joomlaは世界中の国立機関が導入しているオープンソースのCMSです。ここでは、joomlaの特徴や脆弱性、その対策などについてまとめています。
操作が簡単で自由度が高いjoomlaは、Wordpressと並んで海外でも評価が高いオープンソース型のCMSですが、弱点がないわけではありません。ここではjoomlaのセキュリティリスクについてみていきましょう。
joomlaの脆弱性は「サイトを乗っ取られる」という形で現れます。管理画面から、第三者にサイトを乗っ取られ、内容を勝手に書き換えられてしまうリスクがあります。
joomlaには「SQLインジェクション」という重大な脆弱性がありました。データベースに問い合わせるプログラム「SQL」の欠陥です。攻撃方法は「SQL」に悪質なプログラムが組み込まれる手口で、攻撃を受けるとデータベースから情報を盗まれるリスクが高いです。
joomlaは世界中で使われているCMSなので、脆弱性のデータが発表されると、その日のうちに、悪意のある第三者から世界中のユーザーに攻撃が行われます。「ゼロデイ攻撃」と呼ばれるトラブルを防ぐために、joomlaの発表を常にチェックして、脆弱性が発表された時、即座に対応できるように体制を整えておきましょう。
joomlaの「管理画面乗っ取り・データ削除・改ざん」や「情報漏えい」などに対応するセキュリティ対策を3種類、ピックアップしました。
joomlaは管理画面から侵入されるケースが多いので、Google認証を設定する方法で、ある程度解決できます。管理画面のログイン時に、Googleが発行するワンタイムパスワード・ユーザー名・パスワードの3つを使うと、セキュリティを高めることが可能です。
joomlaの脆弱な「SQLインジェクション」を補完するための、最新バージョンプログラムをダウンロードすることで対策ができます。更新は頻繁に行われるので、こまめなチェックが必要になります。
joomlaの脆弱性を悪用したサイトへの攻撃は「データベース上にある個人情報の漏えい」が目的であることが多いです。そこで、データベース上のデータの抽出や書き換えなどの異変がないか、常時チェックすることも重要になります。直接的な被害を防止するというよりも、被害が拡大することを防ぐという感覚で行ってください。
joomlaはオープンソース型のCMS。HTMLの知識がなくても、ブログと同じ感覚で操作できるのが強みです。
デザインテンプレートの種類が多く、凝ったデザインのWebサイトを作ることができるので、世界中で使われています。
セキュリティがしっかりしているために、国の機関や公共施設などでも使われていることが多いCMSです。しかし、joomlaはSQインジェクションに脆弱性があり、管理画面から侵入した第三者に、サイトを操作される危険性があります。常に最新のバージョンに更新しておくことをお勧めします。
このサイトでは、企業のWebサイト作成に向いているCMSを厳選し、その特徴をまとめています。CMS導入を検討されている方は、ぜひ参考にしてください。
WAF、脆弱性対応、データ暗号化、操作ログの取得とDL、鍵管理(暗号化の鍵管理を行えるかどうか)、
プログラムソースのバージョン管理対応のパッケージ型CMS(2022年3月調査時点)の中から、目的ごとのオススメCMSをご紹介します。
HeartCore CMS
引用元:HeartCore Webコンテンツ管理システム設定ガイド[PDF]
https://www.heartcore.co.jp/file.jsp?id=49551&version=ja
導入コストが安く、
DBから情報を自動更新したい
ECサイト・中規模サイト
分類 | 動的CMS |
---|---|
サイト 規模 |
数千~数万ページ程度 |
主な 機能 |
基幹システムとの連携、サイト内検索機能、マルチドメイン、多言語対応(170ヶ国)、SNS連携、ヘッドレス配信機能 |
導入先企業 | 日本航空、三菱UFJモルガン・スタンレー証券など |
Adobe Experience
Manager Sites
引用元:Adobe Experience Manager Sites公式HP
https://business.adobe.com/jp/products/experience-manager/sites/aem-sites.html
豊富なマーケティング機能を駆使して成果改善したい大規模サイト
分類 | 動的CMS |
---|---|
サイト 規模 |
数万ページ以上 |
主な 機能 |
コンテンツのパーソナライズ化、Adobe製品と連携、ヘッドレス配信機能、マルチサイト管理、翻訳 |
導入先企業 | mastercard、kaoなど |
NOREN
引用元:WDONLINE
https://book.mynavi.jp/wdonline/detail_summary/id=102645
更新頻度は少なめで、より強度なセキュリティを重視とする中規模サイト
分類 | 静的CMS |
---|---|
サイト 規模 |
数千~数万ページ程度 |
主な 機能 |
多段階承認フロー、多言語対応(日・英・中・韓)、タイマー自動公開、デザインテンプレート、共通部品 |
導入先企業 | 伊藤忠商事、神戸製鋼所など |
※1 動的CMSとは…閲覧者がアクセスするたびにHTMLを生成しユーザーごとに内容を出し分けたり変化させられるCMS
※2 静的CMSとは…閲覧者がアクセスするHTMLページを事前に準備しておくタイプのCMS
【選定条件】
HeartCore CMS…基幹システムとの連携ができ、サイト内検索がデフォルトで組み込まれているパッケージ型CMS
Adobe Experience Manager Sites…Adobe Creative Cloudとのネイティブ連携できる唯一のCMS
NOREN…パスワード変更の際、本人だけにパスワードを通知する機能があり、静的処理を行っているパッケージ型CMS