WEBスキミング対策について

WAFを設置

ウェブアプリケーションの脆弱性を悪用したトラフィック攻撃・フィッシング攻撃などのセキュリティ対策を実施します。WAFは、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を検知してブロックする機能があります。

エスケープ処理

特定の文字列を含むすべての受け渡しデータに対して特定のルールを実施することで攻撃を防止します。プログラムが実行される前に特殊文字をエスケープすることで、SQLコマンドの侵入を防止します。攻撃者は直接・間接問わず何らかのデータを使い侵入を試みますが、エスケープ処理によりその経路を遮断します。

WAFを設置

ウェブアプリケーションの脆弱性を悪用したトラフィック攻撃・フィッシング攻撃などのセキュリティ対策を実施します。WAFは、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を検知してブロックする機能があります。

対策済みのフレームワークを利用する

現在のシステムや今後の追加開発に対してフレームワークを選定しセキュリティ対策を実施します。参照透明性、適切な書き出し、データの検証、型安全性の確保などを行います。プロジェクトで採用中のフレームワークはDjango・Laravel・CraftCMS（PHP）を採用しています。

エスケープ処理

クロスサイトスクリプティングに限らず、特殊文字はエスケープして処理することで攻撃を防止します。また、SQL、PHPなどのコマンドも同様に処理することで、より高度なクロスサイトスクリプティング攻撃に対応が可能となります。

CSRF対策に関する現在のフレームワークと対応方針

現在採用しているDjango・Laravel・CraftCMS（PHP）などのフレームワークでは、一般的なCSRF対策としてデフォルトの設定でCSRFトークンが実装されています。これによりユーザーのブラウザから送信されるリクエストの正当性を検証し、不正な操作を防止します。

認証機能に関する実施内容とセキュリティ対策

管理者はIDとパスワードによるログインに加え、管理パネルへのアクセスにMFA（多要素認証）を適用します。パスワードポリシーを設定し、推測されにくい強固なパスワードの使用を促します。また、権限レベルに応じたアクセス制御を実施し、必要最低限の権限のみを付与します。

クロスサイト攻撃への対策

Cookie属性（HttpOnly・Secure・SameSite）を適切に設定することでセッション情報の漏洩を防ぎます。セッションを使用するすべての管理者機能でHTTPSを要求し、クロスサイトスクリプティング・SQLインジェクション・クロスサイトリクエストフォージェリ等による不正取得を防止します。

パスワードと処理情報の管理方針およびデータベースセキュリティ対策

パスワードはハッシュ化して保管し、不要なデータは速やかに削除します。定期的なバックアップ（暗号化・復号テストを含む）を実施します。クライアントへの不要なデータ送出を防止し、SQLはプレースホルダーバインドのみを使用してSQLインジェクション対策を実施します。

ファイアウォールおよび侵入検知システム導入と新たなサービスへの提案方針

ファイアウォールにより外部からの不正なアクセスを遮断します。各種ライブラリは推奨される最新の対策済みバージョンを使用します。外部からのアクセスはWAF・IDS（侵入検知システム）・IPS（侵入防止システム）により多層的に監視・防御します。