RSA Conference 2009 JAPAN：不正アクセスによるサービス停止――事例から学ぶセキュリティ対策 (1/2) - ITmedia エンタープライズ（情報元のブックマーク数）
ゴルフダイジェスト･オンラインのSQLインジェクションの被害についての報告がRSAであったみたいです。
ゴルフ愛好者向けに情報やゴルフ場予約、通信販売などのサービスを提供するゴルフダイジェスト・オンライン（GDO）は、不正アクセス攻撃が原因となって、2008年10月に8日間のサービス停止を行った。同社の最高執行責任者（COO）の大日健氏が、事件対応の詳細とそこから学んだセキュリティ対策について紹介した。
不正アクセスによるサービス停止――事例から学ぶセキュリティ対策 (1/2) - ITmedia エンタープライズ
GDOは2000年に設立され、3月末現在で約141万人の会員を抱える。同社サイトは月間約1億5000万ページビューを持つ国内有数のオンラインメディアでもあり、特にゴルフ場予約サービスなどにおける会員向けメールは、月間約200万通が送信されている。
同社は2008年9月30日にサーバへの不正アクセス攻撃を受け、10月2日からサービスを全面停止せざるを得ない事態になった。10月8日に一部サービスを復旧したが、完全復旧は10月10日だった。連結売上高が約127億円（2008年12月期）の同社にとって、8日間に及ぶサービス停止は数億円規模の売り上げ損失という大きなダメージにつながった。
システムの改修・追加・改修で肥大化していて、全部確認が大変、緊急避難でIPSで対応するしか方法がなかったとのこと。現場の苦労が見えるなぁ。
同氏によれば、サービス停止につながった不正アクセス攻撃の以前にも、3月と8月にサーバ上での不審な文字列が埋め込まれるSQLインジェクション攻撃を受けた。この時点では脆弱性を解消するためにシステム改修も検討したが、事業への影響や多額のコストがかかるために、IPS（不正侵入防止）システムの導入で対処した。
不正アクセスによるサービス停止――事例から学ぶセキュリティ対策 (1/2) - ITmedia エンタープライズ
「実際にはソースコードを見直そうにも、改修の積み重ねでシステム全体を把握している人間がいなかった。時間的対応も含めてほかに選択肢がなかった」（同氏）
それ以外も体制を作って監視とのこと。2年かけて再構築か、、、大変なシステムなんですねぇ。
緊急対応では、これら以外にも事件発覚につながったメールの監視や、不正なJavaScriptが埋め込まれないかを監視する体制を構築。緊急レベルの脆弱性の修正も進めた。大日氏は、現在の状況を「集中治療室から出たばかり」といい、システムサービス会社やセキュリティベンダーと共同で対策計画を練った。今後2年ほどかけて、障害対応に強いシステムへ全面的に再構築する。
不正アクセスによるサービス停止――事例から学ぶセキュリティ対策 (2/2) - ITmedia エンタープライズ
