「Webサイトの改ざんはどういった対策をすればよいだろうか」
そんな方に当記事ではWebサイト改ざんの対策である改ざん検知について解説します。被害事例を知り、検知の仕組みや適用範囲を確認することで、検知の重要性を理解可能です。Webサイトの改ざん検知について正しい知識を身につけて、自社の被害を防ぎましょう。
Webサイトの改ざん検知とは
Webサイトの改ざん検知は、自社のWebサイトが改ざんされてしまった際に検知できるセキュリティ対策です。
まずWebサイトの改ざんは、攻撃者がWebサイトのコンテンツを改変するセキュリティ攻撃で、以下の被害が生まれます。
- 正しくない情報が記載され、ユーザーが間違った情報を読み取ってしまう
- リンク先が悪意のあるページに変更されてしまい、クリックしたユーザーに以下の被害が発生する
- 情報が流出する
- 悪意のあるファイルがダウンロードされる
改ざんを検知することで、早めの対応を実施でき、さらなる被害を防ぐことが可能です。
なお、検知するだけでは、改ざんされた情報の修正や被害者の救済といった対応はできません。これらの対応は検知後に担当者がアフターケアとして実施する必要があります。
改ざん検知が求められている背景とは
改ざん検知が求められる理由は、自社のWebサイトが改ざんをされると、企業の信頼を失う事態につながるためです。
各企業が公開しているWebサイトは「正しい情報が掲載されている」「閲覧しても被害が生まれない」などの責任のもとで運営されています。しかし、改ざんされてしまったWebサイトは、上記の責任が損なわれている状況です。被害者であるはずの企業が「正しいセキュリティ対策ができない企業」としてレッテルを貼られてしまい、信頼の失墜につながる可能性があります。
Webサイト改ざんの被害件数はそれほど多く報告されていませんが、手口が巧妙化しています。今後も気がつきにくい被害が生まれる可能性があるため、「明日は我が身」と考えて対策しましょう。
対策の1つとして改ざん検知があります。
実際に起きたWebサイト改ざんの被害事例
実際に起こってしまったWebサイト改ざんの被害事例として以下を紹介します。
- YouTube 動画のサムネイル画像書き換え＆配信停止
- サーバーのアカウント乗っ取り＆不正なファイルの設置
- 外部サイトへ誘導する不正プログラムの組み込み
- ECサイトに不適切なバナーが表示される
YouTube 動画のサムネイル画像書き換え＆配信停止
2018年にYouTubeで動画のサムネイル画像が書き換えられてしまう改ざん被害がありました。
この事例の原因はYouTubeチャンネルのアカウントがハッキングをされたことです。ハッカーたちにサムネイル画像やタイトルを改ざんされてしまいました。一時、動画が配信停止になる事態にも陥っています。ハッカーたちはYouTubeで見つけた脆弱性を突き、イタズラのつもりで改ざんを行ったとのことです。
悪意がないイタズラでも、動画の再生数やプラットフォームの安全性に影響を及ぼす重大な問題です。このようにプラットフォームの脆弱性による改ざんも起こりえます。運営者側は改ざん検知をして、早急に対策する必要があります。
サーバーのアカウント乗っ取り＆不正なファイルの設置
2019年にサーバー上のアカウントを乗っ取られ、Webサイトに不正なファイルを設置される改ざん被害がありました。
この被害はWordpressで運営しているホームページの改ざんによるものです。被害を受けた企業は、Wordpressが動作するサーバー（OS）の脆弱性を突いたものとしています。改ざんのみで、大きな被害がなかったとしていますが、設置されたファイルの内容によってはさらなる被害が生み出される可能性もありました。
アプリケーション側に問題がなくても、サーバーに脆弱性があれば改ざんをされてしまいます。
外部サイトへ誘導する不正プログラムの組み込み
2023年にWebサイトの改ざんが行われ、サイト上に外部サイトに誘導する不正プログラムが組み込まれる被害が発生しました。
この被害はコンテンツマネジメントシステム（CMS）の脆弱性を突かれたものとされています。個人情報の流出などの被害はありませんでしたが、同サイトは、約3時間の閉鎖を余儀なくされました。
被害を受けた企業はCMSのセキュリティ対応と同時に、Webサイトを訪問したユーザーに被害の可能性を呼びかける対応をしました。改ざんを検出した後は、こういったアフターフォローにも追われることになります。
ECサイトに不適切なバナーが表示される
2023年にECサイトが改ざんされ、不適切なバナーが表示される被害が発生しました。
この被害では、ECサイトで買い物をしているユーザーに不適切なバナーが表示されています。さらにユーザーの注文情報が盗まれる被害も発生しています。サイトの改ざんによってユーザーの情報が流出する事態になってしまいました。
