゲートがしていることをまとめました。
すでに実施していることと、いま強化している途中のことを分けて書いています。

NOW

いま、Webサイトに
起きていること

侵入の入口でいちばん多いのは、公開された脆弱性を突く手口です。
盗まれたIDとパスワードで、管理画面にログインされる被害も続いています。

  • 31%侵入口の1位は脆弱性の悪用
    （Verizon DBIR 2026）
  • 181件JPCERT/CCへのWebサイト改ざんの報告
    （国内、2026年4〜6月）
  • 123件ランサムウェア被害、半期で過去最多
    （警察庁 2026年上半期）

「小さなサイトだから狙われない」とは、もう言えないと私たちは考えています。
攻撃の多くは自動化されていて、規模を選ばずに順番に試されます。

POLICY

私たちの考え方

  1. 01

    初期状態で守る

    守りの設定を案件ごとの手作業に頼らず、最初から入った状態でお渡しすることを目指しています。

  2. 02

    直すのを速く

    悪用が確認された脆弱性は、優先して、速やかに対応します。

  3. 03

    漏れても小さく

    個人情報と本番データは、持つ量を最小限にします。使い終えたデータの写しは削除します。

  4. 04

    早く気づく

    不審なアクセスとファイルの改ざんを見つける仕組みを、Containerに組み込みました。おとりのサーバーで、実際に届く攻撃の手口も毎日見ています。

LAYERS

守りは、
層で重ねる。

Containerには、サイトの入口からバックアップまで、6つの層の守りが備わっています。
多くは設定で有効にする方式です。案件の環境に合わせて組み合わせます。

  1. 01

    入口で止める

    securityプラグイン（早期アクセスゲート）

    • レート制限IPとUAごとのアクセス数で、過剰なアクセスを止めます
    • 短時間のバースト検知10秒に25回など、急な連打を見つけて遮断します
    • パラメータの型ゲート数値であるべき値が不正なら、処理の前に拒否します
    • APIゲートとブロックリストAPIへの直接アクセスも同じ関門を通します
    • 公開してはいけないファイルの遮断設定ファイルやデータベースの控え、phpinfoなどは、置いてしまっても外からは開けません
  2. 02

    ログインを固める

    管理画面の入口

    • パスキーWebAuthnによる、フィッシングに強いログインです。パスキーだけでのログインに絞ることもできます
    • 2段階認証ワンタイムコードを、信頼した端末では1日1回に省略できます
    • ログイン試行のロック同じ接続元から失敗が続くと、一定時間止めます。IDが実在するかどうかは見分けられません
    • 漏えいパスワードの照合流出済みのパスワードは、設定時に弾きます
    • IP許可とアイドルタイムアウト入れる場所と、放置できる時間を絞ります
  3. 03

    入力を疑う

    フォームと管理操作

    • CSRFトークンフォームと管理操作の送信元を確かめます
    • 権限の検査グループとディレクトリごとに、触れる範囲を分けます
    • プリペアドステートメントデータベースへの問い合わせを、原則この形にして、SQLインジェクションを防ぎます
    • 本文のHTMLの整理投稿者が書いた本文は、許可したタグと属性だけを残して保存します
    • アップロードのウイルススキャンClamAVと連携できます（対応サーバーで）
  4. 04

    ブラウザで守る

    通信とレスポンスヘッダー

    • HSTSHTTPSでの接続を、ブラウザに記憶させます
    • CSPまず報告だけのモードで影響を確かめてから、強制に切り替えます
    • Cookieの保護SecureとHttpOnlyを付け、セッションを守ります
  5. 05

    記録して気づく

    監査ログ・securitylog・monitorプラグイン

    • 操作監査ログ誰がいつ何を変えたかを残します。パスワードなどは伏せ字にします
    • ログイン中の端末と強制ログアウト乗っ取りが疑われたら、その場で締め出せます
    • 不審アクセスの記録SQLインジェクションや総当たり、管理画面を探すアクセスを記録し、重大なものはメールでお知らせします
    • ファイル改ざんの検知公開フォルダのファイルを基準と比べ、書き換えや不審なファイルの追加を定期的に見つけます
    • サイト監視死活・応答時間・SSL期限・ディスクを毎分確認し、Slackなどへ通知します
  6. 06

