HTTP の Content-Security-Policy レスポンスヘッダーを設定する際には、PowerCMS 利用については以下の点をご留意ください。
セキュリティ
標準状態でのメール送信サービス（SMTPサービス）では、送信メールでのドメイン認証機能は SPF(Sender Policy Framework) のみです。
オプションサービス「メール送信機能強化」をご契約いただくことで、SPF / DMARC / DKIM への対応が可能になります。
WAF (Web Application Firewall) を導入されている場合はその影響である可能性が高いです。
WAF (Web Application Firewall) を導入する場合、PowerCMS の操作・運用を妨げないように注意して設定を行ってください。
オプションの PowerCMS Security の導入により、より高度な対策が可能です。
| 項目 | PowerCMSクラウド既定 | PowerCMS Securityあり |
|---|---|---|
| ネットワークファイアウォール（Azure NSG） | あり | あり |
| プロセス・リソース監視 | なし | なし |
| 不正プログラム対策 | なし | あり |
| Webアプリケーションファイアウォール（WAF） | なし | なし |
| 改ざん検知 | なし | システム領域のみ |
| 不正侵入検知 | なし | あり |
| 操作ログ取得 | なし | なし |
| ログ監視 | なし | なし |
| 脆弱性検査 | なし | なし |
| セキュリティパッチ適用の運用 | 週次で管理 | 週次で管理 |
Trend Micro Cloud One - Workload Security (C1WS) の全機能ではなく、PowerCMSクラウドの機能に影響を与えない部分のみ有効化して利用できます。 具体的には下記になります。
有効
- 不正プログラム対策機能
- Webレピュテーション機能
- 侵入防御機能
- 変更監視機能（改ざん検知）
無効
- アプリケーションコントロール機能
- ファイアウォール機能（WAF）
- セキュリティログ監視機能
PowerCMS が SSL のサーバー証明書の検証ができないことが原因ですので、検証が行えない原因に対策するか、検証が必要ないようにする必要があります。
製品のメジャーバージョンアップや、製品サポートへのご質問などサポートのご利用ができなくなります。
ただし、サポートライセンスの有効期限が切れていても、セキュリティアップデートのための修正プログラムのご提供および、セキュリティアップデートのための最新版 (マイナーバージョン) パッケージをダウンロードしていただくことは可能です。 (ver.4をご利用の場合にver.4.xをダウンロードできます。)