企業はもちろんですが、ユーザーにまで被害が及んでしまう可能性があることがこの被害の怖さです。企業はユーザーに安心して自社サイトを利用してもらえるよう、対策をしておく必要があります。
Webサイト改ざん検知に利用される通信プロトコル
Webサイトの改ざん検知に利用される通信プロトコルとして、以下があります。
- HTTP
- FTP/SFTP
HTMLで記載された情報をサーバーとやり取りする「HTTP通信」
HTTPはブラウザとサーバー間でやりとりをするためのプロトコルです。当記事をお読みの方も、ブラウザを通して読んでいるのであればHTTP（S）通信が行われています。
HTTPで改ざん検知をする場合は対象のWebサイトのHTMLを取得して、改ざんがないことを確認します。改ざんされている場合はHTMLの内容が変更されているために、気がつける仕組みです。単純な仕組みのため、容易に実現できる検知の仕組みといえます。ただしこの方法の場合は、公開されていないHTMLに対する検知はできません。簡易性のメリットがありますが、検知できる範囲が限定的になることがデメリットです。
ファイルをサーバーへ送る「FTP通信」および暗号化したうえで送る「SFTP通信」
ファイルをサーバーに送るFTPや、FTPに暗号化を施したSFTPのプロトコルでも改ざん検知が可能です。
FTP/SFTPの場合、サーバーに送ったファイル（HTML以外を含む）や、サーバーに送られた後に一定時間経過したファイルを利用して検知を実施します。現在のファイルと問題がないファイルの内容やハッシュ値を比較して検知をします。
比較するファイルの考え方はHTTPと同じです。しかし、FTP/SFTPの場合はHTML以外のファイルも検知できる点がメリットになります。
FTP/SFTPの場合はHTTPと比較して検知できる範囲が広いというメリットがありますが、やや設定が複雑になる点がデメリットです。
Webサイト改ざん検知の仕組み・方法
Webサイトの改ざん検知の仕組み、方法として以下を解説します。
- ソース解析型（パターンマッチ型）
- 振る舞い分析型
- ハッシュリスト型
- 原本比較型
過去の改ざんパターンとの一致を探る「ソース解析型（パターンマッチ型）」
ソース解析型（パターンマッチ型）は主にHTTPで行われる改ざん検知の仕組みです。
この場合は、過去に改ざんされたことがあるHTMLのパターンがツールに登録されています。現在のHTMLファイルとパターンを照合して一致するかどうかを確認し、一致すれば改ざんされている、と判断が可能です。
ソース解析型は過去に対応したことがあるパターンであれば検知できます。過去の改ざんパターンの事例が増えるごとに検知の精度は高まります。
この場合、過去の改ざんパターンが登録されていなければ検知はできません。よって攻撃者による新しい改ざんパターンには対応できないことがデメリットです。
仮想環境で試験的に動作させて確認する「振る舞い分析型」
振る舞い分析型は仮想環境で監視対象のHTMLを試験的に動作させ、改ざんされていないことを確認する仕組みです。こちらもHTTPで改ざんを検知します。
監視対象のHTMLが改ざんされている場合、仮想環境で動作をさせると悪意のある挙動が検出されます。しかし、仮想環境での動作であれば被害が出ません。改ざんされたプログラムにわざと悪意がある挙動をさせることで、検知する仕組みです。
振る舞い検知型は、仮想環境で改ざんされていることを確認できる点がメリットです。仮に仮想環境で改ざんが確認されても、自身のパソコンや社内ネットワークが被害を受けることがありません。しかし、振る舞い検知型はどのファイルが改ざんされているのかを特定できないデメリットがあります。ファイルの特定には別の手法が必要です。ファイル特定の際に被害が出ないよう、注意を払う必要があります。
定期的なハッシュ計算により変化を検知する「ハッシュリスト型」
ハッシュリスト型はファイルのハッシュ値を定期的に計算することで、変化を検知する仕組みです。FTP/SFTPで改ざんを検知します。
ハッシュ値とはデータを特定の条件で計算した結果の値です。ハッシュ値の計算はデータの内容や状態を保存することになるため、同じファイルでも保存したタイミングや内容が異なればハッシュ値も異なります。
つまりハッシュリスト型の検知は以下の仕組みです。
- 正しい状態のファイル（掲載したファイル）のハッシュ値を計算
- 定期的にハッシュ値を計算
a. ハッシュ値が1と同じ→改ざんされていない
b. ハッシュ値が1と異なる→改ざんされている
先述したHTTPの場合はHTMLファイルのみで検知が可能でしたが、ハッシュ値であれば他のファイルでも検知が可能です。
原本ファイルと照合して改ざんを検知する「原本比較型」
