やや古いがここの対策すら行なっていないサービスや利用者も多い。-- ToshinoriMaeno 2022-07-12 05:14:15

どういう攻撃が想定されているか。

• アカウントにログインすることしか想定されていないようだが、それでいいのか。

1. 総務省

平成25年12月 https://www.soumu.go.jp/main_content/000265404.pdf

リスト型攻撃：何らかの手段により不正に入手した他者のＩＤ・パスワードを
リストのように用いて様々なサイトにログインを試みることで、個人情報の閲覧等を行うサイバー攻撃

1.1. 「攻撃を予防する対策」

• １．ＩＤ・パスワードの使い回しに関する注意喚起の実施

サービス毎に異なるＩＤ・パスワードを設定するよう利用者に注意喚起する

• ２．パスワードの有効期間設定

パスワードに有効期限を設定し、利用者に定期的に変更させる

• ３．パスワードの履歴の保存

数世代前に使用したパスワードへの変更を認めないようにする

• ４．二要素認証の導入

ＩＤ・パスワード以外の認証要素（ワンタイムパスワード等）を追加する

• ５．ＩＤ・パスワードの適切な保存

サービス運営事業者において暗号化等ＩＤ・パスワードの適切な保存を行う

• ６．休眠アカウントの廃止

長期間利用実績の無いアカウントをデータも含めて削除する

• ７．推測が容易なパスワードの利用拒否

パスワード・ポリシーを定め、推測が容易なパスワードの利用を拒否する

1.2. 「攻撃による被害の拡大を防ぐ対策｣

• １．アカウントロックアウト

同一のＩＤに対して一定の閾値以上の認証エラーが発生した際にアカウントを一時停止する

• ２．特定のＩＰアドレスからの通信の遮断

特定のＩＰアドレスから閾値以上のログイン要求が発生した際に、当該ＩＰアドレスからの通信を遮断する

• ３．普段とは異なるＩＰアドレスからの通信の遮断

通常ログインされているＩＰアドレスとは大きく異なるＩＰアドレスからのログイン要求が発生した際に、 当該ＩＰアドレスからの通信を遮断する

• ４．ログイン履歴の表示

ログイン履歴を保存し、利用者がアカウントの利用実績を認識できるように設定する

---

CategoryDns CategoryWatch CategoryTemplate