ドキュメントルート配下に全てのPHPファイルが置かれていた環境をindex.php1個だけにした話

川島慧 / GMOペパボ株式会社
GMOペパボでは2018年1月に発生したセキュリティインシデントを重く受け止め、再発を防止するため既存のアプリケーションの大規模なセキュリティ上の見直しを行いました。私の担当しているサービスはフレームワークの使われていないピュアなPHPで作られており、ドキュメントルート配下には全てのPHPファイルが置かれていました。会社のセキュリティ方針により、公開する必要のない全てのファイルの非公開化がマストとなりましたが、10年を超える長寿サービスの技術環境でそれを実現することは簡単ではありません。この発表では上記を実現するまでに現れた数多くの障害を、動的解析、静的解析ライブラリの作成、カナリアリリースなどを駆使して、なるべく人間は頑張らず、あくまで技術力によって解決していった過程を話させていただければと思います。