こんにちは。Wakka Inc.メディア編集部です。

Webサイトを運用している方であれば、CMSの脆弱性やセキュリティリスクについて聞いたことがあるでしょう。
しかし、CMSの脆弱性とは何か、サイバー攻撃に対してどのようなセキュリティ対策をすれば良いのか、などについて正確には理解できていない方も多いのではないでしょうか。

そこで本記事では、CMSの脆弱性や、サイバー攻撃の種類、セキュリティ対策などについて詳しく解説します。
自社のWebサイトを安全に運用するために、ぜひとも参考にしてください。

ヘッドレスCMSの選定にお悩みの方へ。
自社に必要なヘッドレスCMSがわかる下記資料もぜひご確認ください。

株式会社Wakka Inc.

あなたにピッタリのヘッドレスCMS選定ガイド

独自選定の代表的なヘッドレスCMSの特徴をもとに、誰でもヘッドレスCMSの選定ができるポイントを押さえた資料を作成しました。

CMSの脆弱性とは

脆弱性とは、プログラムの不具合や設計上のミスなどが原因で発生する、セキュリティ上の欠陥です。
セキュリティホールとも呼ばれています。

CMSにもやはりセキュリティの欠陥は存在するため、脆弱性をねらったサイバー攻撃を受けることが考えられるでしょう。
サイバー攻撃を受けると様々な被害が出ます。

そのため、CMSを利用して構築されているWebサイトなどでは、CMSの脆弱性にどのように対策していくかが課題と言えます。

CMSの脆弱性により発生する被害

本章では、CMSの脆弱性をねらったサイバー攻撃を受けることで、発生する被害について解説します。

サイバー攻撃による被害には、主に次の3つがあります。

• 個人情報の流出
• ウィルス感染
• Webサイトの改竄（かいざん）

それぞれ詳しく見ていきましょう。

個人情報の流出

サイバー攻撃を受けたWebサイトのデータベースに個人情報が含まれている場合、個人情報が盗まれて流出してしまう恐れがあります。
個人情報とは個人を特定できる氏名・住所・生年月日などです。
特にECサイトでは氏名や住所を登録することが多いため。個人情報が多く保存されています。

また、個人情報以外にも、取引先企業の情報が含まれていれば営業機密情報の流出にもつながります。

個人情報や機密情報が流出してしまうと、取引先企業や顧客からの信用が失われます。
そのため、業績の悪化につながるとともに、流出による損害賠償の支払いも必要になります。

参照：プライバシーマーク制度｜日本情報社会推進協会

ウイルス感染

サイバー攻撃を受けたWebサイトがウイルスに感染する可能性もあります。
ウイルスに感染すると、Webサイトの本来の機能が正しく動作しなくなったり、意図していないページへ飛ばされてしまったりします。

ウイルス感染による被害は上記だけではありません。
アクセスしたユーザーがウイルスに感染し、さらにウイルスをばら撒いてしまう二次感染の恐れもあります。

Webサイトのウイルス感染が認められた場合には、二次感染を防ぐために、運営をストップしなければいけません。

Webサイトの改竄（かいざん）

サイバー攻撃でWebサイトの管理者パスワードが盗まれることによって、Webサイトが改竄（かいざん）されることもあります。
Webサイトが改竄されることにより、攻撃者によって構築された悪意のあるサイトに誘導され、暗証番号などの重要情報を盗まれるなどの手口も考えられるでしょう。

このように、ただWebサイトが改竄されるだけでなく、攻撃を受けたWebサイトを踏み台にしてさらに二次的に被害が拡大していくおそれがあります。

CMSの脆弱性をねらったサイバー攻撃の種類

本章では、CMSの脆弱性をねらったサイバー攻撃の種類を紹介します。

SQLインジェクション

SQLとはデータベースを操作するための言語で、データの登録や更新、保持しているデータの取得などができます。
例えば、問い合わせフォームに情報を入力して登録ボタンを押すと、裏ではSQLが実行されて入力された情報がデータベースに登録される仕組みです。

SQLインジェクションとはこの仕組みを悪用した攻撃方法です。
問い合わせフォームなどの入力欄にSQLを記述して、データベース内のデータを検索したり、ログインパスワードなど重要な情報を盗んだりするために使われます。

