## page was copied from DnsTemplate ##master-page:HelpTemplate <> <> やや古いがここの対策すら行なっていないサービスや利用者も多い。-- ToshinoriMaeno <> どういう攻撃が想定されているか。 アカウントにログインすることしか想定されていないようだが、それでいいのか。 = 総務省 = 平成25年12月 https://www.soumu.go.jp/main_content/000265404.pdf {{{ リスト型攻撃：何らかの手段により不正に入手した他者のＩＤ・パスワードを リストのように用いて様々なサイトにログインを試みることで、個人情報の閲覧等を行うサイバー攻撃 }}} == 「攻撃を予防する対策」 == １．ＩＤ・パスワードの使い回しに関する注意喚起の実施 サービス毎に異なるＩＤ・パスワードを設定するよう利用者に注意喚起する ２．パスワードの有効期間設定 パスワードに有効期限を設定し、利用者に定期的に変更させる ３．パスワードの履歴の保存 数世代前に使用したパスワードへの変更を認めないようにする ４．二要素認証の導入 ＩＤ・パスワード以外の認証要素（ワンタイムパスワード等）を追加する ５．ＩＤ・パスワードの適切な保存 サービス運営事業者において暗号化等ＩＤ・パスワードの適切な保存を行う ６．休眠アカウントの廃止 長期間利用実績の無いアカウントをデータも含めて削除する ７．推測が容易なパスワードの利用拒否 パスワード・ポリシーを定め、推測が容易なパスワードの利用を拒否する == 「攻撃による被害の拡大を防ぐ対策｣ == １．アカウントロックアウト 同一のＩＤに対して一定の閾値以上の認証エラーが発生した際にアカウントを一時停止する ２．特定のＩＰアドレスからの通信の遮断 特定のＩＰアドレスから閾値以上のログイン要求が発生した際に、当該ＩＰアドレスからの通信を遮断する ３．普段とは異なるＩＰアドレスからの通信の遮断 通常ログインされているＩＰアドレスとは大きく異なるＩＰアドレスからのログイン要求が発生した際に、 当該ＩＰアドレスからの通信を遮断する ４．ログイン履歴の表示 ログイン履歴を保存し、利用者がアカウントの利用実績を認識できるように設定する ---- CategoryDns CategoryWatch CategoryTemplate