改ざんにいち早く気づくための「改ざん検知」

WEBサイトが改ざんされてしまった場合、1秒でも早く検知し被害の拡大を防ぐことが重要です。改ざん検知では、万が一改ざんされてしまった場合の検知を行い、早急な対応を可能にします。

改ざん検知の方法はおおきくわけて、「差分検知」と「ヒューリスティック検知」の2パターンがあります。「差分検知」では、ファイルを比較し差分を検出します。「ヒューリスティック検知」では、WEBページのレスポンスから改ざんパターンを検出します。

「差分検知」による改ざん検知

「差分検知」ではファイルを比較し差分を検出します。ファイル更新をチェックすると言い換えることも可能です。通常プログラムやhtmlファイルは、管理者が意図をもって更新を行います。意図せず更新された場合に検知することができます。

メリット

メリットとしては、ファイル単位で一語一句の変更を検知することが可能です。

デメリット

デメリットとしては、過検知があります。ファイルが更新されると意図したものかどうかを判断するのは人間です。都度、管理者が判断する必要があり、運用負荷が非常に高くなりがちです。

また、ファイルの更新を見ているので、DB内のデータが改ざんされた場合に検知することができません。具体的には、WordPressのテーマファイルの検知は可能です。しかしながら、投稿データや固定ページのデータはDB管理されているため、改ざんされた場合も気づくことが出来ません。

「ヒューリスティック検知」による検知

「ヒューリスティック検知」では、外部からWEBページへアクセスを行い、そのレスポンスをもとに改ざんパターンを検出します。差分検知よりもユーザー目線に近いチェックが可能です。

メリット

改ざんパターンをもとに検出できるので、悪性の改ざんのみ検知することが可能です。ファイルの更新をみているわけではないので、過検知が少なく運用負荷も低くすることが可能です。

また、ユーザーが見るWEBページと同様のレスポンスをチェック対象とするため、「差分検知」でデメリットとなっていた、DB内のデータ改ざんも検知が可能です。

デメリット

デメリットとしては、検知精度が改ざんパターン定義に依存するこがあげられます。

まとめ

WEBサイトが改ざんされてしまった場合、1秒でも早く検知し被害の拡大を防ぐことが重要です。改ざん検知の方法はおおきくわけて、「差分検知」と「ヒューリスティック検知」の2パターンがあります。ニーズに合った方法を選ぶことで、早急な対応ができる体制を構築しましょう。