20140716 Movable Type seminar

1,532
-1

Published on

Published in: Internet
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
1,532
On Slideshare
0
From Embeds
0
Number of Embeds
2
Actions
Shares
0
Downloads
5
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

20140716 Movable Type seminar

  1. 1. 2014年7月16日 シックス・アパート株式会社 長内 毅志 Movable Typeの安全性について
  2. 2. アジェンダ •Web改ざんの実際 •攻撃の実際 •Movable Type の特徴と安全性 •安全性を高めるために •Movable Type のご紹介
  3. 3. Web改ざんの実際
  4. 4. データ出典:JPCERT/CC インシデント報告対応レポート グラフ:http://www.nca.gr.jp/2013/web201303/
  5. 5. ガンブラー http://www.ipa.go.jp/security/txt/2013/07outline.html
  6. 6. 最近の改ざん手法 http://www.ipa.go.jp/security/txt/2013/07outline.html
  7. 7. http://cybermap.kaspersky.com/
  8. 8. •CMSの管理権限を奪取してウェブサイトを 改ざん •CMSの公開ディレクトリに任意のファイル をアップロードしてウェブサイトを改ざん
  9. 9. CMSに関するハッキングの傾向 •20%はCMSのコア部分にある脆弱性への 攻撃、80%はプラグインなど周辺プログラム の脆弱性を狙った攻撃 BSI「Content Management Syttem」より https://www.bsi.bund.de/DE/Publikationen/Studien/CMS/Studie_CMS.html Via http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf
  10. 10. ここまでのまとめ •最近のウェブ改ざんは、ウェブサーバーや CMSの脆弱性を狙って攻撃するケースが 多い
  11. 11. どのような攻撃が存在するか
  12. 12. もっとも多いパターン •使用されているCMSを識別して攻撃 http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf
  13. 13. ブルートフォースアタック(総当り攻撃) イラスト:「2014年版 情報セキュリティ10大脅威」より http://www.ipa.go.jp/security/vuln/10threats2014.html
  14. 14. ファイルアップロード攻撃(バックドア) イラスト:「2014年版 情報セキュリティ10大脅威」より http://www.ipa.go.jp/security/vuln/10threats2014.html
  15. 15. その他 •SQLインジェクション •CSRF •XSS –主にソフトウェアの脆弱性を付くもの
  16. 16. ここまでのまとめ •CMSが特定できると、攻撃しやすい •総当たり攻撃やファイルアップロード攻撃 など、攻撃者はCMSとプラグインの脆弱性 を狙って攻撃をおこなう
  17. 17. Movable Type の特徴と安全性
  18. 18. CMSサーバーと公開サーバーの分離
  19. 19. ロックアウト
  20. 20. アップロードファイルの制限設定 •AssetFileExtensions –アップロードできるファイルの種類を制限 •DeniedAssetFileExtensions –アップロードできないファイルを設定
  21. 21. ジェネレーター情報の消去
  22. 22. • https://www.ipa.go.jp/security/topics/alert20130913.html
  23. 23. •http://jvndb.jvn.jp/
  24. 24. ここまでのまとめ •Movable Type は安全性を高めるための設 定・機能が揃っている
  25. 25. Movable Type の安全性を さらに高めるために
  26. 26. 最新版を使う •最新版を使う
  27. 27. 管理画面にBasic認証をかける •管理画面にBasic認証をかける
  28. 28. CGIスクリプトの名称を変える •CGIスクリプトの名称を変える –AdminScript •管理プログラムの CGI スクリプト名を設定します –UpgradeScript •アップグレードスクリプトを設定します
  29. 29. 使わないCGIスクリプトの権限を変える •使わないCGIスクリプトの権限を変える –MTのコメント機能を利用していない •mt-comments.cgi の実行権限を無くす –トラックバック機能を利用していない •mt-tb.cgi の実行権限を無くす
  30. 30. 例 –Data API 機能を利用していない •mt-data-api.cgi の実行権限を無くす –ログフィード機能を利用していない •mt-feed.cgi の実行権限を無くす –公開サイトで MTの検索機能を利用していない •mt-search.cgi, mt-ftsearch.cgi の実行権限を無くす
  31. 31. パスワードの強度を上げる •パスワードの強度を上げる
  32. 32. ロックアウト設定をする
  33. 33. パスワードの桁数と組み合わせの種類 文字種の数 4桁 6桁 8桁 10種 (数字のみ) 1万 100万 1億 26種 (英小文字) 約46万 約3億 約2千億 62種 (英数字) 約1500万 約570億 約220兆 94種 (英数記号) 約7800万 約6900億 約6100兆 「Web担当者フォーラム」より http://web-tan.forum.impressrd.jp/e/2014/05/09/17197/page%3D0,6
  34. 34. 参考 https://howsecureismypassword.net/
  35. 35. •Movable Type を 安全に利用するために http://www.movabletype.jp/blog/ secure_movable_type.html
  36. 36. ここまでのまとめ •常に最新版へアップデートすることが改善 防止につながる •Movable Type の設定を調整することで、さ らに安全性は高まる
  37. 37. その他
  38. 38. CMSの情報、バージョン情報を消す •ジェネレータータグをすべて削除する •RSS、Atom、RDFファイルなども注意
  39. 39. CMSサーバーの場所を特定しづらくする •検索、コメント、トラックバックなどを使って いない場合、MTのアプリケーション・サー バー情報は隠せる •特定しづらい場所に配置する
  40. 40. 公開サーバーとCMSサーバーを分ける •MTクラウドには標準機能でサーバー配信 機能が含まれている
  41. 41. 参考情報
  42. 42. IPA 「安全なウェブサイトの作り方」 • https://www.ipa.go.jp/security/vuln/websecurity.html
  43. 43. http://www.ipa.go.jp/security/txt/2013/07outline.html
  44. 44. Movable Type 最新情報
  45. 45. 最新バージョン Movable Type 6.0.3
  46. 46. 5つの新機能 •Data API •Chart API •非公開日指定 •Google Analyticsとの連携 •メッセージセンター
  47. 47. Data API •JSON形式でデータを取得 •PHP、JavaScriptなど言語を問わず拡 張
  48. 48. Data APIの活用例 •COACH UNITED
  49. 49. Google Analyticsの連携 • Google Analyticsと連携してアクセスデータをダッシュ ボード上に表示
  50. 50. レスポンシブウェブデザインテーマ •Rainier –ブログ向けテーマ •Eiger –企業サイト向けテーマ
  51. 51. Apex •追加テーマ「Apex」 http://plugins.movabletype.jp/movable_type/apex.ht ml
  52. 52. RainierとEiger、Apexのライセンス •MITライセンス(オープンソース) –自由にカスタマイズ、再頒布可能 –ビジネス利用も可能、オープンソース頒布も
  53. 53. パフォーマンス改善
  54. 54. Movable Type クラウド版 •クラウド環境でMTを提供 •サーバー保守、メンテナンスはシックス・ア パートが担当 •月額5000円~
  55. 55. サーバー配信機能 •外部サーバーへhtml送信 •ステージング構成が簡単
  56. 56. バックアップ機能 •1日に1度データをバックアップ •いつでも復旧可能
  57. 57. MT on AWS •AWS marketplace で提供 •T1microは無料(AWS使用料別)
  1. A particular slide catching your eye?

    Clipping is a handy way to collect important slides you want to go back to later.

×