クロスサイトスクリプティング

クロスサイトスクリプティングとは攻撃対象のWebサイトを改竄し、HTMLに悪意あるスクリプトを埋め込む攻撃です。
Webサイトを訪れたユーザーに埋め込んだスクリプトを実行させ、攻撃者が用意した悪意ある別のサイトへ誘導して個人情報や暗証番号などの重要情報を盗みます。

IPA（独立行政法人情報処理推進機構）に報告される脆弱性に関する届出では、クロスサイトスクリプティングに関する届出件数がもっとも多くなっています。
参照：AppGoatを利用した集合教育補助資料｜IPA

DDoS攻撃

攻撃対象のWebサイトに対して複数のコンピュータから大量のデータを送りつけ、Webサイトのサービス提供を妨げるのがDDoS攻撃です。
DDoS（ディードス）とはDistributed Denial of Serviceの略で、分散型サービス拒否攻撃という意味です。

DDoS攻撃を受けたWebサイトはサーバーやネットワークが高負荷になり、アクセスできなくなったり反応が極端に悪くなったりします。
そのため、攻撃を受けたWebサイトや企業はシステムの復旧にコストがかかるだけではなく、社会的な信用の点でも大きな被害を受けるでしょう。

CMSの運用におけるセキュリティの問題

CMSはWebサイトを容易に構築できて便利ですが、サイバー攻撃を受けるリスクが高いシステムとも言えます。
なぜサイバー攻撃の対象になりやすいのか、本章ではCMSの運用におけるセキュリティの問題についてみていきましょう。

容易に導入できるためサイバー攻撃のターゲットになりやすい

近年はCMSをベースに構築されたWebサイトが多く、CMSの利用者が増えています。
特に、オープンソース型のCMSであるWordPressは導入が容易なため、ITの知識があまりなくても手軽に導入して利用している方も多いでしょう。

そのため、世界中でもWordPressのシェアは高いですが、利用者が多いだけにサイバー攻撃のターゲットにもなりやすいのです。
サイバー攻撃のターゲットになりやすい理由は2つあります。

1つは、脆弱性を発見しやすいことです。

WordPressのようなオープンソース型のCMSはソースコードが公開されており、誰もがプログラム内部の仕組みを知ることができます。
そのため、高度な技術スキルを持った人であればソースコードを解析することで、脆弱性を発見できるでしょう。

2つ目は、利用者が多いと効率的に攻撃できるためです。

WordPressは世界中に多くの利用者がいるため、WordPressで構築されたWebサイトの数もかなり多いでしょう。
そのため、脆弱性を突く攻撃方法が1つ確立できれば、多数のWebサイトに対して同時に攻撃を仕掛けられるのです。

多くのプラグインを利用していると脆弱性が発見されやすい

プラグインとは、CMSの基本機能に含まれていない機能をCMSに追加する仕組みです。
サイトのデザインに関する機能や、SEO対策の機能など、様々なプラグインを追加してWebサイトをカスタマイズできます。

CMSを利用したWebサイトではプラグインなどの外部プログラムを導入して、足りない機能を補っているケースが多いと思います。
数種類のプラグインを同時に利用していることも多く、その場合はそれだけ脆弱性をたくさん持っていると考えるべきです。

つまり、多くのプラグインを利用していると、それだけ脆弱性が発見されやすくなります。
したがって、脆弱性を突いた攻撃を受けるリスクも高くなるわけです。

CMSのセキュリティリスクに対する意識が低い

CMSは手軽にサイトを構築・運営できるメリットがある一方で、運用面のリスクについて考慮が甘い場合があります。多くのCMSの利用者がセキュリティリスクに対して知見が少ないのも問題でしょう。
セキュリティリスクに対する知見の少なさや意識の低さは、それ自体がCMSを利用する上で大きなリスクと言えます。

なぜなら、WordPressなどオープンソース型のCMSは利用者自身がセキュリティ対策を行う必要があるためです。
セキュリティリスクに対する意識が低いと十分な対策が行われないため、サイバー攻撃を防御できない可能性が高くなるでしょう。

CMSの運用に必要なセキュリティ対策

前章ではCMSの運用におけるセキュリティリスクの問題について見てきました。
では、CMSを運用するためにはどのようなセキュリティ対策を取るべきでしょうか。

本章ではCMSの運用に必要なセキュリティ対策について解説します。

常に最新バージョンにアップデートする

セキュリティ対策として欠かせないのはまず、システムを常に最新バージョンに保っておくことです。
CMS本体はもちろん、プラグインやWebブラウザ、OSも含め、利用しているソフトウェアはすべて最新バージョンにアップデートしておきましょう。

