こんにちは。アントアントのメルマガ担当です。
いつもメールマガジン「ここだけは知っておきたい編」をご覧いただき、誠にありがとうございます。
今回は「パスワード管理の重要性とセキュアな運用方法」についてご案内いたします。
2024年12月のアップデートにより追加された「アカウントのパスワードの複雑性の要件を適用」や、2025年4月のアップデートにより追加された「ロックアウト機能」についても詳しく解説しながら、ant2 CMS環境における安全な運用方法をご紹介いたします。
日々、私たちが運営するWebサイトは、常にサイバー攻撃のリスクにさらされています。
「うちは大丈夫」と思っている方こそ、ぜひご一読ください。
◆ ページ・コンテンツの改ざん
Webサイトの内容が書き換えられ、訪問者に怪しい画像や不審なリンクが表示されてしまうケースがあります。
◆ 情報漏洩
会員制サイトでは、ユーザーの個人情報やログイン情報が抜き取られるリスクがあります。
中には、クレジットカード情報の流出という重大な被害も起きています。
◆ スパムメールの送信
Webサイトが乗っ取られ、自動送信プログラムを設置されてスパムメールの踏み台にされる事例もあります。
また、お問い合わせフォームやコメント欄から悪用されることもあります。
◆ スパムサイトへのリダイレクト
Webサイトに不正スクリプトが埋め込まれ、訪問者がスパムサイトやフィッシングサイトへ自動転送される可能性があります。
◆ アクセス不能・サーバーダウン
「DDoS攻撃」により、1秒間に何万件ものリクエストが送られ、サイトにアクセスできなくなったり、
最悪の場合はサーバーダウンという致命的な事態に発展することもあります。
こうした被害を未然に防ぐためには、「自社サイトは攻撃対象になり得る」という認識のもと、
「技術的対策」+「運用の見直し」をセットで行うことで、安心・安全な管理体制を整えることが大切です。
ant2 CMSでは、ユーザーの皆さまがよりセキュアな環境でサイト運用を行えるよう、システムの改善を続けています。
アップデートで追加されたant2 CMSで実施できる具体的なセキュリティ設定や運用を2つご紹介いたします。
パスワード管理がなぜ重要なのか
インターネットに接続された環境では、パスワードがユーザー認証の最前線となり、企業の機密情報やお客様のデータを守る大切なセキュリティ要素です。
しかし実際には、
このような状態のまま放置しているケースも多く、不正アクセスのリスクが高まってしまいます。
特にCMS管理画面など、Webサイト全体の設定にアクセス可能なアカウントの流出は、「情報漏洩」「ページの改ざん」「ウイルス仕込み」など、サイト全体に被害が及ぶ恐れがあります。
短くて簡単なパスワードは、推測されやすく、辞書攻撃やリスト型攻撃の格好の標的です。
これを防ぐため、ant2 CMSでは新たにパスワード保存時に「12文字以上」かつ「複雑性の要件」を満たす仕様へとアップデートを実施いたしました。
新しいパスワード要件
| 文字数 |
12文字以上 |
|---|---|
|
構成 |
数字・英小文字・英大文字・記号を各1文字以上含む |
|
利用可能な記号 |
`!@#$%^&*(),.?":{} |
CMSで新しくアカウントを作成する際や既存のアカウントのパスワード変更する際に適用されます。
また、代理店専用管理画面【MULTI管理ツール】内でのアカウント作成やパスワード変更する際に適用されます。
これまでもログインIDまたはパスワードの入力ミス等によるロックアウト機能を搭載していましたが、
不正アクセスへの対策をさらに強化すべく、ant2 CMSに以下の機能が追加されました。
昨今の不正アクセスへの対策として、IPアドレスによるロックアウト機能を追加
【CMSおよびMULTI管理ツールへのログイン時の変更】
CMSおよびMULTI管理ツールへのログイン時に不正アクセスの兆候があった場合、
アクセス元のIPアドレスの「上位3ブロック（例：192.168.1.XXX）」が一致していれば、
同一のネットワークからのアクセスと見なしてロックアウトの対象に追加されます。
※一定時間を空けずに（1分間）5回以上の認証エラーとなる場合、該当のIPアドレスからのログインは10分間ロックアウトされます。
【MULTI管理ツールの「サイトログイン情報」の変更】
MULTI管理ツールの「サイトログイン情報」では、ロックアウトによるログイン失敗を赤文字で表示するように変更されます。
例）NG - Lockout
CMSおよびMULTI管理ツールのログインセキュリティが大幅に強化され、より安心・安全な運用が可能になっています。
パスワード管理・アクセス制限・ユーザー管理など、テクニカルと運用の両軸から対策を進めることが鍵です。
不正アクセスはいつどこからやってくるか分かりません。だからこそ、今のうちに運用を見直し、万全のセキュリティ体制を整えることが大切です。
