対応テンプレート
Web改ざん初動テンプレート
表示だけを戻すのではなく、侵入経路、改ざん範囲、認証情報、デプロイ経路を確認する。
- 重要度
- 高
- 想定読者
- Web担当・開発者・情シス
- 所要時間
- 約11分
何を確認するか
Webサイトの改ざん、意図しないリダイレクト、不審スクリプト、検索結果の汚染が疑われるときの初動対応テンプレート。
なぜ重要か
Web改ざんは利用者被害、検索評価低下、マルウェア配布、ブランド毀損につながるため、復旧と調査を分けて進める必要がある。
見落とすと何が起きるか
改ざんファイルだけを戻すと、バックドア、盗まれた認証情報、CI/CD改ざんが残り、再改ざんされる。
初動
- 改ざんURL、発見時刻、スクリーンショット、HTTPレスポンスを記録する
- 利用者被害がある場合は一時メンテナンスやWAFルールを検討する
- 本番ファイルを上書きする前に証跡を保全する
封じ込め
- 管理画面、CMS、FTP/SSH、CI/CD、クラウド権限を確認する
- 不審なリダイレクト、scriptタグ、iframe、未知ファイルを検出する
- 管理者パスワード、APIキー、デプロイキーをローテーションする
調査
- Webサーバーログ、WAFログ、CMSログ、Git履歴、CI/CDログを確認する
- 改ざん範囲が単一ページかテンプレート全体かを切り分ける
- 脆弱なプラグイン、未更新CMS、公開管理画面を確認する
復旧
- クリーンなビルド成果物またはバックアップから復旧する
- キャッシュ、CDN、検索結果スニペットに改ざん内容が残っていないか確認する
- 監視、改ざん検知、再クロール依頼を検討する
再発防止
- 管理画面MFA、IP制限、パッチ管理、WAF、デプロイ権限を見直す
- ファイル整合性監視と変更レビューを追加する
- 改ざん時の公開停止判断基準を文書化する
報告文テンプレート
件名: Web改ざん疑い 初動報告 検知日時 / 対象URL: 観測された改ざん内容: 一時対応: 確認済みログ: 復旧状況: 再発防止予定: