ドテカン（Drupal 定点観測） 米 Sucuri 社の 2018 年版レポートより From Sucuri Hacked Website Report 2018 Drupal Meetup 羽田 #19（2019/04/19）でのプレゼン

1. Drupal のセキュリティー
― 米 Sucuri 社の 2018 年版レポートより ―
西尾正博
（本資料作成 2019 年 04 月 19 日）
ドテカン（Drupal 定点観測）2019/04/19
Drupal is a registered trademark of Dries Buytaert.

2. 自己紹介
西尾 正博
株式会社アウトソーシングテクノロジー
Drupal & HTML5 推進室 マーケティングプランナー
Drupal 歴 約 11 年。元 Joomla! ユーザー
2011 年からバイテルト氏のブログ記事を時々、日本語に
翻訳・公開。
好きなもの：ポテトサラダ

3. プレゼンの構成
 Website Hack Trend Report 2018 について
 感染した Web サイト プラットフォームの分布 - 2018
 CMS 感染の比較（2017/2018）
 CMS 脆弱性に共通する問題点とテーマ
 期限切れおよび更新済み CMS - 2018
 期限切れ感染 CMS の分布 - 2018
 ブラックリスト登録および非登録 - 2018

4. Website Hack Trend Report 2018
（Web サイト ハック トレンド レポート 2018 年版）
米 Sucuri 社が 2018 年に対応した 25,466 の「感染した Web サイト」と
4,426,795 の「洗浄したファイル」を分類して紹介したレポート
https://sucuri.net/reports/2018-hacked-website-report
注：対象は無作為に選んだものではないので、「世間一般」の状況や比率をそのまま
反映しているとは限らないことに注意。
このプレゼンでは、上記レポートの一部だけを詳解します。とてもおもしろい内容な
ので全体に目を通すことをおすすめします。

5. 感染した Web サイト プラットフォームの分布 - 2018
年
「パーセンテージの合計が 100 を超えるのは、複数の CMS を利用している Web サ
イトがあるため。たとえば、同じサーバー アカウントで WordPress と Joomla! を利
用することはよくある」

6. CMS 感染の比較（2017/2018）
「この新しい分布状態は各プラットフォームの世界的な普及比率から来るものであっ
て、それ以外の特定の出来事によるものだと見なすことはできない。もっとも、当社
クライアントの比率も主にこういう分布になることを強調しておくことが大事」

7. CMS 脆弱性に共通する問題点とテーマ
 不適切なデプロイメント
 セキュリティー設定/構成の問題
 セキュリティー知識または人材の欠落
 Web マスターによる全体的なサイトメンテナンス（の不
足）
 認証およびセッション管理の問題

8. 期限切れおよび更新済み CMS - 2018
感染の理由として筆頭に挙げられるのはコンポーネント（構成要素。モジュールな
ど）の脆弱性から来るものだが、当社が対応した CMS のステータスを分析、理解す
ることも重要。
当社サービス提供時（感染時）に最新の推奨セキュリティー バージョンのパッチが当
てられていなかった場合、「期限切れ」と見なした。

9. 期限切れ感染 CMS の分布 - 2018
「特に大きな注意が求められる分野は拡張可能なコンポーネント（例：プラグイン）
だ。これらの拡張可能なコンポーネントが年に数万サイトに影響を与えている実際の
攻撃経路になっている」

10. ブラックリスト登録および非登録 - 2018
「スキャンされた結果、有害な振る舞いまたはコン
テンツがあると判定された Web サイトは Google
のようなブラックリスト権限組織によってフラグが
立てられ、それらの組織のインデックスから削除さ
れる。
Google にブラックリスト登録されると、Web サイ
トはトラフィックの 95% を失うことになるため、
ブラックリスト警告を予防および削除する方法を
理解することが重要。
感染した Web サイトの約 11% は著名なブラック
リスト権限組織によってブラックリスト登録されていた（2017 年の 17% から 6%
減少）。ブラックリスト登録の大半はスパム、フィッシング（phishing）のほか、サ
イト訪問者に害を与えるような悪意あるコンテンツによって起きる」