当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
Webサイトは公開当初は問題がなくとも、障害や不正アクセス、設定変更などによって状態が変化する場合がある。
外部の監視サービスなどを利用し、異常を自動的に検知できる状態にしておく。このユニットではすべてを監視するのではなく、停止や侵害につながる変化を中心に触れていく。
Webサイトの稼働状態を監視する
UptimeRobotなどの死活監視サービスを利用し、Webサイトへ正常にアクセスできるか定期的に確認する。
サイト停止やHTTPエラーが発生した場合は通知を受け取り、障害の長期化を防ぐ。応答時間の大幅な変化も、異常を把握するための参考となる。
SSL/TLS証明書を監視する
UptimeRobotなどを利用し、SSL/TLS証明書の有効期限を監視する。
証明書が自動更新される環境でも、更新の失敗によって期限切れとなる可能性は残る。外部から監視することで、接続エラーが発生する前に異常を把握できる。
Webサイトの改ざんを監視する
VisualpingなどのWebページ変更監視サービスを利用し、主要な固定ページなどに意図しない変化がないか確認する。
動的なコンテンツは正常な変化でも検知されやすい。誤検知を減らすため、監視するページや範囲を絞っておく。
マルウェア・危険サイト判定を監視する
Sucuri SiteCheckなどの外部スキャンサービスを利用し、マルウェアや危険なコンテンツが検出されていないか確認する。
外部から検出できる範囲には限界があり、問題が見つからなかったからといって安全とは言い切れない。異常が検出された場合は、Webサイトが侵害されていないか確認する。
監視結果を通知する
監視サービスからの通知は、メールやチャットツールなど、気づきやすい手段で受け取れるようにしておく。
通知が多すぎると見落としや通知慣れによってスルーされる恐れがあるため、サイト停止や証明書の異常など、対応が必要なものを中心に設定する。
SMSを併用する、専用のメールアドレスを用意する、複数人で確認できる仕組みにするなど、通知を見落とさない運用も検討する。