ギガワタスでは、お客様に安心して大容量ファイルをお送りいただくため、毎週、自動セキュリティ診断を実施し、その概要を公開しています。
エグゼクティブサマリー
- 診断日: 2026-10-12
- 診断対象: バックエンド（Go）/ フロントエンド（React, TypeScript）/ 依存パッケージ / Docker構成
- 使用ツール: gosec / npm audit / osv-scanner / OWASP Top 10 観点での確認
- 総合評価: 概ね正常稼働（ウイルススキャンに一時的な停止が1件あり、復旧・再発防止済み）・改善点を継続対応中
1. 今週のハイライト
今週も、保存時の暗号化・レート制限・認証管理といった主要な安全対策が正常に稼働していることを確認しました。一方で、10/10 にウイルススキャンのエンジンが約6時間応答しなくなる障害がありました（詳細は下記）。復旧後に全件を再スキャンして判定を回収し、再発防止策を反映しています。あわせて、認証まわりの保護強化、アップロードされたコンテンツの蓄積型XSS対策、管理画面の認証経路の堅牢化など、お客様データに直結する領域で複数の改善を反映しました。
- 障害と解決: 2026-10-10 ウイルススキャンのエンジンが約6時間（08:46〜15:46）応答せず、その間にアップロードされたファイルは判定待ちとなりました。復旧後、判定待ちのファイルを全件再スキャンして判定を回収済みです。再発防止として、エンジンの無応答を検知して自動で再起動する見張りを設置しました
- 解決: 2026-10-11 ウイルススキャンの投入処理を冪等化し、判定済みのファイルが途中の失敗で上書きされないよう改善
- 解決: 2026-10-08 パスワード変更時に、他端末のセッションおよび発行済みアクセストークンを即時に失効させる仕組みを追加
- 解決: 2026-10-07 使われていないアップロード経路の撤去と、URLクエリでの認証トークン受付の廃止
- 解決: 2026-10-07 外部ID連携ログインに対するプレハイジャック対策と、パスワード変更後のセッション失効の強化
- 解決: 2026-10-07 メール共有機能の悪用抑止（上限とメール認証による保護を強化）
- 解決: 2026-10-06 アップロードされたHTML/SVGに起因する蓄積型XSSの封じ込め（配信方法の制御を強化）
- 解決: 2026-10-06 未ログイン利用時のまとめ作成を所有者権限に限定
- 解決: 2026-10-06 管理者ログインの誤入力を接続元ごとに制限（総当たり抑止）
- 解決: 2026-10-06 管理者トークンの保持方式を強化し、HttpOnly Cookie 方式へ移行
- 解決: 2026-10-06 ページ応答にコンテンツセキュリティポリシー（CSP）を観測モードで導入し、違反を可視化
- 継続: フロントエンドの依存パッケージに更新対象があることを確認。影響範囲と優先度を精査したうえで計画的に反映します
- 継続: 静的解析の指摘のうち、疑陽性・運用非影響のものを除外し、本番影響のある観点から順次改善
2. 主な安全対策
実装に沿って、対象範囲を明記しています。
- 保存時の暗号化（保管先のクラウドストレージで、すべてのファイルを AES-256 により暗号化）
- アップロードファイルのウイルススキャン（対象は500MB以下かつ動画・音声以外のファイル。範囲外についてはセキュリティページで説明）。なお、ゲスト（ログインなし）の利用で2026-09-26以前にアップロードされたファイルの一部は、スキャン未実施のまま保存されています。これらは保存期限の経過により順次削除されます
- 検出ファイルの検疫管理と、検出履歴・判定結果の台帳記録
- 不正アクセス・総当たり攻撃を防ぐレート制限
- 危険な拡張子を持つファイルのアップロード検出
- 通信の暗号化（HTTPS・HSTS）
- 認証トークンの安全な管理（短期アクセストークン + リフレッシュトークンのローテーション + 失効管理、認証コード入力の試行回数制限）
- ログイン試行・管理者操作の監査ログ記録と、CSVエクスポート時の数式インジェクション対策
3. 継続的な取り組み（改善履歴）
主な改善履歴（本番環境への反映日・新しい順）:
- 2026-10-11: ウイルススキャン投入処理の冪等化（判定済みファイルが失敗で上書きされないよう改善）
- 2026-10-10: ウイルススキャンエンジンの無応答を検知して自動再起動する見張りを設置（判定待ちファイルの再スキャンも実施）
- 2026-10-08: パスワード変更時の全端末即時ログアウト（発行済みアクセストークンの失効を含む）
- 2026-10-07: 未使用アップロード経路の撤去と、クエリ経由トークン受付の廃止
- 2026-10-07: 外部ID連携ログインのプレハイジャック対策と、パスワード変更後セッションの強制失効
- 2026-10-06: アップロードされたHTML/SVGに対する蓄積型XSS対策（配信制御の強化）
- 2026-10-06: 未ログイン利用時のまとめ作成を所有者権限に限定
- 2026-10-06: 管理者ログインの接続元ごとの誤入力制限
- 2026-10-06: 管理者トークンの保持方式を HttpOnly Cookie へ移行
- 2026-10-06: HTMLページへの CSP（Report-Only）導入による違反観測の開始
4. 総評
ギガワタスでは、保存時の暗号化・ウイルススキャン・通信の暗号化・レート制限・監査ログといった多層的な安全対策を継続して運用しています。今週は、ウイルススキャンのエンジンが一時的に応答しなくなる障害がありましたが、復旧後に判定を全件回収し、無応答時に自動で再起動する見張りと、判定済みファイルを失敗から守る投入処理の改善を反映しました。あわせて、認証経路の堅牢化（セッション失効の即時化・管理者ログインの保護強化・トークン保持方式の見直し）と、アップロードされたコンテンツに起因する蓄積型XSS対策も反映しています。
フロントエンドの依存パッケージには引き続き更新対象があり、影響範囲と優先度を精査したうえで計画的に反映してまいります。お客様のデータを安全にお預かりするため、今後も毎週の自動診断と継続的な改善を続けてまいります。
本レポートは、ツールによる自動診断（AI評価）を基に、運営者が実装と照らし合わせて確認したうえで公開しています。
診断頻度：毎週月曜日早朝
