そもそもCMSとは？
コンテンツ管理システム（CMS：Content Management System）は、ウェブサイトの情報を効率よく管理し、ユーザーが容易にコンテンツを作成・編集・公開できるように設計されたソフトウェアまたはサービスです。ウェブサイトの更新作業を非技術者でも容易に行うことができるため、企業のウェブサイト運営においては欠かせない存在となっています。
CMSの種類とそれぞれのセキュリティリスク
CMSには大きく分けて以下の3つの種類が存在します。
オープンソース型CMS
オープンソース型のCMSは、そのソースコードが公開され、誰でも無料で使用、修正、分散することができるCMSです。WordPress、Drupal、Joomlaなどがこれに該当します。これらのCMSは多くの開発者やコミュニティによって支えられており、大量のプラグイン、テーマ、リソースが提供されています。また、特定のニーズや要件に合わせてカスタマイズすることが可能ですが、技術的な知識がある程度必要です。メンテナンスやセキュリティ対策も自己責任となります。
パッケージ型CMS
パッケージ型CMSは、あらかじめ作成されたパッケージをインストールして使用するタイプのCMSです。パッケージの中には、必要なすべての機能が含まれています。オープンソース型CMSと異なり、パッケージ型CMSは通常、製品の購入またはライセンス契約が必要です。パッケージ型CMSは、自社のIT部門または外部のITサービスプロバイダーが管理と保守を行います。一般的に、オープンソース型よりも保守が容易で、一定のセキュリティも保証されています。
クラウド型CMS
クラウド型CMSは、インターネット上でホストされ、ユーザーが必要な時に必要なだけサービスを利用することができるCMSです。これはSaaS（Software as a Service）と呼ばれるモデルで、ユーザーは通常、使用した分だけ料金を支払います。クラウド型CMSは、自社でのサーバー設置やメンテナンスが不要で、迅速に導入することができます。また、スケーラビリティが高く、ニーズが増えるにつれて容易に拡張することが可能です。一方で、全てのデータはサービスプロバイダーによって管理されるため、データプライバシーとセキュリティについては注意が必要です。
| オープンソース型CMS | パッケージ型CMS | クラウド型CMS | |
|---|---|---|---|
| 例 | WordPress, Drupal, Joomla | Microsoft SharePoint, Adobe Experience Manager | Wix, Squarespace, WordPress.com |
| 料金 | 通常無料（ただしカスタマイズや追加機能には費用がかかる場合あり） | ライセンス料が必要 | 月額または年額料金 |
| カスタマイズ性 | 高い（コードを自由に編集できる） | 中程度（機能はプレ定義されているが、設定の変更は可能） | 低い（提供されたテンプレートや機能を使用） |
| メンテナンス | ユーザー自身が行う必要あり | IT部門または外部プロバイダーが行う | プロバイダーが行う |
| スケーラビリティ | 高い（プラグインやコードの変更により拡張可能） | 中程度（ライセンス範囲内での変更可能） | 高い（使用プランに応じて容易に拡張可能） |
| セキュリティ | ユーザー自身が行う必要あり | 通常、高いセキュリティが保証されている | プロバイダーが行うが、データのプライバシーは注意が必要 |
CMSの安全性はどうなのか
CMSの安全性は、使用するCMSの種類や、そのCMSの持つ脆弱性、そしてそれをどのように管理・運用するかによって大きく異なります。たとえば、オープンソース型CMSの場合、コミュニティのサポートにより新たに発見された脆弱性への対策が迅速に行われることが多いです。一方、パッケージ型やクラウド型CMSの場合は、それぞれの提供者がシステムの安全性を保証する形となります。
しかしながら、どのCMSを選択したとしても、最終的なセキュリティはCMSの管理者や利用者の対策に大きく依存します。例えば、最新のセキュリティパッチを適用しない、簡単なパスワードを設定する、不必要なプラグインを使用するなど、管理者や利用者の適切でない運用が、セキュリティリスクを高める可能性があります。
CMSの利用で起こりうるセキュリティリスク
CMSの利用には、以下のようなセキュリティリスクが存在します。
個人情報漏洩
CMSには、ユーザーやクライアントの個人情報が保存されることが多いです。これらのデータが不適切に管理されると、ハッキングなどにより外部に漏れるリスクがあります。また、CMSがオープンソース型である場合、セキュリティ更新が適時に行われないと、脆弱性をつかれて情報が漏洩する可能性もあります。個人情報漏洩は、プライバシー侵害につながり、法的な問題にも発展する可能性があります。
サービスやサイト運用の停止
CMSが攻撃を受けた結果、サービスやウェブサイトが一時的または恒久的に利用できなくなる可能性があります。これは、データベースが壊れたり、CMSが機能しなくなったりすることで発生します。サービス停止はビジネスへの大きな打撃となり、利益損失や顧客の信頼損失を招く可能性があります。
