CMSの動向を押える

　CMSに関する脅威のトレンドを解説する前に、CMSについて簡単に説明しておこう。

Webサイトのコンテンツを一括管理するCMS

　CMSは、Webサイトを構成するテキストや画像といったデジタルコンテンツを中央集中型で管理し、編集や修正、配信など必要な処理をするシステムの総称である。登場は1990年代後半ごろ、本格的な普及は2005年ごろだといわれている。

　CMSの普及によって、Webアプリケーションに関する知識がなくても簡単に見た目のよい動的なWebサイトを公開できるようになった。また、ワークフローや権限管理の機能が実装されたことで、Webサイトの共同開発なども容易にできるようになった。

　ブログなどを公開する個人がメインユーザーだったCMSは、機能拡張に伴い、最近では企業ページでの採用が増えている。レンタルサーバやホスティングサービスでの採用例も多い。

広がるCMSの利用

　 オーストリアのQ-Successの調査サービス部門であるW3Techsの調査によると、CMSの利用は年々増加している（参考： Historical trends in the usage of content management systems for websites＜W3Techs＞）。本調査は既存のWebサイトを対象にした調査であり、今後も新たにCMSを利用したWebサイトが増加する傾向が予想される。

　W3Techsの調査結果からCMSのシェアを見てみると、2013年現在、「WordPress」が全世界で最も利用されているCMSであると考えられる。

攻撃者のトレンド

　次にCMSに対する攻撃のトレンドを見てみよう。CMSの普及率が上昇するに従い、CMSに対する攻撃者のモチベーションも上昇傾向にある。

　2013年に入り、その傾向はさらに顕著になってきている。情報処理推進機構（IPA）やJPCERTコーディネーションセンター（JPCERT/CC）の報告書、注意喚起でも、再三にわたってCMSの脆弱性を取り上げている。CMSの脆弱性を突かれて被害を受けた組織や企業が増加していることが伺える。

CMSが攻撃者に狙われる理由

　次に、CMSはなぜ攻撃者に狙われるのか、攻撃者の目線で考えてみよう。理由は幾つか考えられるが、主だった理由として以下の5つを紹介したい。

理由1：普及率の上昇

　CMSの普及に伴い、攻撃対象となる母数が増加した。

理由2：脆弱性が多い

　CMSには脆弱性が多いことも理由の1つだと考えられる。イスラエルのソースコード解析ツールベンダーであるCheckmarxのResearch Labによると、WordPressで利用頻度が高いプラグインのトップ50の約20％以上に脆弱性が見つかっている（参考： The Security State of WordPress' Top 50 Plugins＜Checkmarx＞）。また、ECサイトで利用頻度が高いプラグインのトップ10では、その内の7種において脆弱性を保有していることが明らかになっている。

　さらにIPAの統計では、CMSで発見される脆弱性の危険度の高さも報じており、CMS本体やプラグインで見つかる脆弱性がいかに深刻かを示している（参考：脆弱性対策情報データベースJVN iPediaの登録状況［2013年第2四半期（4月～6月）］＜IPA＞）。オープンソースのCMSツール「Joomla!」に関しては、IPAが危険だと判断する脆弱性レベル「レベルIII」に該当する脆弱性が462件（64％）も報告されている（参考：WordPressやMovable Typeの古いバージョンを利用しているウェブサイトへの注意喚起＜IPA＞）。まさにCMSは、攻撃者にとって格好の攻撃対象なのだ。

理由3：攻撃者にとって合理的

　攻撃者がCMSを狙う理由として、合理的である点も重要な要因の1つである。一般的に攻撃者は、特定のサイトを攻撃する際、大きく分けて3つのフェーズで攻撃を仕掛けるものだといわれている。

1. 攻撃対象の選定
2. 脆弱性の調査
3. 攻撃の実施

　従来、攻撃者が特定の単一サイトを攻撃する場合は、単一のWebサイトに対して上記の手順で攻撃を仕掛けていた（図1）。

　一方、攻撃者が複数サイトを攻撃する場合、攻撃者は3フェーズをそれぞれの攻撃対象サイトに実施する必要がある（図2）。

　だがCMSで構成されたWebサイトは、一度の攻撃で複数のWebサイトを対象に攻撃することが可能であり、攻撃者の手数が少なくて済む（図3）。つまり、CMSを攻撃対象とすることは、攻撃者にとって非常に合理的だといえる。

理由4：高いスキルを必要としない

　攻撃者に必要とされるスキルが高くない点も忘れてはならない。CMSの脆弱性を攻略する攻撃ツールは、インターネットから容易に入手することができる。そのため、Webアプリケーションに詳しくない攻撃者でも簡単に攻撃できてしまう。

　CMSは、スクラッチで書き上げたアプリケーションではないので、独自アプリケーションを攻撃するための知識、つまりWebアプリケーション攻撃手法に精通している必要がないのだ。

