【インターネットからの不正侵入の防止】

質問

いくつかの支社のデータを共有するためにインターネットのホームページを利用しています。一度ログインしてしまえばデータの登録、変更、削除も可能です。

社員の利用者は、特定のホームページアドレスにログインし（ユーザー名とパスワードにてセキュリティを保っています）作業ができるようになっています。

ログインの際には、ログイン失敗の記録をとっているのですが、
明らかにログインの失敗が多いので不正なハッキング等の可能性アリと思っています（アクセス者のＩＰアドレスを記録していますので）。

最近、ついに社員に関係ないと思われるＩＰアドレスでのログインの成功があり、パスワードを変えたばかりです。

いまのところ、そのときの実害はないようです。
ですので、警察に被害届けを出すまで大袈裟な対処はしていません。
たぶん、アクセスしてきたのは、中国からだと思われるからです。
ですので、実際に届けを出しても、警察も被害がでたわけではないので、
こちら側の対策強化ということで終わってしまいそうだからです。

IPアドレスで、アクセスできるプロバイダー等の制限をもうける方向で考えています。

ただ、今後も不正アクセスによるログインを試みるようであれば、警告や、より厳しいセキュリティをかけようと思っていますが、良い方法はないでしょうか？
　不正アクセスに利用されたプロバイダーに対して相談にのって欲しいところですが、中国のプロバイダーだと連絡等に手間がかかりすぎます。

実際には、（海外も含め）リモート社員もいるので、プロバイダー制限はも難しいのですが。。。。

また、意外と社内の（本来はアクセス許可のない）人が犯人だったりするかも知れません。

よろしくアドバイスお願い致します。

回答No.3

noname#116235

パスワードの認証失敗を無制限に設定してあれば、どのようなシステムにしても時間の問題でクラックされます。

規定の回数以上の認証が失敗したらそのIPアドレスからのアクセスを一定時間蹴るような設定をするのが一番だと思います。

回答No.2

nekonokota

システム上実現できるかはわからないですが、社員の方が日本語の読み書きができる、というのが前提になってしまいますが、「日本語の合言葉」を設ける、という手段はいかがでしょうか？
この「合言葉」は、全社員共通で使用して（合致するかどうかはハッシュを使うことになると思いますが）、仕事とはまったく無関係な言葉…「笑顔の連鎖」（←今私がBGMにしている曲名）のようにすれば、総当たりのパスワード破りは難しくなると思います。

とにかく強固なセキュリティ、といったら、生体認証を行ったり、ジャパンネットバンクのようにトークンを社員に持たせて、ワンタイムパスワードを使ったりとありますが、当然コストがかかりまし…

最後に、こんなカテゴリもあります。有効活用してください。
教えて！goo > [技術者向] コンピューター > ネットワークセキュリティ

回答No.1

akina_line

こんにちは。

　下記サイトをご参照下さい。
　　http://www.secomtrust.net/service/ninsyo/index.html
　　ICカードを使ってサイトへのログイン認証をおこなってはどうでしょう。（セコムパスポート for Member 2.0）

では。

補足

早い回答でとても助かります。
　やはりセキュリティの強化が重要ですね。

　継続して（同一犯？）のアクセスが続くので、犯人を特定するのに現在は苦慮しています。
　身内の犯行であれば、注意ですみコストもかかりませんので。

　セキュリティにはコストととのトレードオフとは思いますが、もう少しユーザーを限定もしくは、特定できれば良いのですが。。。。難しいところです。

　まずは、ありがとうございます。