CPIスタッフブログはレンタルサーバーナレッジにうまれ変わりました。11:15昨今のWebサイトには、CMSが導入されていることがほとんどではないでしょうか。私の経験上、CMSを導入したがCMSのアップデートをしていないユーザーが多く存在しているように感じます。Webサイトは、作るのが目的ではなく、Webサイトを運用し何らかの情報を発信することが目的です。長くWebサイトを運用するためには、必ずCMSのアップデートをしてください。Q3」資料を参照ください。(引用)こちらの資料は実際に攻撃を受けた8,000サイトを分析し、どのようなサイトがハッキングされているかを調査した資料です。実際にアタックを受けたCMSはWordPressが74%、Joomla!が17%、Magentoが6%でした。(画像引用)アタックを受けたCMSは古いバージョンのまま利用していた割合が多いと示されています。WordPressを掘り下げてみると、ハッキングに関与しているトップ3のプラグインは、Revslider、TimThumb、GravityFormsです。これらのプラグインが導入されている場合は、すぐに最新版にアップデートした方が良いでしょう。このレポートからも分かるとおり、CMSをアップデートせずに利用していると、ハッキングされるということを認識してください。CMSをアップデートするCMSのアップデートを運用に落とし込むと下記のような手順になります。決められた期間(月に1度など)で、CMSのコア、プラグイン(モジュール)にセキュリティアップデートがないかチェックをします。(アップデートが無い場合、バックアップを取得後作業完了)ステージング環境のセキュリティアップデート2-1.ステージング環境のバックアップを取得後、CMSのアップデートを行います。本番環境のバックアップを取得し、CMSのアップデートを行います。クライアントに今回アップデートしたプログラムのバージョン、チェック項目をレポートし、作業完了アップデートの流れは上記の通りですが、自分の失敗も含めて、いくつか注意事項を紹介させていただきます。[注意事項]サイトの表示確認チェックは、事前にチェックする項目を共有する。アップデートを行う日時を共有する。アップデートの作業内容を事前に共有する。バックアップの保存先を定め共有する。CMSのチェックは一般ユーザーが閲覧する環境と同じで、CMSにログインしていないブラウザでチェックする。Webサイトの表示確認をする場合はブラウザのキャッシュを一旦削除する。アップデートしたプラグイン(モジュール)に関連した、動作確認する。自動テストについて品質を担保するためにテスト検証を自動化することも時には重要です。testsの実行や、BDDでおなじみのBehatを使いテストを行うことができます。testsを実行することができます。--testsuite=unitまたBDDテスト用フレームワークのBehatを使うこともできます。testは疎結合されたメソッドの単体をテストしますが、Behatは実際のURLにアクセスし、期待のレスポンスが返ってくるかをテストします。記事が公開されていない状態で、一般ユーザーがアクセスしたら403エラーが返ってくるか、特定のAPIが正しくレスポンスを返すか、Webフォームが正しく動作するかなどのテストが自動化できます。DrupalでBehatを動作させるのにとても素晴らしいドキュメントがありますので、興味ある方はこちらの記事を参考にしてみてください。(引用)Behatの簡単な使い方Behat用のディレクトリを作成し、「composer.json」ファイルを作成します。--initテストシナリオを作成します「features/test.feature」ファイルを作成します。response作成したシナリオを実行します。bin/behatこれは簡単なテストですが、Drupalのドライバーを導入することで、ユーザーログインや、記事の作成、ユーザー作成などもテストすることができます。さいごにCMSを運用に落とし込んだときに、決められた期間(月に1度など)で、CMSのコア、プラグイン(モジュール)にセキュリティアップデートがないかチェックをしますが、理想を言うと、月に1度ではなく、常にチェックするのが理想です。運用に落とし込むと工数(コスト)の問題から難しいのが現状です。セキュリティを担保する上で、WAFを組み合わせることも重要です。レンタルサーバーを利用する場合は、WAFが標準搭載されている会社を選択するのが良いでしょう。弊社が運用しているレンタルサーバーACE01もWAF標準搭載です。CMSのアップデートや、追加開発にはステージング環境が必須です、レンタルサーバーACE01はステージング環境や、自動バックアップも標準で装備していますので、日々の運用を少しでも軽減したい方は、参考にしてみてください。SV-Basic」を語る!TwitterCPIのTwitterアカウントでは、サイト、サーバー管理者のための重要なセキュリティ情報や、サイト運営者のためのヒント、お得なキャンペーン情報をお知らせしています。cpiadjpツイートPocket掲載内容について、当社は情報の掲載には細心の注意を払っておりますが、完全性などについて保証を行うものではありませんので予めご了承ください。許諾等について問題が発生した場合などについて、当社は一切の責任を負いません。掲載されている情報を利用したサイト製作については、ご自身の責任において行ってください。