攻撃者はどうやってサイトを見つけるのか

「自分のサイトは小さすぎて、誰の関心も引かない」と考えるのは自然なことです。しかし攻撃者は、サイトを一つずつ考えるわけではありません。ツールを使います。

サイトが見つけられる仕組み

• 新しい証明書はすべて公開ログに記録されます。 そのため、新しいサイトは公開から数分以内に見つけられます。
• ツールはインターネット上のすべてのアドレスを、数時間のうちに試します。 既知の弱点がないかを探すためです。
• 検索エンジンは、想定より多くを登録します。 リンクを知っている人だけに共有するつもりだったページも含まれます。
• DNS レコードは公開されています。 そのため、サブドメインや利用しているサービスを簡単に一覧にできます。

ツールがサイトを見つけると、どこでも同じいくつかの手口を試します。例えば、漏えいしたキー、古いバージョンの一般的なソフトウェア、公開されたバックアップ、よくあるパスワードを使えるサインインページなどです。うまくいったものが利用されます。

これが良い知らせである理由

攻撃は自動化されているため、よくある既知の問題を探します。それらを直せば、多くのサイトより先を行けます。誰かより賢くなる必要はありません。ツールが確認する扉を閉じるだけで十分です。

スキャンもこれと同じことをします。ツールと同じように外側からサイトを確認し、どの扉が開いているかを伝えます。コードに触れたり、サインインしたりすることはありません。