テックノールのセキュリティへの取り組み — お客様のシステムとデータを守るために、日々行っていること

弊社は業務システムや Web サービスの開発・運用を通じて、お客様のシステムやデータをお預かりする立場にあります。セキュリティは「何か起きてから」では遅く、日々の地道な運用の積み重ねでしか担保できません。

「セキュリティ対策をしています」と言うだけでは、お客様には中身が見えません。そこでこの記事では、弊社が実際にどのような対策を、どのような考え方で行っているのかを具体的にご紹介します。

利用するすべてのサービスで2段階認証を徹底

情報漏えいや不正アクセスの入口になりやすいのは、システムの高度な脆弱性だけではありません。むしろ多いのが、アカウントの乗っ取りです。パスワードの使い回しやフィッシングで ID・パスワードが漏れてしまえば、どれだけ堅牢なシステムでも正面から入られてしまいます。

そこで弊社では、業務で利用するサービスについて2段階認証（多要素認証）の設定を必須としています。対象はソースコード管理、クラウド・ホスティング環境、ドメイン・DNS 管理、メール、チャットツールなど、業務で使うサービス全般です。

• 新しくサービスを利用し始めるときは、2段階認証を設定してから使い始める
• 2段階認証に対応していないサービスは、業務での利用可否を慎重に判断する
• 共有アカウントは極力作らず、個人単位のアカウントと権限で管理する

特に、本番環境にアクセスできるアカウントやドメイン管理のアカウントは、乗っ取られた場合の影響が非常に大きいため、優先して厳格に管理しています。

サーバーの入口を絞り、怪しい通信を自動で遮断

インターネットに公開しているサーバーには、世界中から昼夜を問わず、パスワードの総当たりや脆弱性のスキャンが届きます。弊社の VPS では、次のような対策を重ねています。

• 必要な通信以外はすべて拒否：ファイアウォールは「原則拒否」とし、Web やメールなど公開が必要なサービスの通信だけを個別に許可しています
• SSH（サーバーの遠隔管理）の保護：パスワードでのログインを無効にして鍵認証のみとし、管理者アカウントでの直接ログインも禁止しています。接続の試行回数にも上限を設けています
• 攻撃元の自動遮断：ログイン失敗を繰り返す接続元は、自動で一定時間遮断しています（SSH・メール・Web の認証が対象）
• ログイン画面・フォームの流量制限：Web のログイン画面やお問い合わせフォームには、同じ接続元からのアクセス回数に上限を設けています

国で一律に遮断するのではなく、振る舞いで判断する

不正アクセス対策として「海外からの通信をまとめて遮断する」方法がよく挙げられます。無差別な攻撃は海外から来るものが多いので、ログの雑音を減らす効果は確かにあります。ただ、弊社ではこれを主な対策にはしていません。

• 攻撃は国内からも来る：国内のクラウドや VPS、乗っ取られた国内の機器を経由した攻撃は、国による判定では防げません。狙いを定めた攻撃ほど、こうした経路を使います
• 必要な通信まで止めてしまう：検索エンジンのクローラーや SSL 証明書の自動更新の確認、外部サービスからの通知など、海外から届く正当な通信は意外に多く、まとめて遮断するとサイトが検索結果から消えたり、証明書が更新できなくなったりします
• 国の判定は完全ではない：IP アドレスから国を判定するデータベースには誤りや古い情報があり、誤って遮断することも、逆に通してしまうこともあります

そのため、国で一律に線を引くのではなく、「入口をそもそも最小限にする」「振る舞いのおかしい接続元を止める」「ソフトウェアを最新に保つ」を組み合わせています。遮断はあくまで攻撃の数を減らす手段で、脆弱性そのものを塞ぐわけではありません。最終的に安全を支えるのは、このあとご紹介する、更新の適用状況の確認と脆弱性情報のチェックです。

サーバーの状態を毎日自動でチェック

弊社で運用している VPS（仮想専用サーバー）では、毎日1回、セキュリティチェックを自動で実行しています。確認しているのは主に次のような点です。

• OS やミドルウェアのセキュリティ更新が、自動更新で正しく適用されているか
• 自動更新の対象外になっているソフトウェアに、未適用の更新が溜まっていないか
• 更新後に必要な再起動が済んでいるか、古いライブラリを読み込んだまま動いているサービスがないか

問題が見つかった場合はチャットツールに通知され、解消するまで定期的に再通知されます。一度構築したサーバーは、何もしなければ時間とともに「古く」なっていきます。構築時点では安全だった構成も、新しい脆弱性が見つかれば危険な状態に変わります。定期チェックは、この変化を見落とさないための仕組みです。

国内外の最新の脆弱性情報を毎日チェック

サーバーの状態確認だけでは、「いま世の中で起きていること」への対応が遅れがちです。そこで同じ定期チェックの中で、国内外の公的機関が公開している脆弱性情報の新着も毎日自動で取得しています。

情報源	内容
JPCERT/CC	国内のインシデント対応調整機関。特に注意が必要な脆弱性・攻撃についての注意喚起
JVN（Japan Vulnerability Notes）	JPCERT/CC と IPA が運営する、国内で使われるソフトウェアの脆弱性情報ポータル
CISA KEV	米国 CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が公開する「実際に悪用が確認された脆弱性」のカタログ

取得した新着情報は、弊社のサーバーで使っているソフトウェアの一覧と自動で照合し、関係する可能性のあるものを通知します。毎日大量に公開される脆弱性情報をすべて人が読むのは現実的ではないため、まず機械的に絞り込み、該当したものを担当者が確認して、アップデートや回避策の要否を判断する流れです。JPCERT/CC の注意喚起は件数が少なく重要度が高いため、照合に該当しなくても参考として必ず通知するようにしています。

また、情報源の取得に失敗し続けた場合も通知するようにしています。「通知が来ない＝安全」と取り違えないよう、仕組みそのものが止まっていないかも確認しています。

自社ソフトウェアへの影響も確認

近年はオープンソースのライブラリを組み合わせて開発するのが当たり前になり、自分たちが書いたコード以外の部分に脆弱性が潜むケースが増えています。広く使われているライブラリやフレームワークに深刻な脆弱性が公表された場合は、弊社が開発・運用しているプロダクトやお客様向けシステムで該当するものを使っていないかを洗い出し、影響があればアップデートや回避策を優先して適用しています。「自社のコードは問題ない」で終わらせず、依存しているソフトウェアまで含めて確認することを大切にしています。

おわりに

セキュリティ対策に「これで完璧」というゴールはありません。だからこそ弊社では、一度決めた対策で終わりにせず、毎日の確認を続けながら、新しい脅威や攻撃手法の変化に合わせて運用を見直しています。

弊社のセキュリティ対策について詳しくお知りになりたい場合や、システム開発・運用保守でセキュリティ面にご不安がある場合は、お気軽にお問い合わせください。