1. セキュリティ

1.1. はじめに

Exastroシステムのみでは対策できないセキュリティ脅威については、別途対策が必要となります。

本説明は、システム管理者が行うべきセキュリティ対策の方針について記載します。

1.2. セキュリティ対策方針

以下のセキュリティ対策を必要に応じて導入してください。

表 1.12 セキュリティ脅威に対するユーザーの対策一覧

カテゴリー	セキュリティ脅威	対策区分	対策方針
不正アクセス	ブルートフォース攻撃、辞書攻撃、レインボー攻撃、パスワードリスト攻撃 など	不正監視・追跡認証方式	Keycloakでのアカウント設定による対策。 監査ログの取得 による不正アクセスの特定。
なりすまし	ソーシャルエンジニアリング、リプレイ攻撃 など	個人情報利用	オーガナイゼーション毎の 二要素認証設定 の適用。
	IPスプーフィング、MACアドレススプーフィング など	デバイスのなりすまし
	セッションハイジャック など	Web対策、ネットワーク対策	Web Application Firewall(WAF)を別途導入する。
盗聴	ディレクトリトラバーサル など	Web対策	Web Application Firewall(WAF)を別途導入する。
サービス妨害	DDoS攻撃、リフレクター攻撃、HTTP Flood攻撃、Volumetric攻撃 など	ネットワーク対策	IDS/IPSを別途導入する。
脆弱性を狙った攻撃	SQLインジェクション、クロスサイトスクリプティング (XSS)、クロスサイトリクエストフォージェリ (CSRF) など	Web対策	Web Application Firewall(WAF)を別途導入する。
	バッファオーバーフロー、リモートコード実行、ゼロデイ攻撃 など	システム対策	Web Application Firewall(WAF)を別途導入する。
	ARPスプーフィング、DNSスプーフィングドメイン名ハイジャック攻撃 など	ネットワーク対策	Web Application Firewall(WAF)を別途導入する。
	ルートキット攻撃 など	ウィルス対策	ウィルス対策ソフトを別途導入する。

警告

Exastro Platform 認証機能のオプションパラメータより サービス用公開エンドポイント(EXTERNAL_URL) と システム管理用公開エンドポイント(EXTERNAL_URL_MNG) を分けて設定することによる不正アクセスの対策を推奨しています。

詳細は インストール を参照してください。