WEBシステム開発でのセキュリティ対策

質問

セキュリティ対策について質問です。

apache-tomcat javaで外部公開するWEBシステム開発をする際の
セキュリティ対策なのですが、
聞いた話だと、apache-tomcat連携の場合は、
「連携のポート8009をローカルホスト（サーバー自身）からのリクエストのみ通すようにするようにして、
後はapacheの脆弱性のみアップデートしておけば
tomcat、JDK,JREのアップデートは必要ない。」
ということを聞いたことがありますが、
それだけで十分脆弱性に対応できるかどうかの根拠がいまいちです…

常に全てに最新のアップデートを適用するが一番最善とも思いますが、
システムへの影響を考えると難しい気がします。。。

皆さんは、こういったネットワーク機器ではない、
ソフトウェアのセキュリティ対策ってどうされてますか？

宜しくお願いしますm(_ _)m

回答No.2

noname#43129 · ベストアンサー

パッチは常に最新のものにしておくのが一般的です。
アプリケーションの脆弱性も十分狙われる原因となりますので
あまり考えられませんが…。ポートを閉じても他の脆弱性が原因でやられる
時はやられますし、斜め上を行くハッカーを甘く見ていますね。過去に何度
か未だに原因不明で金融系のシステムがやられたこともありますし
(アプリの脆弱性かは知りませんが)。
http://www.itmedia.co.jp/enterprise/articles/0707/12/news022.html
将来的には生産性の高いRubyの性能が向上したらそちらに切り替えるのも
手かもしれません。恐らく本音は修正するのが面倒くさいんでしょう。
ご負担を考えると下手に指導できないのでご判断はお任せします。

お礼

忙しくて返事が遅れました。
回答ありがとうございました。

やはり最新にしておくのが一般的なのですね。
都合上、保守を結ばないつもりなので、
アップデート後のシステムの動作検証作業が難しく、
今のうちにどう対応するかを検討していました。

回答No.1

inoue_kou

仮にtomcatやJDKに脆弱性があったときに、apacheがそれらの脆弱性を突くコードを通さない保証はありますか？
別のたとえで言えば、データベースサーバが別だからapacheさえ最新ならSQLインジェクションはなされないでしょうか？
違いますよね？どの部分も気をつけなければならないと思いますよ。

補足

脆弱性をどのようにしているか？
という質問をしたのに回答になっていないですよ＾＾；
気をつけなければならないのは当然なので
どう対応すべきかを質問したつもりですが…