狠狠撸

CMSの安全な運用と
Movable Type のセキュリティ
2017年9月22日
シックス?アパート株式会社
長内毅志

?長内毅志
–2011年～ Movable Typeプロダクトマネージャー
–2014年～ディベロッパーリレーションマネージャー
エバンジェリスト
–趣味ダンス (ストリート、ジャズ)
ジョギング (サブフォー)
英語の勉強 (TOEIC 875, 英検準1級)
家族と過ごすこと

アジェンダ
?颁惭厂とは
?颁惭厂のセキュリティと攻撃の実际
?颁惭厂の安全な运用のために
?クラウド環境構築のポイント
?Movable Type のラインアップ

颁惭厂とは
?デジタルデータを管理する仕組みのこと
?Contents Management System の略称
–コンテンツ管理システム
?2000年頃から市場に出回る

CMSは多種多様だが
?社内ドキュメント管理
?画像、PDFなどのアセット管理
?ウェブサイト管理
?CMS = ウェブサイト管理システム、という認識が浸透
しています

Movable Typeとは
? 10年以上利用されているブログ?CMS(通称MT)
? MTタグ組み合わせでロジック生成
? テンプレートとDBが完全に分離している
(MVCライク)

?ブログから数万ページに及び大規模サイトまで
5万件以上の導入実績
ECサイト
イントラサイト?WEB社内報
メディアサイト?企業オウンドメディア
会員制サイト?コミュニティサイト
実績
コーポレートサイト
5万件以上の導入実績
5万件以上

ビジネスユーザーに絶大な支持
日経平均225社の
半数以上がMTユーザー

颁惭厂のセキュリティと攻撃の実际

データ出典：JPCERT/CC インシデント報告対応レポート
グラフ：http://www.nca.gr.jp/2013/web201303/

ガンブラー
http://www.ipa.go.jp/security/txt/2013/07outline.html

ウェブサイトに改ざんでよく使われる手法
http://www.ipa.go.jp/security/txt/2013/07outline.html

?CMSの管理権限を奪取してウェブサイトを改ざん
?CMSの公開ディレクトリに任意のファイルをアップロ
ードしてウェブサイトを改ざん

CMSに関するハッキングの傾向
?20%はCMSのコア部分にある脆弱性への攻撃、80%
はプラグインなど周辺プログラムの脆弱性を狙った
攻撃
BSI「Content Management Syttem」より
https://www.bsi.bund.de/DE/Publikationen/Studien/CMS/Studie_CMS.ht
ml
Via http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

もっとも多いパターン
?使用されているCMSを識別して攻撃
http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

? オープンソースCMSが脆弱なわけではない
? 活発なプロジェクトは固く作らており、パッチの供給も早い
? MTも同様、セキュリティ対応は早い
? FingerPrint(指紋)が紛れ込むことが多いことが問題
? 管理画面のURL特定=>攻撃につながる

ブルートフォースアタック(総当り攻撃)
イラスト：「2014年版情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

ファイルアップロード攻撃(バックドア)
イラスト：「2014年版情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

その他
?SQLインジェクション
?CSRF
?XSS
–主にソフトウェアの脆弱性を付くもの

CMSをセキュアに保つために
?ジェネレーター情報はできる限り消去
?管理画面は特定させない
?ステージング構成はセキュリティ的に強い
–構築?運用の手間は考慮の必要あり
?パッケージやプラグインは常に最新の状態にアップ
デート

Movable Type のセキュリティ

?Movable Type はセキュリティ対策に強いとよく言わ
れる
?動的、静的生成どちらも対応することで、様々なサー
バー構成に対して柔軟に対応できる

基本的な構成
公開サーバー兼
CMSサーバー
管理者
閲覧者
(サイト訪問者)

ステージング環境
ステージング
サーバー兼
CMSサーバー
公開
サーバー
管理者閲覧者
(サイト訪問者)

冗長構成
CMS
サーバー
公開
サーバー
（冗長構成）
ロード
バランサ

颁惭厂の安全な运用のために

最新版を使う
?最新版を使う

管理画面にBasic認証をかける
?管理画面にBasic認証をかける

パスワードの強度を上げる
文字種の数 4桁 6桁 8桁
10種
(数字のみ)
1万 100万 1億
26種
(英小文字)
約46万約3億約2千億
62種
(英数字)
約1500万約570億約220兆
94種
(英数記号)
約7800万約6900億約6100兆
「Web担当者フォーラム」より
http://web-
tan.forum.impressrd.jp/e/2014/05/09/17197/page%3D0,6

ジェネレーター情报の消去

颁惭厂サーバーと公开サーバーの分离

?Movable Typeセキュリティ対策ガイド
? http://www.movabletype.jp/guide/movable-type-security-guide.html
?Movable Type 以外でも通用します

