ECサイトや自社のホームページなどの運営をおこなう上で、注意しなければいけないのがWebの改ざん問題です。そのため、Web改ざん検知のシステムを導入しておくべきです。ECサイトや自社のホームページなどのWeb改ざん被害にあってしまうと、売上が低下するだけではなくマルウェア被害が広がる可能性もあります。
今回は、ECサイトや自社のホームページを守るためのWeb改ざん検知のツールを紹介します。自社メディアのセキュリティ対策をおこないたい方は参考にしてください。
Web改ざんとは
Web改ざんには、大きく分けて2通りあります。
1つ目は、Webサイトの脆弱な部分を攻撃する手口です。サーバーOSの脆弱な部分を見つけ出して攻撃し、コンテンツを改ざん。不正なリンクを貼って、ユーザーに偽のページを表示させたりします。
2つ目の仕組みは、管理者アカウントを乗っ取って改ざんする手口です。リモートワークが普及してから、個人のアカウント情報を盗まれて社内の人間になりすましてコンテンツをWeb改ざんします。社内の正規手続きと同様なので、Web改ざんを見つけるのに時間がかかります。
Web改ざんによる被害
Web改ざんによる被害は、売上と会社の信頼性の両方に及びます。ECサイトが改ざんされてしまうと、ユーザーが本来購入するはずだった商品を販売することができません。決算のシステムがきちんと作動しない場合があります。
また、本来のリンクとは異なる不正なリンクが貼られて、偽のページが表示されている場合もあります。
Web改ざんの被害は、商品の販売に支障が出るだけではありません。偽のページが表示されてしまうと、サイトを使用しているユーザーからの信頼度が低下してしまいます。会社やサイトの信頼性が低下してしまうと、中長期的にも売上が下がる危険性もあります。
実際の被害
2020年には、地方の私鉄のサイトが実際に被害にあっています。私鉄のWebサイトでは、新型コロナウイルス感染症を注意喚起するページを設置していました。
しかし、このページが何者かにWeb改ざんをされていて、オンラインカジノサイトへ誘導されていました。このWeb改ざんは、約2週間も放置されていました。Web改ざんの被害は、大手の企業でも起こりうる問題です。
Web改ざん検知とは
Web改ざん検知とは、監視しているWebサーバーにアップしているコンテンツに対して他者による改ざんがおこなわれた場合に検知することです。ECサイトや自社メディアは日々更新させていくために、コンテンツ量は増加していきます。
そのため、規模が大きくなったWebサイトは、人間の目視による監視には限界があります。そこで、使用されるのがWeb改ざんを検知してくれるツールです。
改ざん検知が必要とされる背景
インターネットが普及し始めた当初のWeb改ざんは、画面の見た目を変更させるだけでした。しかし、Web改ざんの技術や手口も発展していて、現在では画面の見た目だけではなくコンテンツ内容を改ざんさせています。さらに、悪質な人の手によって、マルウェアが仕込まれて甚大な被害を起こすこともあります。会社が運営しているECサイトやホームページが改ざんされてしまうと、売上や信頼を含めて損失が大きくなります。
Web改ざんを検知する方法
Web改ざん検知には、いくつかの方法があります。Web改ざんを検知するための方法は以下の通りです。
- パターンマッチ型（ソース解析型）
- 振舞い分析型
- ハッシュリスト比較型
- 原本比較型
それぞれの方法について詳しく解説していきます。
パターンマッチ型（ソース解析型）
Web改ざん検知の方法の1つは、「パターンマッチ型」です。
「ソース解析型」とも呼ばれますが、検知の方法は基本的に同じです。これまでのWeb改ざんの手口や事例から、パターンファイルを作成しておきます。パターンに抵触した手口でのWeb改ざんを検知して、ウイルスの侵入などを防ぎます。この方法はこれまでに起こった事例などを参考にしているため、新しい手口でWeb改ざんをされた際には防げない点がデメリットです。
振舞い分析型
「振舞い分析型」のWeb改ざん検知方法もあります。振舞い分析型の検知方法は、仮想コンピューターのブラウザ上で対象のWebサイトを監視します。
動作が不正であると認識した場合には、Web改ざんとして検知します。「振舞い分析型」のWeb検知方法では、不自然な振舞いを検知することができますが、具体的にどのファイルが改ざんされているかを知ることができないのがデメリットです。
ハッシュリスト比較型
「ハッシュリスト比較型」のWeb改ざん検知方法は、定期的にWeb上に置かれているファイルを確認します。ファイルを定期的に点検して、データを代表する数値を得るための計算(ハッシュ計算)をおこなうことで、ファイルが変更されていないか確認できます。
ファイルの更新は、悪意のある他者だけではなく、社内のサイト運営者による修正や更新でも起こります。そのため、Web改ざんであるかどうかの判断は、人間がおこなわなければいけません。
原本比較型