サイトのロック
サイバー攻撃の一種であるランサムウェア攻撃により、サイトがロックされ、ユーザーがそのサイトにアクセスできなくなる可能性があります。攻撃者は、ウェブサイトのコントロールを取り戻すための「身代金」を要求することがあります。このような攻撃は、ビジネス運用を大幅に妨げ、金銭的損失をもたらします。
リソースの悪用
CMSが攻撃を受けた結果、踏み台サーバーとして利用される可能性があります。踏み台サーバーは攻撃者によって大量の通信を行うために使用されます。これにより、サーバーのリソース（CPU、メモリ、ネットワーク帯域）が枯渇し、正常なサービス提供が困難になる可能性があります。
また、踏み台として使われ、他のシステムに攻撃が仕掛けられた場合、その攻撃の源と見なされる可能性があります。これは法的な問題を引き起こす可能性があります。
企業イメージの低下
セキュリティリスクが現実化した場合、企業のブランドや評判に大きなダメージを与える可能性があります。例えば、個人情報が漏洩した場合、ユーザーはその企業のセキュリティ対策に対する信頼を失い、将来的にその企業の製品やサービスを利用することをためらうかもしれません。
特に上場企業の場合は、適時開示情報として、サイバー攻撃にあった事、また再発防止策などを開示する必要があり、イメージの低下は否めません。
WordPressのセキュリティリスクは？
オープンソース型CMSの代表格であるWordPressも、特有のセキュリティリスクを持っています。その大きな要因として、プラグインの利用が挙げられます。WordPressは多数のプラグインをサポートしており、これらを組み合わせることで様々な機能を追加することが可能です。しかし、プラグインの中にはセキュリティが十分に考慮されていないものや、更新が停止して脆弱性が放置されているものも存在します。これらのプラグインを使用することで、WordPressサイト自体が攻撃を受けやすくなる可能性があります。
また、WordPressの人気からくるリスクも存在します。多くのサイトがWordPressを使用しているため、攻撃者がWordPressの脆弱性を狙うケースが多いのです。このため、WordPressを選択する場合は、特にセキュリティ対策に注意を払う必要があります。
CMSの脆弱性を狙うサイバー攻撃の種類
CMSの脆弱性を狙ったサイバー攻撃として、以下の3つが一般的です。
SQLインジェクション
SQLインジェクションは、不適切な入力データ処理により、攻撃者が意図しないSQL文を実行させる攻撃方法です。これにより、データベースから情報を不正に抽出したり、データを改ざんしたりすることが可能になります。CMSがデータベースを利用しているため、SQLインジェクションは大きな脅威となります。
特に近年はSQLインジェクションによる攻撃が増加傾向であり、近年のWebサービス増にともない脆弱性も増加・放置されていることが一因となっています。
「SQLインジェクション」によるサイバー攻撃、前年同期比で150%増加【2023年1Q・サイバー セキュリティクラウド調べ】
https://webtan.impress.co.jp/n/2023/06/21/45084
クロスサイトスクリプティング (XSS)
クロスサイトスクリプティング (XSS) は、ウェブサイトの脆弱性を利用して、攻撃者が悪意のあるスクリプトを埋め込む攻撃方法です。訪問者のブラウザ上でこのスクリプトが実行され、クッキーやセッション情報などが盗まれることで、個人情報が漏洩するリスクがあります。
CSRF（クロスサイトリクエストフォージェリ）
CSRFは、ユーザーがログインした状態のウェブサイトで、攻撃者が意図した操作をユーザーに無意識のうちに行わせる攻撃方法です。例えば、管理者がログインしたままのCMSでCSRF攻撃が行われると、攻撃者が意図したコンテンツの更新や設定の変更が行われる可能性があります。
CMSで実施するべきセキュリティ対策4選
CMSの脆弱性を狙った攻撃から自身のウェブサイトを守るためには、以下のセキュリティ対策を実施することが重要です。
定期的なバージョンの更新
CMSやプラグインの新しいバージョンには、既知の脆弱性を修正したセキュリティパッチが含まれていることが多いです。そのため、常に最新のバージョンを利用することで、これらの脆弱性から自身のウェブサイトを守ることができます。
WordPressの脆弱性とアップデートに関しては、当社の相原が作成した記事をご参照ください。
正しく恐れて正しく運用。WordPressの脆弱性とアップデートのキホンを理解する
https://ascii.jp/elem/000/004/083/4083240/
堅固なログインパスワードの設定
CMSにログインするためのパスワードは、複雑で予測しづらいものに設定し、定期的に変更することが重要です。簡単なパスワードを設定していると、ブルートフォース攻撃などにより容易にパスワードが破られるリスクがあります。
また、各CMSには２要素認証・２段階認証の機能を提供するプラグインも多くリリースされていますので、それらを利用することも検討すべきです。
【Two-Factor】WordPressに2要素認証機能を追加するプラグイン例
