1. 2015年2月9日
シックス・アパート株式会社
長内 毅志
Movable Type と CMS のセキュリティ

2. アジェンダ
•Web改ざんの実際
•攻撃の実際
•Movable Type の特徴と安全性
•安全性を高めるために
•Movable Type のご紹介

3. Web改ざんの実際

4. データ出典：JPCERT/CC インシデント報告対応レポート
グラフ：http://www.nca.gr.jp/2013/web201303/

5. ガンブラー
http://www.ipa.go.jp/security/txt/2013/07outline.html

6. 最近の改ざん手法
http://www.ipa.go.jp/security/txt/2013/07outline.html

7. http://cybermap.kaspersky.com/

8. •CMSの管理権限を奪取してウェブサイトを
改ざん
•CMSの公開ディレクトリに任意のファイル
をアップロードしてウェブサイトを改ざん

9. 最近の事例
•ロリポップの一斉ハッキング

10. CMSに関するハッキングの傾向
•20%はCMSのコア部分にある脆弱性への
攻撃、80%はプラグインなど周辺プログラム
の脆弱性を狙った攻撃
BSI「Content Management Syttem」より
https://www.bsi.bund.de/DE/Publikationen/Studien/CMS/Studie_CMS.html
Via http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

11. ここまでのまとめ
•最近のウェブ改ざんは、ウェブサーバーや
CMSの脆弱性を狙って攻撃するケースが
多い

12. どのような攻撃が存在するか

13. もっとも多いパターン
•使用されているCMSを識別して攻撃
http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

14. ブルートフォースアタック(総当り攻撃)
イラスト：「2014年版 情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

15. ファイルアップロード攻撃(バックドア)
イラスト：「2014年版 情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

16. その他
•SQLインジェクション
•CSRF
•XSS
–主にソフトウェアの脆弱性を付くもの

17. ここまでのまとめ
•CMSが特定できると、攻撃しやすい
•総当たり攻撃やファイルアップロード攻撃
など、攻撃者はCMSとプラグインの脆弱性
を狙って攻撃をおこなう

18. Movable Type の特徴と安全性

19. CMSサーバーと公開サーバーの分離

20. ロックアウト

21. アップロードファイルの制限設定
•AssetFileExtensions
–アップロードできるファイルの種類を制限
•DeniedAssetFileExtensions
–アップロードできないファイルを設定

22. ジェネレーター情報の消去

23. ここまでのまとめ
•Movable Type は安全性を高めるための設
定・機能が揃っている

24. Movable Type の安全性を
さらに高めるために

25. 最新版を使う
•最新版を使う

26. 管理画面にBasic認証をかける
•管理画面にBasic認証をかける

27. CGIスクリプトの名称を変える
•CGIスクリプトの名称を変える
–AdminScript
•管理プログラムの CGI スクリプト名を設定します
–UpgradeScript
•アップグレードスクリプトを設定します

28. 使わないCGIスクリプトの権限を変える
•使わないCGIスクリプトの権限を変える
–MTのコメント機能を利用していない
•mt-comments.cgi の実行権限を無くす
–トラックバック機能を利用していない
•mt-tb.cgi の実行権限を無くす

29. 例
–Data API 機能を利用していない
•mt-data-api.cgi の実行権限を無くす
–ログフィード機能を利用していない
•mt-feed.cgi の実行権限を無くす
–公開サイトで MTの検索機能を利用していない
•mt-search.cgi, mt-ftsearch.cgi の実行権限を無くす

30. パスワードの強度を上げる
•パスワードの強度を上げる

31. ロックアウト設定をする

32. パスワードの桁数と組み合わせの種類
文字種の数 4桁 6桁 8桁
10種
(数字のみ)
1万 100万 1億
26種
(英小文字)
約46万 約3億 約2千億
62種
(英数字)
約1500万 約570億 約220兆
94種
(英数記号)
約7800万 約6900億 約6100兆
「Web担当者フォーラム」より
http://web-tan.forum.impressrd.jp/e/2014/05/09/17197/page%3D0,6

