狠狠撸

2014年7月16日
シックス?アパート株式会社
長内毅志
Movable Typeの安全性について

アジェンダ
?奥别产改ざんの実际
?攻撃の実際
?Movable Type の特徴と安全性
?安全性を高めるために
?Movable Type のご紹介

データ出典：JPCERT/CC インシデント報告対応レポート
グラフ：http://www.nca.gr.jp/2013/web201303/

ガンブラー
http://www.ipa.go.jp/security/txt/2013/07outline.html

最近の改ざん手法

http://cybermap.kaspersky.com/

?CMSの管理権限を奪取してウェブサイトを
改ざん
?CMSの公開ディレクトリに任意のファイル
をアップロードしてウェブサイトを改ざん

CMSに関するハッキングの傾向
?20%はCMSのコア部分にある脆弱性への
攻撃、80%はプラグインなど周辺プログラム
の脆弱性を狙った攻撃
BSI「Content Management Syttem」より
https://www.bsi.bund.de/DE/Publikationen/Studien/CMS/Studie_CMS.html
Via http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

ここまでのまとめ
?最近のウェブ改ざんは、ウェブサーバーや
CMSの脆弱性を狙って攻撃するケースが
多い

どのような攻撃が存在するか

もっとも多いパターン
?使用されているCMSを識別して攻撃
http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

ブルートフォースアタック(総当り攻撃)
イラスト：「2014年版情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

ファイルアップロード攻撃(バックドア)
イラスト：「2014年版情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

その他
?SQLインジェクション
?CSRF
?XSS
–主にソフトウェアの脆弱性を付くもの

?CMSが特定できると、攻撃しやすい
?総当たり攻撃やファイルアップロード攻撃
など、攻撃者はCMSとプラグインの脆弱性
を狙って攻撃をおこなう

Movable Type の特徴と安全性

颁惭厂サーバーと公开サーバーの分离

アップロードファイルの制限設定
?AssetFileExtensions
–アップロードできるファイルの種類を制限
?DeniedAssetFileExtensions
–アップロードできないファイルを設定

ジェネレーター情报の消去

? https://www.ipa.go.jp/security/topics/alert20130913.html

?Movable Type は安全性を高めるための設
定?機能が揃っている

Movable Type の安全性を
さらに高めるために

最新版を使う
?最新版を使う

管理画面にBasic認証をかける
?管理画面にBasic認証をかける

CGIスクリプトの名称を変える
?CGIスクリプトの名称を変える
–AdminScript
?管理プログラムの CGI スクリプト名を設定します
–UpgradeScript
?アップグレードスクリプトを設定します

使わないCGIスクリプトの権限を変える
?使わないCGIスクリプトの権限を変える
–MTのコメント機能を利用していない
?mt-comments.cgi の実行権限を無くす
–トラックバック機能を利用していない
?mt-tb.cgi の実行権限を無くす

例
–Data API 機能を利用していない
?mt-data-api.cgi の実行権限を無くす
–ログフィード機能を利用していない
?mt-feed.cgi の実行権限を無くす
–公開サイトで MTの検索機能を利用していない
?mt-search.cgi, mt-ftsearch.cgi の実行権限を無くす

パスワードの強度を上げる
?パスワードの強度を上げる

ロックアウト设定をする

パスワードの桁数と組み合わせの種類
文字種の数 4桁 6桁 8桁
10種
(数字のみ)
1万 100万 1億
26種
(英小文字)
約46万約3億約2千億
62種
(英数字)
約1500万約570億約220兆
94種
(英数記号)
約7800万約6900億約6100兆
「Web担当者フォーラム」より
http://web-tan.forum.impressrd.jp/e/2014/05/09/17197/page%3D0,6

参考
https://howsecureismypassword.net/

?Movable Type を
安全に利用するために
http://www.movabletype.jp/blog/
secure_movable_type.html

?常に最新版へアップデートすることが改善
防止につながる
?Movable Type の設定を調整することで、さ
らに安全性は高まる

CMSの情報、バージョン情報を消す
?ジェネレータータグをすべて削除する
?RSS、Atom、RDFファイルなども注意

CMSサーバーの場所を特定しづらくする
?検索、コメント、トラックバックなどを使って
いない場合、MTのアプリケーション?サー
バー情報は隠せる
?特定しづらい場所に配置する

公開サーバーとCMSサーバーを分ける
?MTクラウドには標準機能でサーバー配信
機能が含まれている

IPA 「安全なウェブサイトの作り方」
? https://www.ipa.go.jp/security/vuln/websecurity.html

最新バージョン
Movable Type 6.0.3

5つの新機能
?Data API
?Chart API
?非公開日指定
?Google Analyticsとの連携
?メッセージセンター

Data API
?JSON形式でデータを取得
?PHP、JavaScriptなど言語を問わず拡
張

Data APIの活用例
?COACH UNITED

Google Analyticsの連携
? Google Analyticsと連携してアクセスデータをダッシュ
ボード上に表示

レスポンシブウェブデザインテーマ
?Rainier
–ブログ向けテーマ
?Eiger
–企業サイト向けテーマ

Apex
?追加テーマ「Apex」
http://plugins.movabletype.jp/movable_type/apex.ht
ml

RainierとEiger、Apexのライセンス
?MITライセンス(オープンソース)
–自由にカスタマイズ、再頒布可能
–ビジネス利用も可能、オープンソース頒布も

Movable Type クラウド版
?クラウド環境でMTを提供
?サーバー保守、メンテナンスはシックス?ア
パートが担当
?月額5000円～

サーバー配信機能
?外部サーバーへhtml送信
?ステージング構成が簡単

バックアップ機能
?1日に1度データをバックアップ
?いつでも復旧可能

MT on AWS
?AWS marketplace で提供
?T1microは無料(AWS使用料別)

狠狠撸

20140716 Movable Type seminar

More Related Content

20140716 Movable Type seminar