なぜなら、ソフトウェアの新バージョンは、機能の使い勝手の向上やバグの改修を目的にリリースされることも多いですが、脆弱性を解消する目的でリリースされることもあるからです。
最新バージョンにアップデートすれば、旧バージョンに存在した脆弱性が解消され、セキュリティリスクの低減が期待できるでしょう。

パスワードを複雑にして定期的に変更する

サイバー攻撃にはパスワードを破るためのものもあります。
パスワードに使われる英数字や記号の組み合わせを総当たりで試し、正しいパスワードを割り出す手法です。

このような攻撃に耐えるためには、パスワードの桁数を増やし、アルファベットの大文字と小文字や記号を活用して複雑にするのが有効です。
パスワードの桁数を増やし、使用する文字の組み合わせを複雑にしておくことでパスワードを破られるリスクが低下します。

英数字や記号を組み合わせて、8桁以上のパスワードを設定しておくと効果的でしょう。

これまでは定期的なパスワードの変更が推奨されてきましたが、最近では定期的なパスワード変更は不要であるという考え方が主流になってきました。
総務省からの最新の発表では、他のサービスとの使い回しを避けるよう推奨されています。

参照：国民のためのサイバーセキュリティサイト｜総務省

WAF（ウェブ・アプリケーション・ファイアーウォール）を導入する

WAFはWebサイトの脆弱性をねらったサイバー攻撃に対して効果を発揮するセキュリティソフトです。
ECサイトなど、クレジット情報や顧客情報を扱うサイトなら導入しておくと良いでしょう。

Webサイトの脆弱性をカバーしてくれるため、ファイアーウォールでは防ぎきれないサイバー攻撃に対しても有効です。

無料で利用できる脆弱性診断ツール

自社のWebサイトの脆弱性について押さえておくことは、セキュリティ対策を講じるうえでも重要です。
最後に、無料で利用できる脆弱性診断ツールを紹介しておきます。

Sitecheck

Sitecheckは無料の脆弱性診断サービスで、Sucuri社が提供しています。
診断したいWebサイトのURLを入力し、Submitボタンを押すだけで利用可能です。

ボタンを押してしばらく待つと、診断結果が表示されます。
出力される診断結果は、Minimal～Criticalまでの5段階評価です。

その他にも、マルウェアの感染についても診断してくれます。

ワードプレス・ドクター

ワードプレス・ドクターは、WordPressにインストールして利用するプラグインです。
Webサイトのウィルス感染やサイト改竄など、マルウェアの検出に役立ちます。

また、有料機能ですが、サイトのハッキングをリアルタイムでブロックしてくれる機能もあります。

WPSEC

WPSECは、WordPressを使用して構築されているWebサイトの脆弱性を診断できる海外のツールです。
入力欄に診断したいWebサイトのURLを入力してSTART SCANボタンを押すだけで、簡単に脆弱性診断を実施できます。

診断結果、安全なWebサイトであれば緑色で「Your WordPress website is safe!」と表示されます。
アカウント登録すれば、登録したすべてのWebサイトを定期的に自動で追跡する機能なども利用できるため便利です。

万全なセキュリティ対策でWebサイトの安全な運用を目指しましょう

CMSにはセキュリティの脆弱性が多く存在します。
そのためCMSを利用して構築されたWebサイトは、脆弱性をねらったサイバー攻撃のターゲットになりやすいのです。

また、利用者側のセキュリティリスクに対する意識もあまり高いとは言えず、セキュリティ対策がおろそかになりがちです。
これでは、サイバー攻撃によって被害を受けるリスクが極めて高くなるでしょう。

自社のWebサイトをサイバー攻撃から守るためにまず、セキュリティリスクに対する意識を高める。
その上で、自社のWebサイトで利用しているCMSがどのような脆弱性を持っているかを理解し、脆弱性をカバーする対策を打ちましょう。

CMSを利用して自社のWebサイトを運用している方は、ぜひ本記事を参考にして、万全なセキュリティ対策でWebサイトの安全な運用を目指してください。