33. 参考
使用する文字の
種類
使用
できる
文字数
最大解読時間
入力桁数
4桁 6桁 8桁 10桁
英字（大文字、小文
字区別無)
26
約3秒 約37分 約17日 約32年
英字（大文字、小文
字区別有）＋数字
62
約2分 約5日 約50年 約20万年
英字（大文字、小文
字区別有）＋数字＋
記号
93
約9分 約54日 約1千年
約1千万
年
IPA 2008年発表の資料から http://www.ipa.go.jp/security/txt/2008/10outline.html

34. •Movable Type を
安全に利用するために
http://www.movabletype.jp/blog/
secure_movable_type.html

35. ここまでのまとめ
•常に最新版へアップデートすることが改ざ
ん防止につながる
•Movable Type の設定を調整することで、さ
らに安全性は高まる

36. その他

37. CMSの情報、バージョン情報を消す
•ジェネレータータグをすべて削除する
•RSS、Atom、RDFファイルなども注意

38. CMSサーバーの場所を特定しづらくする
•検索、コメント、トラックバックなどを使って
いない場合、MTのアプリケーション・サー
バー情報は隠せる
•特定しづらい場所に配置する

39. 公開サーバーとCMSサーバーを分ける
•MTクラウドには標準機能でサーバー配信
機能が含まれている

40. 参考情報

41. IPA 「安全なウェブサイトの作り方」
• https://www.ipa.go.jp/security/vuln/websecurity.html

42. http://www.ipa.go.jp/security/txt/2013/07outline.html

43. Movable Type 最新情報

44. 最新バージョン
Movable Type 6.0.6

45. パフォーマンス改善

46. 5つの新機能
•Data API
•Chart API
•非公開日指定
•Google Analyticsとの連携
•メッセージセンター

47. Google Analyticsの連携
• Google Analyticsと連携してアクセスデータをダッシュ
ボード上に表示

48. JSONデータで取得可能
•JSON形式でデータを取得可能
•PHP、JavaScriptなどで任意の形で
加工、利用

49. プラグイン
•more-analytics
https://github.com/miyanaga/
mt-more-analytics/
• MITライセンス
• 近日商用版リリース予定

50. レスポンシブウェブデザインテーマ
•Rainier
–ブログ向けテーマ
•Eiger
–企業サイト向けテーマ

51. Apex
•追加テーマ「Apex」
http://plugins.movabletype.jp/movable_type/apex.ht
ml

52. RainierとEiger、Apexのライセンス
•MITライセンス(オープンソース)
–自由にカスタマイズ、再頒布可能
–ビジネス利用も可能、オープンソース頒布も

53. カスタマイズ例
http://plugins.movabletype.jp/drk7jp/seo-tuning-eiger.html

54. 5.Xの機能も引き継いでいます
• スマホ対応の管理画面
• 定型文機能
• PSGI対応
• セキュリティ強化機能
–連続した不正アクセスユーザーのIDをロックアウトする
–パスワードポリシーの設定変更
• リスティングフレームワーク

55. Movable Type のラインアップ
•Movable Type
•Movable Type クラウド
•MovableType.net

56. Movable Type クラウド版
•クラウド環境でMTを提供
•サーバー保守、メンテナンスはシックス・ア
パートが担当
•月額5000円～

57. サーバー配信機能
•外部サーバーへhtml送信
•ステージング構成が簡単

58. バックアップ機能
•1日に1度データをバックアップ
•いつでも復旧可能

59. 2つの新機能
•IP制限
–管理画面、公開サイトへのアクセス制限が可能
•マルチドメイン対応
–S4i、S4g以上、10ドメインまで利用可能

60. MovableType.net
•Webサービス型CMS
•カスタムフィールドが利用可能
•GitHub上のテーマと連携可能
•低価格(2500円/月～)

61. 正式リリース！

62. 自由度低
(ウェブサービス型)
高
(ソフトウェア型)
手軽さ
複
雑
容
易

63. MT on AWS
•AWS marketplace で提供
•microインスタンスは無料
(AWS使用料別)

64. MTコミュニティとイベント

65. •MT蝦夷
•MT東北
•MT東京
•MTなごや
•MT関西
•MT広島
•MT福岡
•MT長野

67. MTDDC Meetup TOKYO 2014

68. MT Live 開催中！
•第2、4水曜日 開催中！
http://blog.sixapart.jp/2014-09/mt-live-movable-type.html