改ざん監視：変更を検出し、その原因を検証する

ページ変更モニターは、保存した基準との差を通知できます。チェックサムだけで、攻撃、許可された公開、通常の動的コンテンツのどれが原因かを判断することはできません。通知は証拠確認のきっかけと捉えます。

意味のある基準を選ぶ

重要なテンプレートを代表する公開URLを選び、想定するタイトル、正規URL、robots指示、内容を記録します。予定された配備や頻繁に変わる動的要素も記します。SearchBastion Site Monitorは設定されたURLを定期検査します。継続的なブラウザーセッション、ソースコード整合性スキャナー、自動インシデント対応システムではありません。

検出した差を切り分ける

1. 応答がログイン画面やエラー画面ではなく、対象ページであることを確認します。
2. 変更された項目を前のスナップショットと比較します。
3. リリース履歴と許可された内容変更を確認します。
4. 安全に再現し、確認済みの無許可変更を担当チームへ引き継ぎます。
5. 認証情報や顧客記録を公開せずに証拠を保全します。

例：ホームページのタイトルが予想外だった

定期検査で見慣れないタイトルを観測したとします。実際の応答を調べ、予定されたキャンペーンで説明できるか判断します。本当に無許可の変更なら、インシデント手順に従い、アクセスと依存関係を確認し、管理された配備で正常と分かる状態へ戻します。通知だけで攻撃者を特定したり、その後の変更を防いだりはできません。これは説明用の例です。

監視手順をテストする

テストページで許可された無害な変更を行い、次の定期観測と、担当者への設定済み通知の到着を確かめます。即時発見を約束せず、実際の検出時間と対応時間を測ります。通知と同じ慎重さでロールバックとエスカレーションもテストします。

侵害の疑いには、アプリのインシデント手順とGoogleのハッキングされたコンテンツのガイドを併用します。公開ヘッダー検査は設定の補足証拠であり、修復完了の証明ではありません。