理由5：ホスティングサービスの普及

　最後に、CMSを利用可能なホスティングサービスが増加している背景に触れておきたい。ホスティングサービスを利用することは、企業ユーザー、個人ユーザー問わず、導入や運用、管理のコストを抑制できることが大きなメリットとなっている。だがパッチの適用や脆弱性が修正された最新バージョンへの移行は、ホスティングサービス事業者側の対応を待たなければならないことが多く、そのようなケースではユーザーが対応を完了するまでにはどうしてもタイムラグが発生する。

　多くのユーザーを抱えるホスティングサービス事業者にとっては仕方がないことなのかもしれない。だが脆弱性の公開から攻撃が実行されるまでの時間が短期化している昨今の背景からすると、攻撃者にとって有利に働く条件になっている。

　また逆に、せっかくホスティングサービス事業者が迅速な対処をしたとしても、脆弱性情報に無頓着で、パッチの適用やバージョンアップを適切にしないユーザーがいれば意味がない。その状況は攻撃者も十分に理解していると考えるべきであり、CMSが狙われる1つの要因となっていると思われる。

彼を知り己を知れば百戦して殆うからず

　CMSを狙った各攻撃フェーズで攻撃者がどういったことをするのか、その詳細についても押さえておこう。

攻撃者の行動1：攻撃対象の選定

　CMSを狙った攻撃の特徴として、無差別攻撃が含まれる点も付け加えておく。つまり、脆弱なCMSを使用しているだけで攻撃対象とされる、という意味である。ちなみに、CMSを使用しているかどうか、どのバージョンのCMSが使用されているかなどは、利用者が意図的に対策していない限り、簡単に調査可能だ。

　以下に、攻撃者がCMSの特定に用いる情報を紹介しておこう。

• 画像
• タグ情報
• 特徴のあるURL
• 参照オブジェクト
• 特定のリクエストに対するレスポンス

　例えばJoomla!の場合、「＜meta name="generator" content="Joomla! XX……＞」のように、そのWebサイトでJoomla!が使用されていることやJoomla!のバージョンがタグ情報で判断できてしまう。管理画面へのアクセスを制限していない場合、各CMSの管理画面へのURLにアクセスされることで、こうした情報が特定されてしまうこともある。たとえ管理用のID／パスワードを複雑なものに変更していたとしても、管理画面が開けること自体が攻撃者にとって有用な情報になるのだ。

攻撃者の行動2：脆弱性の調査

　使用しているCMSやバージョン情報があれば、それを使用したWebサイトが保有する脆弱性は、脆弱性公開情報「National Vulnerability Database」や、「JVN iPedia - 脆弱性対策情報データベース」から簡単に調査可能だ。また「Exploit Database」などを使用すると、脆弱性の有無だけではなく、攻撃実証コード（PoC）も一緒に入手できてしまう。

　検索エンジンである「Google」を使い、脆弱な設定状態や脆弱性を保有しているWebサイトなどを容易に特定する手法は“Google Dork”と呼ばれ、今や多くの攻撃者が利用している。

攻撃者の行動3：攻撃の実施

　最後は攻撃を実行するのみである。ちなみに、攻撃手法に詳しくない、いわゆる“スクリプトキディ”と呼ばれる攻撃者たちでさえも、「BackTrack」やその後継とされる「Kali Linux」といったLinuxディストリビューション、「Metasploit」などのペネトレーションテストツールを使用することで、比較的容易に攻撃ができてしまうことも覚えておいてほしい。

　また、アンダーグラウンドではGoogle Dorkベースの攻撃フレームワークツールも確認されている（参考：Google-dorks based mass Web site hacking/SQL injecting tool helps facilitate malicious online activity）。極端な言い方をすれば、脆弱性のあるCMSの利用が特定できてさえいれば、攻撃の実施は容易なことが多い。

「既存コード攻撃」への対策

　2回にわたり、既存コードやCMSがなぜ危険であるのかを解説してきた。誤解が無いように付け加えると、筆者はライブラリや既存コード、CMSなどを使用しないよう呼び掛けているわけではない。これまで紹介した攻撃者のトレンドや既存コードの危険性は事実として認識し、適切に対策してほしいという考えだ。

　最後にまとめとして、CMSを狙った攻撃への対策として注意点をまとめた。CMSを利用する全てのユーザーに参考にしてほしい。

　ここで紹介する対策は使い古されたものではあるが、いま一度基本に立ち戻り、自らのシステムのある姿を見直してほしい。

　次回は、2013年の夏ごろからさまざまな業種／業界のWebサイトが被害を受け、昨今も被害が出続けている脅威である「リスト型アカウントハッキング」に関して、その脅威の傾向と対策を紹介する。