Adobe Commerce セキュリティスキャンツールのトラブルシューティングガイド
Adobe CommerceとMagento Open Sourceのセキュリティスキャンツールに関する様々な問題のトラブルシューティング方法について説明します。
問題：サイトを送信できない
セキュリティ スキャン ツールでは、ドメインをセキュリティ スキャン ツールに追加する前に、サイトの所有権を証明する必要があります。 これを行うには、HTMLコメントまたは <meta> タグを使用して、確認コードをサイトに追加します。 HTMLコメントは <body> タグの中、例えばフッターセクションに配置してください。 <meta> タグは、ページの <head> セクション内に配置する必要があります。
マーチャントが直面する一般的な問題は、セキュリティスキャンツールがマーチャントのサイト所有権を確認できない場合に発生します。
エラーが発生し、サイトをスキャン用に送信できない場合は、サポートナレッジベースのトラブルシューティング記事 セキュリティスキャンにサイトを追加する際のエラーメッセージを参照してください。
問題：セキュリティ スキャン ツールで生成されたレポートが空です
セキュリティ スキャン ツールから空のスキャン レポートを取得するか、セキュリティ ツールがベース URL に到達できませんでした または 指定された URL にMagentoのインストールが見つかりません などのエラーが 1 つだけ含まれたレポートを取得します。
解決策
- 52.87.98.44、34.196.167.176、および 3.218.25.102 IP が 80 および 443 ポートでブロックされていないことを確認します。
- 送信した URL でリダイレクトが行われていないかどうかを確認します（例えば、
https://www.mystore.comへのリダイレクトhttps://mystore.comその逆のリダイレクト、他のドメイン名へのリダイレクトなど）。 - WAFまたは web サーバーのアクセスログで、却下されたリクエストまたは実行されなかったリクエストについて調べます。 HTTP 403
Forbiddenと HTTP 500Internal server errorは、空のレポート生成を引き起こす一般的なサーバー応答です。 ユーザーエージェントによる要求をブロックする確認コードの例を次に示します。
if(req.http.user-agent ~ "(Chrome|Firefox)/[1-7][0-9]" && client.ip !~ useragent_allowlist)
{ error 403; }
詳細については、サポート技術情報の セキュリティ スキャン ツールのレポートが空白になるに関する記事も参照してください。
問題：セキュリティの問題は解決されましたが、スキャン時に引き続き脆弱と表示されます
セキュリティ上の問題が解決され、新しく解決された問題に対する脆弱性がなくなったことを示すセキュリティスキャンが表示されることを期待しています。 代わりに、セキュリティスキャンによって生成されたレポートが、セキュリティの問題に対する脆弱性を引き続き報告していることがわかります。
原因：
クラウドインスタンスのメタデータは、active および live クラウドプロジェクトに対してのみ収集され、リアルタイムのプロセスではありません。
統計収集スクリプトは 1 日に 1 回実行されます。その後、セキュリティスキャンツールが新しいデータを取得する必要があります。
期待される同期アップサイクルの待ち時間は最大 1 週間で、少なくとも 24 時間かかります。
チェックから、次のステータスが表示される場合があります。
- 合格: セキュリティ スキャン ツールにより、更新されたデータがスキャンされ、変更が承認されました。
- 不明: セキュリティ スキャン ツールには、ドメインに関するデータがまだありません。次の同期サイクルを待ってください。
- 失敗：ステータスに「失敗」と表示される場合は、問題を修正する必要があります（2FA を有効にする、管理者 URL を変更など）。 そして、次の同期アップサイクルを待ちます。
インスタンスに対して変更が行われてから 24 時間が経過し、それらがセキュリティスキャンレポートに反映されていない場合は、 サポートチケットを送信できます。 チケットの送信時にストア URL を指定します。
BotNet の疑わしいエラー
「BotNet Suspect」エラーに関する通知が届きます。
原因：
- ストアドメイン名は 2019 年に「潜在的な BotNet 参加者リスト」になり、管理パネル、ダウンローダー、または RSS 機能が公開され、その URL は CC スキミングフォーラムで言及されました。
- このアラートは、ページに記載されているJavaScriptのように、店舗の侵害やマルウェアの兆候が原因である可能性があります。
- それは必ずしも継続中の問題ではない。 以前にストアが侵害された場合でも、そのホスト名は「犠牲者」の名前としてダークウェブの周りに浮き上がることができます。
- Adobe Commerceではなく、（OS レベルでの）システムの妥協が原因である可能性もあります。
解決策
- 新しく作成した SSH アカウント、ファイルシステムの変更などを確認します。
- セキュリティレビューを実行します。
- 特に、まだMagento 1 が稼働している場合は、Adobe Commerceのバージョンとアップグレードを確認してください。このバージョンはサポートされなくなりました。
- それでも問題が解決しない場合は、 サポートチケットを送信し、ストア URL を指定します。
問題：挿入時に妥協のエラーが発生する
「妥協注入」エラーに関するエラーが表示されます。
解決策
- セキュリティスキャンツールレポートに示されているスクリプトを確認します。
- インラインスクリプト挿入のホームページソース本文を確認します。
- システム設定の変更を実行し、特にカスタム
HTML headとMiscellaneous HTMLをセクション値footer確認します。 - コードとデータベースのレビューを実行して、挿入されたマルウェアの未知の変化と兆候を確認します。
上記のいずれも役に立たない場合は、 サポートチケットを送信し、ストア URL とレポートのエラーメッセージを指定します。
よくある質問
セキュリティスキャンは web サイトのパフォーマンスに影響を与えますか？
いいえ。 セキュリティスキャンでは、すべてのリクエストが 1 人のユーザーのように 1 つずつ行われます。 このため、セキュリティスキャンによって Web サイトのパフォーマンスに影響が出ることはありません。
Adobe Commerceは、セキュリティスキャンレポートをどのくらいの期間保持しますか？
以前の 10 件のレポートを最後から生成できます。 古いレポートが必要な場合は、Adobe Commerce サポートにお問い合わせください。
サポートチケットを送信する際には、どのような情報が必要ですか？
ドメイン名を必ず指定してください。
スキャン ツールのスキャンからストアを削除するとどうなりますか？
ストアの送信を削除すると、スキャンレポートを含むすべての関連データが削除されます。 この操作は元に戻せません。 削除後にストアドメインを送信すると、新しい送信が作成されます。