「原本比較型」のWeb改ざん検知方法もあります。この方法は、Webサイトにあるすべてのファイルを原本として監視用のサーバーに置いておきます。ファイルの変更が無いかどうかを、定期的に点検します。点検時に原本ファイルと異なっている場合は、Web改ざんをされた可能性を示唆することができます。サイトの更新時には、原本ファイルごと変更してしまえば誤認を避けられます。
Web改ざん検知サービスの選び方
Web改ざん検知サービスには、大きく分けて有料のサービスと無料のサービスが存在します。自社の規模や使用する用途、解決したい課題を踏まえたうえで選択すべきです。
ここからは、おすすめのWeb改ざん検知サービスを有料サービスと無料サービスに分けて紹介します。有料のツールは使用できる機能が多いですが、まだツールの導入が検討段階である場合は無料のツールでお試しするのもよいでしょう。自社に合った最適なサービスを選択してください。
DIT Security デジタル・インフォメーション・テクノロジー株式会社
「DIT Security」は、Web改ざんが発生した瞬間に検知を開始します。その後、即復旧作業が開始されます。Web改ざんが発生したと同時に作業が開始されるため、作業のタイミングだけしかサーバーに負荷がかかりません。未知のサイバー攻撃に対しても対策されているので、セキュリティも向上します。
BLUE Sphere 株式会社アイロバ
「BLUE Sphere」は、クラウド型の総合セキュリティサービスです。DDoS攻撃だけではなくWeb改ざん検知も備えています。悪意のあるサイバー攻撃者からサイトを守るために、多層防御をおこなっています。基本プランでも他社と比較すると安価ですが、すべてのサイバー攻撃の脅威に対して対応しています。
Web改ざん検知サービス サイトパトロール アットシグナル株式会社セキュリティ事業部
Web改ざん検知サービス サイトパトロールは、有料のWeb改ざん検知システムです。自動でWeb改ざんを検知して修正するので、安心してセキュリティを任せられます。社内の人間がおこなったサイトの更新と、他社によるWeb改ざんをきちんと識別します。Web改ざんを検知してから即修正作業をはじめます。
gred 株式会社セキュアイレブン
「gred」は、無料のWebサイト診断サービスです。サイトのセキュリティ機能を多く提供している会社が、機能の一部であるWebサイト診断を無料で公開しています。診断したいサイトのURLを入力してスタートすれば、すぐに診断が開始されます。危険なサイトはレッドサインで知らせてくれるので分かりやすいです。
Site Security Center Trend Micro社
「Site Security Center」は、無料で使用することができるWebサイトの診断サービスです。診断したいサイトのURLを入力すると、Web改ざん検知の作業を開始します。「安全」「危険」などの合計4つの評価で診断してくれます。危険や不審な評価がされた場合、不正なプログラムが組み込まれていることもありますのできちんと確認をしなければいけません。
TOWA 株式会社インディゴデータ
「TOWA」は、株式会社インディゴデータが提供しているウェブサイト監視ツールです。24時間365日休むことなくサイトを監視して、エラーを検知します。
自社のサイトのURLを登録しておけば、改ざんされたサイトを修正してくれます。
また、Web改ざんがおこなわれていると検知した場合、すぐに担当者への通知をおこなってくれます。アラート機能によって、Web改ざんがされているテキストや画像、HTMLがすぐに確認できます。無料トライアル期間がありますので、会社の目的に合っているか確認可能です。
Web改ざん検知ツールを使用するメリット
Web改ざん検知ツールを使用するメリットは、人間では時間がかかってしまう確認作業をすべて自動でおこなってくれる点です。
Web改ざんがおこなわれてしまうと、サイトの停止やウイルスが仕込まれてしまい甚大な被害を起こしてしまうこともあります。サイトは常に悪意あるサイバー攻撃に晒されています。
大きな被害を出さないためにも、Web改ざんに対する迅速な対応ができるためにツールを導入することはメリットがあります。
まとめ
Web改ざん検知ツールは、毎日のように攻撃されている自社のサイトを守るためのサービスです。現在では不当にサイト内のテキストや画像、HTMLが改ざんされてしまう危険があります。被害にあってしまうと、ECサイトでは売上が上がらなくなってしまいますし、ホームページでも改ざんを放置すると会社の信頼性が著しく低下します。
Web改ざんの検知ツールを導入すれば、こういった危険からサイトを守ってくれます。改ざんを検知してから自動で修復してくれるツールもありますので、サイト運営の担当者の業務を削減できます。自社サイトのセキュリティを高めて、担当者の作業工数も減らせますのでWeb改ざん検知ツールは導入して損の無いサービスです。自社に合ったツールやサービスを活用し、Web改ざんによるリスクを早めに軽減しましょう。
