事例から学ぶ！
ウェブ改ざんの実態とその対策

クラウド事業者からみた実態とジレンマ

製品ベンダーの立場でみた最近の改ざんの実態

Profit from the cloud

パラレルス株式会社
サービスプロバイダビジネス事業部
セールスエンジニア

鈴木隆之

TM

Parallels = クラウドのパートナー
SMBクラウド市場において成長および収益をあげるように支援

400+ ISVs、9,000 サービス
プロバイダ

13年のクラウドビジネス経験

ソフトウェア

先進のクラウドサービス提供
プラットフォーム
2

Profit from the cloudTM

Parallels Plesk Panel とは？
• サーバ、ウェブサイト、アプリケーションを管理するウェブデザイナー、ウェブマスター、ウェブオーナーのためのプロフェッショナルなコントロールパネル•

ウェブホスティングを便利にそして容易にする非常に優れたツール• 多数のホスティング/クラウドサービス事業者様で採用
•

専用サーバ

•

VPS/クラウド•

シェアードホスティング•SaaS• ソフトウェアの提供方法・サービス内容・提供範囲•

事業者によってさまざまo

例：マネージド、セルフ

3

Profit from the cloudTMコントロールパネルの表と裏• ボタンを押すだけで様々な飲み物が出てくる！
• 飲み物の専門知識不要！
• 簡単・便利！

どこまで自分でやるか？

• 中身は複雑• メンテナンスは必須• 怠ると様々な問題が発生！
認識が異なると空白が発生= リスク発生空白4

どこまで任せているか？
Profit from the cloudTMこんな使い方は危険！
不適切な利用方法

Profit from the cloudTM1. パネルのアップデートを適用せずに利用

6

Profit from the cloudTM2. （サポートなしの）旧バージョンを使い続ける

Parallels Plesk Panel ライフサイクルポリシー
http://www.parallels.com/jp/support/policy/plesk-lifecycle/

JPCERTコーディネーションセンターウェブサイト
http://www.jpcert.or.jp/at/2013/at130018.html
サーバ上に不正な Apache モジュールが設置、サイトの改ざん、マルウェア配布

7

Profit from the cloudTM3. 適切にパスワード管理をしてない• 簡単な文字列 – 辞書攻撃• 長期間変更しない• 同じパスワードを使い回す
管理者パスワードとメールパスワードが同じ！

8

Profit from the cloudTM4. アクセス制限の不在・不備• “便利だから”という理由だけでユーザへの適切な権限の付与が出来ていない例• 社員全員が管理者権限でアクセスできる• 複数人で１ユーザ情報、パスワードを使い回し• 開発会社に渡したパスワードをそのままにしておく• 利用しないユーザ情報が削除されないまま• IPアドレスなどによるアクセス元の制限が不在

9

Profit from the cloudTM5. サーバの基本的な設定を行っていない
パネルだけアップデートすればOKだと思っている• OS、アプリケーションも適宜アップデートしていない• 知らない、不要なアプリケーションを起動したまま• 公開を必要としないネットワークポートを開けたまま• …

うっかりミスはつきもの• 設定を変えたら動作確認を..

サービス事業者とあなたの責任範囲を理解してますか？

10

Profit from the cloudTM

最新版Parallels Plesk Panel におけるセキュリティ対策

Profit from the cloudTMよりよい品質と安定性を求めたPlesk 11.5
• Plesk 11.5は、正式リリース前の９か月間に多くのユーザの目に触れるパブリックプレビュープログラムを実施• Plesk11.5から、公開前だけのテストだけでなく、リリース後も継続して品質テスト実施体制を導入
結果： サポート問い合わせ数が Plesk9と比較で70%、Plesk10と比較して20～25%も大きく減少

12

Profit from the cloudTM自動アップデート機能（V10～）

13

Profit from the cloudTM安易なパスワード入力の拒否（V10～）
管理者パネル

顧客、ユーザパネル

パネルログイン用ユーザアカウント、FTP
アカウントのパスワードに対しても同様の制限あり
14

Profit from the cloudTM複数の管理者毎のアカウント作成（V11.5～）
同時に１つの管理者アカウントを複数の管理者が共有することを避ける

15

Profit from the cloudTMPlesk DB内の各種パスワードの暗号化（V11～）
Plesk 9, Plesk 10は生パスワードを格納

Plesk 11から暗号化パスワードを格納

16

Profit from the cloudTMAPSパッケージの自動更新（V11.5～）
顧客パネル

管理者パネル

17

Profit from the cloudTM

FTPS – FTP over SSL サポート（V11.5～）
FTPによるファイル転送が暗号化され、パケットからの情報漏洩を防止

一般的なFTP クライアントでも既にサポート

18

Profit from the cloudTMバックアップファイル経由での情報漏えい防止（V11～）• パスワードによるバックアップファイルのプロテクト － FTPレポジトリにアップロードされるバックアップファイルにパスワードを適用• バックアップファイルへのサイニング– バックアップファイルの改ざんチェック

19

Profit from the cloudTMChroot環境を前提とするSSH接続設定
範囲外のファイル参照、意図しないプログラム実行を禁止

20

Profit from the cloudTMその他の機能強化（V11.5～）• XML RPC APIアクセスに対するIP Address制限
特定のIP Address に限った API利用制限• Web Mail - RoundCubeサポート
AtMail は除かれ、RoundCubeがデフォルトWebMailとしてサポート• Web Mail - Horde IMP5サポート既にEOLに達しているHorde IMP 3.xからのアップデート• Chroot環境前提の各種プログラム実行
各種Pleskツールから呼び出されるwget, zip, unzip, gzip/gunzip, tar, curl
プログラムがchroot環境下で実行• Parallels Premium AntivirusのウィルスチェックエンジンがVersion 5から6へ更新

21

Profit from the cloud

TM

まとめ
パネル（サーバ）を脅威から保護するためには：• 最新版Parallels Plesk Panelの利用を• サーバ全体のセキュリティー対策も忘れず• 適切なユーザ権限、パスワード管理と正しいサーバ運用を現在ご利用サービスの保守提供範囲の確認と、ご自身ができる作業範囲を正しく理解しましょう
22

Profit from the cloudTMThank You

23

Profit from the cloudTM