原本比較型は原本ファイルと照合して改ざんを検知する仕組みです。原本比較型もFTP/SFTPで検知します。
原本比較型はハッシュ値の計算をしません。原本となる正しい状態のファイルを用意しておき、定期的にファイルを原本と比較します。比較した結果、内容が原本と異なる場合は改ざんを検知できる仕組みです。そのため、原本ファイルの登録をしておく必要があります。仮に原本ファイルを更新した場合は、改めての登録が必要です。
また比較する際はその都度原本ファイルを用意する必要があります。原本との比較の際にも、ファイルを隅々までチェックすることになるため、ハッシュリスト型よりも時間がかかる可能性が高いです。
改ざん検知ツールを選ぶ際のチェックポイント
改ざん検知ツールを選ぶ際のチェックポイントとして以下があります。
- 改ざんチェックの頻度はどれくらいか
- 監視方法や検知の対象範囲はどれくらいか
- 改ざんが検知された際はどこまで対応してもらえるのか
先述した検知方法以外にも上記のチェックポイントを比較して、自社に最適なツールを選択してください。
改ざんチェックの頻度はどれくらいか
改ざん検知ツールを比較する際には、改ざんチェックの頻度を確認しましょう。
希望する改ざんチェックの頻度は以下のどちらを優先するか、で決まります。
- ツールが動作しているサーバーの負担
- 改ざん検知のしやすさ
改ざんチェックの頻度が高い場合は、検知しやすくなります。また改ざんに早く気がつけるため、被害を小さく抑え込みやすいこともメリットです。一方で検知ツールが頻繁に動作するため、ツールが動作するサーバーの負担が大きくなります。ツールが動作している間は、サーバーが行う他の動作に影響を及ぼす可能性があるため、注意が必要です。
改ざんチェックの頻度が低い場合は、改ざんに気がつきにくいです。改ざんに気がつかない間に被害が広がってしまう可能性もあります。しかし、サーバーの負担を小さくできることはメリットです。
監視方法や検知の対象範囲はどれくらいか
検知ツールの比較時には、監視方法や検知の対象範囲も確認しておくべきです。
監視方法には以下の要素があります。
- 監視・検出の仕組み（先述）
- ソース解析型（パターンマッチ型）
- 振る舞い分析型
- ハッシュリスト型
- 原本比較型
- どこから監視するか
- 内部監視（内部システムにツールを組み込む）
- 外形監視（監視対象に通信して確認する）
どこから監視するのか、については注意が必要です。特に内部監視の場合は監視対象への攻撃やサーバーの故障によってシステム自体がダウンしてしまうと、監視ができなくなってしまいます。リスクの観点からもどちらを選択すべきか検討しましょう。
また、検知できる対象範囲もHTMLのみなのか、それ以外のファイルやシステムでも検知できるのか確認しましょう。
改ざんが検知された際はどこまで対応してもらえるのか
改ざんが検知された後の対応をどこまで行なってもらえるのかも、検知ツールを比較する際のポイントです。
改ざん検知は「検知」のみで、検知された後の修復や顧客への対応は自社で行わなければならないツールもあります。しかし、アフターフォローをしてくれるツールを選べば自社の負担を低減できます。
検知された後、自社で対応ができると考える場合は問題ありません。しかし、自社で修復対応をできない可能性が高いのであれば、アフターフォローをしてくれるツールを選びましょう。
Webサイトのセキュリティ脆弱性診断は「SCT SECURE クラウドスキャン」にお任せ！
Webサイトのセキュリティに脆弱性があると、改ざんをはじめとした攻撃を受けやすくなります。攻撃を受けた場合は、そこからさらなる攻撃を仕掛けられたり、サイトを閲覧する顧客にも影響する可能性が高いです。
弊社が提供するSCT SECURE クラウドスキャンはWebサイトのセキュリティ脆弱診断ができるツールです。当サービスは以下の特徴があります。
- 脆弱性を特定に加え、修正に必要な情報を提供
- ネットワークデバイス、Webアプリケーションに対して利用可能
- メンテナンス不要
- カード業界のセキュリティ基準であるPCIDSS ASV資格を持つ
Webサイトのセキュリティ脆弱性診断を行いたい企業はぜひ下記リンクからお問い合わせください。
SCT SECURE クラウドスキャン
まとめ
Webサイトの改ざん検知は、Webサイトの改ざんを受けた際に検知するキュリティ対策です。早い段階で改ざん検知をできることで、すぐに対策を打ち出せるため被害を最小限に抑え込める可能性が高くなります。
Webサイトの改ざんはセキュリティの脆弱性を突いて行われることが一般的です。よってセキュリティの脆弱性を防ぐために日頃から十分な対策をしておきましょう。弊社が提供するSCT SECURE クラウドスキャンで脆弱性診断を行い、改ざんできないWebサイトとして運営できるように対策してみてはいかがでしょうか。
