CMSについて勉強する

CMSをなぜ使うのか
CMSの種類
セキュリティ
おわりに
参考サイト

はじめまして、今年の2月に入社しましたinoueです。
案件でも携わるようになったCMSについて勉強してみました。

CMSをなぜ使うのか

Webページを更新するにあたり意外にやらなければいけないことがあったりもします。
例えば、
ニュース記事の更新をしたい場合更新しなければいけないページは少なくとも下記になります。

ニュース一覧ページ
ニュース詳細ページ

また、公開までのフローとしてはざっくり言うと下記のようになります。

原稿を作る
HTMLでニュース一覧ページを更新
HTMLでニュース詳細ページを更新
HTMLファイルをFTPツールを使用しサーバにあげることで公開
正しく公開されているか確認

しかしCMSを導入することによりHTMLでの更新の工程、サーバにあげる工程を下記手順のように削ることができます。
そして、ニュース記事を公開すれば設定方法にもよりますが自動で更新すべきページが更新されるのでどのページを更新しなければいけないかを考えずに済み公開ミスが減るというメリットがあります。

原稿を作る
CMSで文章を入力し公開ボタンを押す
正しく公開されているか確認

もちろん、CMS以外でも自動化する方法はありますが比較的簡単に導入でき容易にページ更新できるのがCMSの大きな魅力の一つなのではないでしょうか。

CMSの種類

さて、そんな便利なCMSですが開発方法や、ページの生成方法で色々と種類分けされており、セキュリティや、ページの表示スピード等の特色が出てくるようです。

開発方法による種類分け

開発方法による種類はオープンソース型か独自開発型があります。違いとしては、下記のような違いがあります。

開発者

オープンソース型はプロアマ問わず世界中のみんなで作る
独自開発型は企業等のプロ集団で作る

プラグインの種類

オープンソース型はプロアマ問わずみんなで作るから分母が多いのでプラグインの数も多い
独自開発型は少数精鋭だからプラグインの数も少ない

セキュリティ

オープンソース型はプロアマ問わずみんなで作るからセキュリティにも差が出てくる
独自開発型はプロ集団で作るから一定水準のセキュリティが保証されている

ページの生成方法による種類分け

ページの生成方法による種類は静的CMSと動的CMSがあります。そして、静的CMSと動的CMSの違いで下記のような違いがあります。

生成タイミング

あらかじめ生成するのが静的CMS
都度生成するのが動的CMS

ページ表示スピード

静的CMSはあらかじめ準備するからすぐ表示できる
動的CMSは都度対応するから表示に時間がかかる

セキュリティ

静的CMSはあらかじめ生成してあるからサイバー攻撃の余地が減る
動的CMSは都度生成するからセキュリティの隙が多い

詳しく言うと
動的CMSは都度「このユーザのリクエストにはこれを表示する」という処理をしています。なのでプログラミングを書き換えて違う表示を命令する等の攻撃をされてしまうリスクがあります。

セキュリティ

最後にCMSを導入する上でしっかりと考えなければいけないセキュリティ問題について触れたいと思います。
なぜならCMSは便利な反面、種類によってはサイバー攻撃の標的になりやすいと言われているからです。

CMSがなぜ狙われやすいのか？

まず、ネットに繋がっている以上CMSでなくてもサイバー攻撃を受けるリスクは常にあります。ですがよくネットの記事などで「CMSはセキュリティが」というのを目にします。
先に書いたようにCMSには様々な種類があり、セキュリティに比較的強いタイプもあるのになぜそのような記事が多くあるのでしょうか。

セキュリティ上よく問題を指摘されるのはオープンソース型のCMSです。
このタイプは、オープンソースであるので設計図が公開されているます。もちろんその設計図は攻撃者も見ることができセキュリティホールを見つけやすい状態になります。

二つ目は、多種多様なプラグインが公開されているからです。
プラグインも多くの開発者によって支えられておりプラグインの開発者のレベルには差がありセキュリティの知識に乏しい開発者もいます。
また脆弱性が発見されても一般の方が開発している場合もありますのでパッチ開発に時間がかかる場合もあります。

以上がCMSは狙われやすいと言われる理由になります。

サイバー攻撃の目的

そもそもなぜ攻撃をしてくるのかその目的を理解する上で情報処理推進機構が毎年発表している各年の社会的影響が大きかった情報セキュリティの脅威が助けになるのではないでしょうか。

情報処理推進機構という組織は主に情報セキュリティ対策、施策を実施している2004年に設立された独立行政法人です。
「情報セキュリティ10大脅威 2020」の組織のランキングを見るとサイバー攻撃の主たる目的は下記の二つになると考えられます。

金銭の要求
個人情報取得

サイバー攻撃の種類

下記よくあるサイバー攻撃を種類ごとにリスト化しました。
こういった方法で情報を盗んだり金銭要求をしてくるようです。
これ以外にも方法があり新しい方法は年々報告されていますが大きく分けて侵入型と高負荷型に分けられそうです。
そして、侵入型はユーザが何かしら入力できるページで注意が必要なようです。

高負荷をかける攻撃

DoS攻撃/ DDoS攻撃
F5アタック

脆弱性を狙った攻撃

ゼロデイ攻撃
SQLインジェクション
OSコマンド・インジェクション
クロスサイトスクリプティング
バッファオーバーフロー攻撃
API攻撃

パスワードを狙った攻撃

ブルートフォースアタック
パスワードリスト攻撃

すぐにでもできる対策

上記のような目的、方法でサイバー攻撃を仕掛けてくることがわかりました。
対策方法としては様々な方法がありまた、どこまで対応するかどこまで費用を出すかで方針が変わってくると思います。
しかし、最低限下記のような手法はすぐにでも対応でき効果も認められているようですのでまだやっていない場合はセキュリティ対策の第一歩としてやってみてはいかがでしょうか？