20141117 movable type seminar

2014年11月17日シックス・アパート株式会社

長内 毅志

Movable Type と CMS のセキュリティ

アジェンダ

•Web改ざんの実際

•攻撃の実際

•Movable Type の特徴と安全性

•安全性を高めるために

•Movable Type のご紹介

Web改ざんの実際

データ出典：JPCERT/CC インシデント報告対応レポートグラフ：http://www.nca.gr.jp/2013/web201303/

ガンブラー

http://www.ipa.go.jp/security/txt/2013/07outline.html

最近の改ざん手法

http://www.ipa.go.jp/security/txt/2013/07outline.html

http://cybermap.kaspersky.com/

•CMSの管理権限を奪取してウェブサイトを

改ざん

•CMSの公開ディレクトリに任意のファイル

をアップロードしてウェブサイトを改ざん

CMSに関するハッキングの傾向

•20%はCMSのコア部分にある脆弱性への

攻撃、80%はプラグインなど周辺プログラム

の脆弱性を狙った攻撃

BSI「Content Management Syttem」よりhttps://www.bsi.bund.de/DE/Publikationen/Studien/CMS/Studie_CMS.html

Via http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

ここまでのまとめ

•最近のウェブ改ざんは、ウェブサーバーや

CMSの脆弱性を狙って攻撃するケースが

多い

どのような攻撃が存在するか

もっとも多いパターン

•使用されているCMSを識別して攻撃

http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

ブルートフォースアタック(総当り攻撃)

イラスト：「2014年版 情報セキュリティ10大脅威」よりhttp://www.ipa.go.jp/security/vuln/10threats2014.html

ファイルアップロード攻撃(バックドア)

イラスト：「2014年版 情報セキュリティ10大脅威」より

http://www.ipa.go.jp/security/vuln/10threats2014.html

•http://jvndb.jvn.jp/

その他

•SQLインジェクション

•CSRF

•XSS

–主にソフトウェアの脆弱性を付くもの

ここまでのまとめ

•CMSが特定できると、攻撃しやすい

•総当たり攻撃やファイルアップロード攻撃

など、攻撃者はCMSとプラグインの脆弱性

を狙って攻撃をおこなう

Movable Type の特徴と安全性

CMSサーバーと公開サーバーの分離

ロックアウト

アップロードファイルの制限設定

•AssetFileExtensions

–アップロードできるファイルの種類を制限

•DeniedAssetFileExtensions

–アップロードできないファイルを設定

ジェネレーター情報の消去

ここまでのまとめ

•Movable Type は安全性を高めるための設

定・機能が揃っている

Movable Type の安全性を

さらに高めるために

最新版を使う

•最新版を使う

管理画面にBasic認証をかける

•管理画面にBasic認証をかける

CGIスクリプトの名称を変える

•CGIスクリプトの名称を変える

–AdminScript

•管理プログラムの CGI スクリプト名を設定します

–UpgradeScript

•アップグレードスクリプトを設定します

使わないCGIスクリプトの権限を変える

•使わないCGIスクリプトの権限を変える

–MTのコメント機能を利用していない

•mt-comments.cgi の実行権限を無くす

–トラックバック機能を利用していない

•mt-tb.cgi の実行権限を無くす

例

–Data API 機能を利用していない

•mt-data-api.cgi の実行権限を無くす

–ログフィード機能を利用していない

•mt-feed.cgi の実行権限を無くす

–公開サイトで MTの検索機能を利用していない

•mt-search.cgi, mt-ftsearch.cgi の実行権限を無くす

パスワードの強度を上げる

•パスワードの強度を上げる

ロックアウト設定をする

パスワードの桁数と組み合わせの種類

文字種の数 4桁 6桁 8桁

10種(数字のみ)

1万 100万 1億

26種(英小文字)

約46万 約3億 約2千億

62種(英数字)

約1500万 約570億 約220兆

94種(英数記号)

約7800万 約6900億 約6100兆

「Web担当者フォーラム」よりhttp://web-tan.forum.impressrd.jp/e/2014/05/09/17197/page%3D0,6

参考

使用する文字の種類

使用できる文字数

最大解読時間

入力桁数

4桁 6桁 8桁 10桁

英字（大文字、小文字区別無)

26約3秒 約37分 約17日 約32年

英字（大文字、小文字区別有）＋数字

62約2分 約5日 約50年 約20万年

英字（大文字、小文字区別有）＋数字＋記号

93

約9分 約54日 約1千年約1千万年

IPA 2008年発表の資料から http://www.ipa.go.jp/security/txt/2008/10outline.html

参考

https://howsecureismypassword.net/

•Movable Type を

安全に利用するために

http://www.movabletype.jp/blog/

secure_movable_type.html

ここまでのまとめ

•常に最新版へアップデートすることが改善

防止につながる

•Movable Type の設定を調整することで、さ

らに安全性は高まる

その他

CMSの情報、バージョン情報を消す

•ジェネレータータグをすべて削除する

•RSS、Atom、RDFファイルなども注意

CMSサーバーの場所を特定しづらくする

•検索、コメント、トラックバックなどを使って

いない場合、MTのアプリケーション・サー

バー情報は隠せる

•特定しづらい場所に配置する

公開サーバーとCMSサーバーを分ける

•MTクラウドには標準機能でサーバー配信

機能が含まれている

参考情報

IPA 「安全なウェブサイトの作り方」

• https://www.ipa.go.jp/security/vuln/websecurity.html

http://www.ipa.go.jp/security/txt/2013/07outline.html

Movable Type 最新情報

最新バージョン

Movable Type 6.0.5

5つの新機能

•Data API

•Chart API

•非公開日指定

•Google Analyticsとの連携

•メッセージセンター

Data API

•JSON形式でデータを取得•PHP、JavaScriptなど言語を問わず拡張

Data APIの活用例

•COACH UNITED

Google Analyticsの連携

• Google Analyticsと連携してアクセスデータをダッシュ

ボード上に表示

レスポンシブウェブデザインテーマ

•Rainier

–ブログ向けテーマ

•Eiger

–企業サイト向けテーマ

Apex

•追加テーマ「Apex」

http://plugins.movabletype.jp/movable_type/apex.ht

ml

RainierとEiger、Apexのライセンス

•MITライセンス(オープンソース)

–自由にカスタマイズ、再頒布可能

–ビジネス利用も可能、オープンソース頒布も

パフォーマンス改善

Movable Type クラウド版

•クラウド環境でMTを提供

•サーバー保守、メンテナンスはシックス・ア

パートが担当

•月額5000円～

サーバー配信機能

•外部サーバーへhtml送信

•ステージング構成が簡単

バックアップ機能

•1日に1度データをバックアップ

•いつでも復旧可能

2つの新機能

• IP制限

–管理画面、公開サイトへのアクセス制限が可能

•マルチドメイン対応

–S4i、S4g以上、10ドメインまで利用可能

MT on AWS

•AWS marketplace で提供

•T1microは無料(AWS使用料別)

HVMインスタンスに対応

•T2インスタンスに対応

•再構築時に力を発揮

MTコミュニティとイベント

•MT蝦夷

•（MT東北）

•MT東京

•MTなごや

•MT関西

•MT広島

•MT福岡

MTDDC Meetup 2014 開催!

•2014年11月29日(土) 11:00-19:00

•六本木ミッドタウン

Yahoo! Japan セミナールーム

MT Live 開催中！

•第2、4水曜日 茅場町で開催中！

http://blog.sixapart.jp/2014-09/mt-live-movable-type.html