公開Webサーバのセキュリティは大丈夫ですか？

　
　こういうのがバナー隠し教の信者なんだなという実例。一ヶ月前のと同じかそれ以上に酷い例。
　
　順番が違うだろ。最初にやるのはアクセスコントロールとパッチメンテナンス。それができない場合に備えて IDS やら IPS やら WAF やら使う。最後の最後にオマジナイだろうが。
　いきなり冒頭で「Webサーバの基本的セキュリティ」て。それがバージョン隠して。アホか。パッチ当てるより FW のルール検討するよりアクセスコントロールするより認証かけるよりさきにバージョン隠しか。そりゃ「幸せな管理者」だろうな。臍が茶を沸かすぞ。どんだけ俺の腹筋を鍛えたら気が済むんだ。危なく痩せてしまうところだったじゃないか。
　何が「機密性の保持」だ。バージョン情報が機密情報なのか。そんな馬鹿なこと言うまえにまずディレクトリインデックスの設定からなんとかしろよ。機密性云々言い出すならまずはそこからだろ。っていうか機密性はアクセスコントロール方面だ。認証系だ。あるいは暗号保護だ。バナー隠しはそれらに該当しない。バナー情報は対策が必要なほど高い重要性を持っていない。
　
　近年稀に見るバナー厨だ。ひでえもんだよ。客がかわいそうだ。
　
　ってかコイツ，バージョン隠しの後に ISS 使ったら脆弱性の報告数が減ったとかが「WEBサーバの基本的セキュリティ！何を差し置いてもまずはバージョン隠し！パッチも設定変更もサービスの吟味もファイアウォールのメンテもIDSもアクセスコントロールも通信経路の暗号化も後回し！とにかくバージョン隠し！」な姿勢の根拠じゃなかろうな。まさかとは思うけど。でないと筆頭にこんな頭の悪いことを「基本的セキュリティ」とかデッチ上げて持ってくる理由がちょっと思いつかない。一つ一つのトピックもなんか切り貼りっぽいし浅い。ページ数の関係ならしかたが無いともいえるけど，WEBメディアでは文字数にかなり余裕があるはず。むしろ基本的な対策に抑えて，パッチメンテナンスとアクセスコントロールに限定して書いたほうが良かった。
　
　この手の対策ノウハウ系はちゃんと優先順位順に書くもんだ。最初にまずやるべきこと，次にその補足，最後に蛇足とまとめくらいが普通だろ。それともまさかその順序でいいとでも思ってるのか？バナー隠しが「WEBサーバの基本的セキュリティ」と本気で思っているのか？
　
　バナー隠しは最後の最後にやる気休めのおまじない。まず効果が期待できない，仮に万が一効果があったとしても「数年前にあった攻撃を避けられる」とか「ごくまれに存在すると思われるツールを避けられる」とかその程度なんだから一番後回しでいいんだよ。最後の最後に余禄の蛇足でページが余ったときに何行か稼ぐとか，そういう用途には使えるな。