サーバの初期設定で気をつけるポイント
Webサイトの制作や運用を依頼する際に、サーバの設定について気にしたことはありますでしょうか。
Webサイトを公開するうえで、サーバには様々な設定が必要になります。
今回は、サーバで実施すべき基本的な設定をメインにご紹介します。
自社のサーバをお持ちの場合は、必要な設定がされているか、振り返りの機会にしていただけたらと思います。
そもそもサーバとは
サーバとは何か、どのような種類があるのか、といったサーバの基本については、以下の記事でご紹介しておりますので、ご参考にしていただければ幸いです。
セキュリティ関連設定
ファイアウォール構成によるアクセス制限
アクセスが可能な「ポート番号」「IPアドレス」を制限することで、サーバへの不正アクセスを防止します。
ポート番号は「指定のポート番号宛ての通信だけ」を通過させ、IPアドレスは「自社IPアドレスと制作会社のIPアドレスの2つだけ」からアクセスできるように設定します。
SSL/TLS暗号化
サーバとブラウザ間の通信を暗号化するための仕組みで、Webサイトを「https」で表示させるために必要な設定です。
SSLにより通信を暗号化することで、悪意ある第三者による傍受（情報漏洩）や改ざん、なりすましを防ぐことができます。
また、サイトを「https」化することは、SEO（検索結果の表示順位対策）にも影響するので必ず設定しておくべきものになります。
その他の設定
バックアップの設定
万が一、Webサイトのデータがなくなってしまったり、改ざんされたりした場合に、取得しているバックアップから復旧できるようにするために、定期的にバックアップされる設定を実施しておくと安心です。
オプション設定
必須ではないですが、おすすめするオプションもご紹介します。
死活監視
Webサイトが表示されなくなった場合に通知してくれる、死活監視設定を行います。
弊社でサーバを管理する場合は、Zabbixという監視ツールを使用して、サーバ外部から死活監視を行っています。
国外IPアドレスからのアクセス制限
国外IPアドレスからアクセスできないように設定することで、国外のハッカーからのサイバー攻撃を防ぐ可能性を高めることができます。
ただし、国外からのアクセスが想定されないWebサイトの場合に限ります。
WAFの導入
WAF（Web Application Firewall）は、Webアプリケーションの脆弱性を突いた攻撃に対するセキュリティ対策のひとつです。
顧客情報や個人情報を扱うWebサイトを対象に導入することで、攻撃を検知し、防御してくれるサービスです。
さくらのレンタルサーバ等のサーバサービスによっては、無料のWAFが利用できる場合があります。
Web改ざん検知サービスの導入
Webサイトの改ざんやマルウェア等を検知するサービスです。
改ざんやマルウェア等が検知された場合にはサイト管理者に知らせてくれます。
通知はしてくれますが、攻撃を遮断するような機能はないので注意が必要です。
Xserverのビジネスプランのように、サーバサービスによっては、サーバ利用料にWeb改ざん検知サービスが含まれている場合もあります。
定期的な脆弱性診断
定期的な脆弱性診断を行う場合もあります。
特にWebサイト上にPHP言語などを用いた独自プログラムを実装している場合に診断を行うことが多いです。
診断方法は以下の2つの方法があります。
①サイバーセキュリティ会社に依頼する。
②脆弱性診断ツールを使用する。
①は診断精度は高いですが、費用も高いです。
②は診断精度は①よりは低い可能性が高いですが、安価な費用で診断できます。
Xserverのセコムセキュリティ診断のように、レンタルサーバには定期的な脆弱性診断が機能に含まれている場合もあります。
まとめ
今回はサーバに必要な設定について、ご紹介しました。
現在のサーバの設定に不安がある、サーバの管理を任せたい、といった場合は、是非弊社へご相談いただけたらと思います。