近年ではiPad、iPhone向けのFileMaker Goのおかげで、外出先からでもFileMakerサーバにアクセスするニーズが急激に増えています。自社サーバやAWSやAzureなどを使ってダイレクトにインターネット上に公開したり、それらを一括して請け負うホスティングサービス業者に任せて実現するケースも増えています。確かに最新のFileMakerはアカウント/アクセス権設定、SSL、AES256など高いセキュリティーを標準で持っていますが、適切な設定をしないまま外部へ公開していたり、それらを使っていたとしても、自分で作ったカスタムAppのセキュリティー知識が足りず、データ漏えいや攻撃の踏み台になってしまう恐れがあります。
FileMakerはソフトウェア開発者じゃなくてもユーザメイドで素早くカスタムAppを作れるソフトウェアです。やりたいことができない未経験者でも「できるはずのことが、出来る」ようにあっという間になれます。しかし、知識が乏しいために「できないはずと思っていたことが、実は出来てしまう」といういわゆる 脆弱性 を含んだカスタムAppも簡単にできてしまいます。そういうファイルをインターネット上の誰でもアクセスできる環境で公開されているケースを、残念ながら見かけるようになってきました。これらの脆弱性に対しての責任はFileMakerでも、インターネット業者でも、ホスティング業者でもありません。カスタムAppを作成して計算式やスクリプトを作成するあなた自身です。
悪意のある攻撃者だけでなく、悪意はないのに「見えてはいけないデータが見える、出来無いはずのことができる」というようでは安心して公開はできません。これから何回かに分けてチェックポイントをお伝えしていきたいと思っています。
今回まずはすぐに確認したいことは下記のポイントです。これらは最低限のセキュリティー設定です。
- アカウント/パスワードをいれなくてもファイルを開くことができる設定をやめる
- ファイルが開くことが出来る最低バージョンを適切に設定する
- 外部ファイルアクセスの制限をOnにする
- 完全アクセス権のAdminパス無しをやめて、十分な長さのパスワードを付与する
- アクセス権セットの設定を綿密に設定する
- AdminConsoleへのIPアドレスアクセス制限をする
- SSL通信にする
つい最近ファイルメーカーから公開されたセキュリティーガイドがあります。
https://community.filemaker.com/docs/DOC-6763
FileMaker Serverをインターネット上に直接公開する場合は、上記のポイントを参考に、セキュリティーガイドの36ページをすべてチェックしてカスタムAppに反映されることを強くオススメいたします。
またできれば、インターネット上での直接公開よりも「VPN接続を通しての公開」を検討してください。