Contents
やや古いがここの対策すら行なっていないサービスや利用者も多い。-- ToshinoriMaeno 2022-07-12 05:14:15
どういう攻撃が想定されているか。
- アカウントにログインすることしか想定されていないようだが、それでいいのか。
1. 総務省
平成25年12月 https://www.soumu.go.jp/main_content/000265404.pdf
リスト型攻撃：何らかの手段により不正に入手した他者のＩＤ・パスワードを リストのように用いて様々なサイトにログインを試みることで、個人情報の閲覧等を行うサイバー攻撃
1.1. 「攻撃を予防する対策」
- １．ＩＤ・パスワードの使い回しに関する注意喚起の実施
サービス毎に異なるＩＤ・パスワードを設定するよう利用者に注意喚起する
- ２．パスワードの有効期間設定
パスワードに有効期限を設定し、利用者に定期的に変更させる
- ３．パスワードの履歴の保存
数世代前に使用したパスワードへの変更を認めないようにする
- ４．二要素認証の導入
ＩＤ・パスワード以外の認証要素（ワンタイムパスワード等）を追加する
- ５．ＩＤ・パスワードの適切な保存
サービス運営事業者において暗号化等ＩＤ・パスワードの適切な保存を行う
- ６．休眠アカウントの廃止
長期間利用実績の無いアカウントをデータも含めて削除する
- ７．推測が容易なパスワードの利用拒否
パスワード・ポリシーを定め、推測が容易なパスワードの利用を拒否する
1.2. 「攻撃による被害の拡大を防ぐ対策｣
- １．アカウントロックアウト
同一のＩＤに対して一定の閾値以上の認証エラーが発生した際にアカウントを一時停止する
- ２．特定のＩＰアドレスからの通信の遮断
特定のＩＰアドレスから閾値以上のログイン要求が発生した際に、当該ＩＰアドレスからの通信を遮断する
- ３．普段とは異なるＩＰアドレスからの通信の遮断
通常ログインされているＩＰアドレスとは大きく異なるＩＰアドレスからのログイン要求が発生した際に、 当該ＩＰアドレスからの通信を遮断する
- ４．ログイン履歴の表示
ログイン履歴を保存し、利用者がアカウントの利用実績を認識できるように設定する