実験目的でサーバやアカウントを作成・構築することがあります。

このような実験用のサーバやアカウントは一時的な環境として構築・作成されることが多く、セキュリティ上施して然るべき対策が省略されがちであり、更に実験終了後は放置されることがあります。その結果として、侵入などのインシデントが発生し、サービス運用妨害 (DoS) 攻撃の踏み台や phishing サイトとして使用される可能性があります。

実験用のサーバやアカウントについては以下のような点に注意を払って運用することが求められます。

- 実験用の環境にアクセス可能なホストおよびユーザを必要最小限に制限する

- 実運用環境に反映することを目的とした環境の場合、実運用環境で用いられているデータをそのまま使用せず、実験用のデータを別途用意する

- 実験用の環境の存在を組織内に周知させる

- 実験用の環境が必要がなくなった場合はその環境を放置せず、速やかに撤去・削除する

- 可能な限りインターネットから切り離された実験用の環境を用意する

Weekly Report 2006-05-24号 に掲載