セキュリティ機能
概要
Difyエンタプラスバージョンは、企業データとシステムを潜在的な脅威から保護するために、複数のセキュリティ戦略を採用しています。このドキュメントでは、Difyプラットフォームの各種セキュリティ機能が企業データをどのように保護しているかをご紹介します。アカウントセキュリティ
認証戦略
Difyは、さまざまな企業のセキュリティ要件を満たすために、複数の安全な認証方法をサポートしています：1. 基本認証方法
強力なパスワードポリシーを組み合わせた従来のログイン方法です。パスワード複雑性要件：OWASP セキュリティガイドラインに準拠しています。
- 大文字と小文字の英字の組み合わせが必須です。
- 特殊文字が必要です。
- 数字を含める必要があります。
- 将来的には最小パスワード長の要件を増やす予定です。
- 連続5回のパスワードリセット失敗後にアカウント制限が発動します。
- ブルートフォース攻撃を防ぐため、アカウントは24時間自動的にロックされます。
2. 高度な認証方法（推奨）
- シングルサインオン（SSO）：企業の既存のアイデンティティシステムと統合し、従来のログイン方式におけるブルートフォース攻撃のリスクを低減します。詳細はエンタープライズSSO認証をご参照ください。
アカウントログイン/アクセス制御
アカウント乱用や潜在的なネットワーク攻撃を防ぐために、Difyでは厳格なリクエスト頻度制限を実施しています：IPベースのリクエスト頻度制御
- メール送信上限：1分間あたり最大50回のメールリクエストが許可されています。
- 一時的制限メカニズム：上限を超えると、10分間のアクセス制限が発動します。
- 制限ポリシーの強化：制限期間中に高頻度のメールリクエストが続く場合、さらに1時間の凍結期間に引き上げられます。
ログイン保護メカニズム
Difyは多層的なログイン保護措置を採用しています：- 失敗試行制限：連続5回のログイン失敗で保護メカニズムが発動します。
- アカウント自動ロック：失敗上限に達すると、アカウントは24時間ロックされます。
- 異常行動検出：システムは異常なログイン行動を自動的に識別し、保護措置を講じます。
アカウントロックと管理
アカウントセキュリティをさらに確保するために、Difyは以下のアカウント管理メカニズムを提供しています：- 自動ロック：システムは異常な行動を検出した後、24時間アカウントを自動的にロックします。
- 管理者制御：システム管理者は疑わしいアカウントを手動でブロックできます。
ベストプラクティスと推奨事項
Difyプラットフォームに最適なセキュリティ保護を確保するために、次のベストプラクティスに従うことをお勧めします：管理者向けベストプラクティス
- ユーザーアクティビティの定期的な確認：システムログを定期的にチェックし、潜在的に疑わしいアクティビティを特定します。
- 最小権限の原則の実施：ユーザーには必要最小限の権限のみを割り当てます。
- 定期的なトレーニング：すべてのシステム管理者が最新のセキュリティ脅威と保護対策を理解していることを確認します。
ユーザー向けベストプラクティス
- 強力なパスワードの使用：複雑性要件を満たすパスワードを作成します。
- 定期的なパスワード変更：90日ごとにパスワードの変更を推奨します。
- フィッシング攻撃に注意：不審なメールやフィッシング試行に警戒し、不明なリンクをクリックしないでください。
セキュリティアップデートとアップグレード
Difyチームはセキュリティ分野の最新動向を継続的に監視し、プラットフォームのセキュリティ対策を定期的に更新しています：- 定期的なセキュリティパッチ：セキュリティアップデートを定期的にリリースしており、最新バージョンへの迅速なアップグレードをお勧めします。
- セキュリティ通知：重要なセキュリティアップデートは、公式チャネルを通じてユーザーに通知されます。