https://ja.wordpress.org/plugins/two-factor/
WebサイトのSSL化
HTTPS（SSL）を用いてウェブサイトを暗号化することで、ユーザーとサーバー間の通信を保護し、情報の漏洩や改ざんを防ぐことができます。
現在は多くのブラウザが対応している無料のSSL証明書を発行している非営利の認証局（CA）「Let’s Encrypt」があり、ウェブ全体の安全性を高めることを目指して設立さえました。
以下に、Let’s Encryptの主な特徴をいくつか挙げておきます：
無料
Let’s Encryptは、証明書の発行や更新を無料で提供しています。これにより、費用を理由にHTTPSを導入しない、という問題を解消しています。
自動化
Let’s Encryptは、証明書の発行や更新を自動化するためのツール（例えばCertbotなど）を提供しています。これにより、手動で証明書を管理する手間を省き、証明書の更新忘れによるセキュリティリスクを低減しています。
透明性
Let’s Encryptは、発行した全ての証明書の情報を公開しています。これにより、誤って証明書が発行された場合や不正な証明書が発行された場合に、早期に対応することが可能です。
オープン
Let’s Encryptは、そのプロトコルをオープンスタンダードとして公開しています。また、ソフトウェアの実装もオープンソースとして公開されています。
WAFなどのセキュリティソフトの導入
WAF（Web Application Firewall）は、Webアプリケーションに対する様々なサイバー攻撃からシステムを守るための特殊なファイアウォールの一種です。WAFは、通常のファイアウォールが主にネットワーク層のセキュリティを担当するのに対し、アプリケーション層（OSI参照モデルの第7層）で動作します。これにより、上記で挙げたCMSの脆弱性を狙ったサイバー攻撃（SQLインジェクション、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF））などの特定の攻撃パターンを検出・防御することができます。
WAFには大きく分けて3つの種類があります。それぞれのWAFの特性を理解し、自身のニーズに最適なものを選択することが重要です。
ネットワークベースのWAF
このタイプのWAFは、通常、ハードウェアアプライアンスとして提供され、オンプレミス環境で動作します。ネットワークベースのWAFは高速で、大量のトラフィックを処理する能力を持つ一方で、導入やメンテナンスには専門的な知識と物理的な場所が必要となります。
例）Barracuda Web Application Firewall
低価格で豊富なモデルを取り揃え最低価格1,725,640円～（初年度保守込）
https://www.it-ex.com/products/maker/barracuda/web-application-firewall.html
ホストベースのWAF
ホストベースのWAFは、通常、Webサーバーと同じサーバー上にインストールされ、そのサーバー上で動作するWebアプリケーションを保護します。これらは設定が柔軟で、特定のアプリケーションに対する保護を最適化することが可能ですが、管理やメンテナンスには時間とリソースが必要となる場合があります。
例）F5 NGINX App Protect
https://www.nginx.co.jp/products/nginx-app-protect/
クラウドベースのWAF
クラウドベースのWAFは、インターネット上でサービスとして提供されます。導入が簡単で、スケーラビリティに優れているため、急速に人気を集めています。また、コストも通常は従量課金制で、必要に応じてサービスを拡大・縮小することが可能です。ただし、セキュリティ情報がクラウドプロバイダーに委ねられることになるため、データプライバシーや準拠規制の観点から注意が必要です。
例）Cloudflare Webアプリケーションファイアウォール（WAF）
https://www.cloudflare.com/ja-jp/waf/
CMSのセキュリティ対策のことならプライム・ストラテジー
プライム・ストラテジーでは、CMSの選定から導入、運用、そしてセキュリティ対策まで、トータルでサポートします。CMSのセキュリティリスクに関する専門的な知識と経験を持つ私たちが、安全なウェブサイト運営を実現します。どのCMSを選べば良いか迷っている方、CMSのセキュリティ対策に自信がない方は、ぜひ私たちにご相談ください。
まとめ
CMSは、ウェブサイトの運営を容易にする反面、セキュリティリスクを孕んでいます。しかし、適切な対策を講じることで、これらのリスクは最小限に抑えることができます。定期的なバージョン更新、堅固なパスワード設定、SSL化、WAFなどのセキュリティソフトの導入は、CMSでウェブサイトを運営する上で必須の対策と言えるでしょう。
また、CMSの選定やセキュリティ対策について不明確な点がある場合は、プロフェッショナルに相談することも重要です。プライム・ストラテジーでは、CMSの全般にわたる問題を解決します。セキュアなウェブサイト運営を目指す皆様のご連絡を心よりお待ちしております。