ここまでのまとめ
?常に最新版へアップデートすることが改善防止につ
ながる
?CMSの設定を調整することで、さらに安全性は高まる

クラウド上でCMSを構築?運用する際のポ
イント

この章について
?一般的なクラウドサービスについて言及
(Microsoft Azure、AWS)
(PowerCMS クラウド、Movable Type クラウド版など、クラウド基盤
を利用したCMSサービスは「クラウドCMSサービス」と称します)

クラウド上でのCMS構築
?クラウド+CMS
=> Virtual Machine、DB、データストレージが中心とな
る
?クラウドの特性を理解して利用が吉

クラウドにデータを預けるのは心配？
?10億円を保管するなら自宅？銀行？
?銀行なみのセキュリティ？

クラウド事業者のセキュリティレベルは高い
?Azureなら
–国際規格 (ISO 27001、HIPAA、FedRAMP、SOC 1/2)
–英国 (G-Cloud)
–オーストラリア (I-RAP)
–シンガポール (MTCS)
出典: https://azure.microsoft.com/ja-jp/support/trust-center/compliance/

Azure 仮想マシンのダウンタイム
?Azure 仮想マシンの稼働率 99.9996％
–40.07分のダウンタイム
画像及びデータはCloudSquare (https://cloudharmony.com/cloudsquare)
via “Publickey” (http://www.publickey1.jp/) より

AWSのダウンタイム
?AWS EC2の稼働率 99.9992％
–2回の障害 16.88分のダウンタイム
画像及びデータはCloudSquare (https://cloudharmony.com/cloudsquare)
via “Publickey” (http://www.publickey1.jp/) より

肝は「構成」
?クラウドのメリットは「構成が柔軟」なこと
–冗長構成 (仮想マシンの複数構成)
–Geoレプリケーション (異なる地域へのデータ保全)
–ディザスタ?リカバリ
?データ保全、システムの可用性

クラウドのセキュリティ
?不必要なポートは開放しない
–(クラウドCMSサービスを利用する場合は特に意識する必要はな
い)
?仮想ネットワークサービスを活用して設定を
–Azure ならVirtual Network
–AWSならVPC

Microsoft Azureでのセキュリティ設定

础奥厂でのセキュリティ设定

セキュリティチェックは要注意
?各種セキュリティチェック
–ペネトレーションテスト
–ポートスキャン
?そのままでは攻撃とみなされる

クラウドのセキュリティチェックは申請が必要
?Microsoft Azure での侵入テスト申請
–http://blogs.msdn.com/b/dsazurejp/archive/2014/10/15/micro
soft-azure-penetration-test-request.aspx
?侵入テスト AWS セキュリティセンター
–https://aws.amazon.com/jp/security/penetration-testing/

セキュリティチェックポリシーは事前にすり合わせを
?事前に確認と手続きを
?サーバー管理担当者やシステム構築担当者との手
続きが必要
?クラウドCMSサービスの場合、サービス提供者へ問
い合わせを

インフラへの理解は運用?構築の工数を削減
?運用のトラブルを未然に防げる
–Azureなら
?Virtual Machine
?Web Apps
?Storage
–専門家になる必要はない
?サービス事業者へ聞けば良い

クラウドサービス型CMSの構築は仕様に準じて
?クラウドサービス型CMSの場合、サーバーのルート
権限は使えない
?仕様内の構築が望ましい
–プログラム的に負荷の高いカスタマイズは運用継続性の足かせ
になるケースがある
?サポートをうまく活用する

ここまでのまとめ
?クラウドの特性を理解したシステム構築が肝
?セキュリティチェックは事前のすり合わせを
?クラウド基盤の理解はスムーズな運用に繋がる
?クラウドCMSサービスを利用する際は無理なカスタマ
イズをしない

Movable Type ラインアップ

Movable Type のラインアップ
?Movable Type
?Movable Type クラウド版
?Movable Type for AWS
?MovableType.net

Movable Type クラウド版
?クラウド環境でMTを提供
?サーバー保守、メンテナンスはシックス?アパートが
担当
?月額5000円～

サーバー配信機能
?外部サーバーへhtml送信
?ステージング構成が簡単

バックアップ機能
?1日に1度データをバックアップ
?いつでも復旧可能

MovableType.net
?Webサービス型CMS
?カスタムフィールドが利用可能
?GitHub上のテーマと連携可能
?低価格(2100円/月～)

自由度低
(ウェブサービス型)
高
(ソフトウェア型)
手軽さ
複
雑
容
易

MT on AWS
?AWS marketplace で提供
?microインスタンスは無料(AWS使用料別)

ご清聴ありがとうございました

狠狠撸

20170922 cms security_public

More Related Content

20170922 cms security_public