    壊れても戻す

    maintenanceプラグイン

    • バックアップデータベースとファイルを、定期的に複数の世代に分けて残します。サーバーの中でも、管理者だけが読める形で作ります
    • メンテナンスモード作業中は、公開側を503とメンテナンス画面に切り替えます
    • エラー画面致命的なエラーのときも、サーバー標準の素っ気ない画面ではなく、案内用の画面を出します
OPERATION

運用で、していること

機能を備えるだけでなく、お預かりするサイトの運用で、コアゲートが行っていることです。
黒いタグは実施していること、白いタグは、いま強化を進めていることです。

  • 実施中

    入力値と権限の検査

    データベースへの問い合わせは原則としてプリペアドステートメントで行います。フォームにはCSRF対策、管理画面の操作には権限の検査を入れています。改修のたびに見直します。

  • 実施中

    コードの診断

    Containerのコード全体を、AIによる診断と攻撃者の目線でのレビューで点検しています。2026年10月の診断で見つかった指摘は、重大なものから順にすべて直しました。

  • 実施中

    パスワードとセッションの保護

    パスワードは元に戻せない形で保存します。通信はHTTPSで、CookieにはSecureとHttpOnlyを付けています。

  • 実施中

    動向の週次チェック

    国内外の新しい脆弱性や攻撃事例を毎週確認し、お預かりしているサイトに影響があるかを調べます。

  • 実施中

    攻撃の観測

    おとりのサーバーを置き、実際に届く攻撃を毎日確認しています。見つかった手口は、守りの設定と検知の条件に反映します。

  • 実施中

    データの持ち方

    本番データの写しは、使い終えたら削除します。残す場合は暗号化します。

  • 強化中

    入口の防御

    不審な通信をサイトの手前で止める仕組みと、攻撃のパターンを各サイトへ配る仕組みを、順に導入しています。

  • 強化中

    管理画面の認証

    パスキーと2段階認証をContainerに備えました。お預かりしているサイトへ、順に広げています。

  • 強化中

    改ざんへの備え

    改ざんを見つける仕組みはContainerに組み込み済みです。いまは、お預かりしているサイトへの導入を進めています。

  • 強化中

    バックアップの保管

    バックアップを暗号化し、サーバーとは別の場所に保管する形へ切り替えています。

INCIDENT

万一のときの流れ

  1. 01異常を検知したら、影響範囲を確認し、被害が広がるのを止めます。
  2. 02ログを保全し、原因を調べます。
  3. 03お客様へ速やかにご連絡します。法令上の報告が必要な個人情報の漏えいのときは、個人情報保護委員会への速報（3〜5日以内）と確報（30日以内。不正アクセスなどは60日以内）の期限に間に合うよう、お客様と一緒に進めます。
  4. 04復旧したうえで、原因と再発防止策をご報告します。
REQUEST

お客様にお願いしたいこと

  • 管理画面のパスワードを、ほかのサービスと使い回さないでください。
  • 退職した方や、契約の終わった委託先のアカウントは、不要になった時点でお知らせください。すぐに停止の対応をします。
  • 不審なメールや画面を見かけたら、迷わずご連絡ください。
COLUMN

セキュリティのコラム

運用の現場で気づいたことや、見直してほしい設定をコラムに書いています。

セキュリティのコラムをもっと見る

CONTACT

いまのサイトの守りを確認したい。
そんなときは、ご相談ください。

取引先からセキュリティの説明を求められている場合も、お話をうかがったうえで、何を示せばよいかから一緒に整理します。

セキュリティについて相談する
CONTACT US CONTACT US CONTACT US CONTACT US