今週の・・・

ロリポップ事件は色々と波紋を起こしたようで・・・・

共用サーバーの危険性は、自分以外の誰かが悪さをしても被害に合うという問題。
バージョンアップ放置とかも。

もう一つの危険性として、spam配信。

同じサーバーの誰かが、プログラムを利用して、大量のメール配信をしてしまった場合。
問題ないアドレスでの配信であれば、半分は救われる。


半分しか救われない・・・・（後述）


配信エラーの多いアドレスで配信してしまった場合は、論外！
spamhaus等のスパムサーバーリストに登録されてしまうと、そこをRBLとして利用しているメールサーバー向けの配信がストップしてしまいます。

すぐに解除できるレベルであればいいのですが、解除するための手順が大変な場合は数日間は問題が継続してしまいます。


先に述べた、「半分しか救われない」理由。
でもって、大量配信の問題は携帯電話会社向けのメールの場合 、一つのサーバーから大量配信を受けた場合、携帯電話会社側のメールサーバーが一定時間、そのサーバーからのメール接続を拒否する場合があります。
大量配信の場合、拒否が10時間以上も継続する場合もあります。

で、このメールの問題に関してはロリポップのような安価な個人向けよりは、意外と大手側な共用サーバーでも起こってたりして、問題としては深刻な部分があります。

 
共用サーバーは確かに安価で提供されていますが、色々なリスクが潜んでいます。
 

今朝一番のニュースで
「paperboy&co.「ロリポップ！レンタルサーバー」で発生している不正ログインについて」
http://www.gmo.jp/info/alert/index130829.php 

私の感覚ではとうとう起こってしまったという感じ。

• CMSは簡単更新で便利でhtml等の専門知識も不要。
• プラグインなんかを追加することで、色々な機能が簡単に付加できる。
• デザインの修正もテンプレートを変えるだけで、簡単にできる。

便利なことこの上ないのですが、色々と裏があります。

まず、人気のCMSであればあるほど、セキュリティのリスクが高まります。
世界中のクラッカーさんたちが、CMSの穴を探しております。
突破されると、簡単に改ざんされます。
CMSそのもののシステムからの侵入とは限りません。
CMSで利用されるプラグインが踏み台にされる可能性もあります。

侵入するために、自分で侵入用のプラグインを配布する場合もあるかもしれません。
もちろん、配布時は他の役に立ちそうなプラグインを偽装します。

1台のサーバーで、1つのドメインで動いている限りにおいては被害にあうのは、そのドメインの所有者だけです。

不特定多数の利用を前提とした共用サーバーにおいて、1つのCMSが踏み台にされることで、単純にそのサーバー上で動く全てのドメインが被害に合う可能性は多分にあります。

クラッカーさんたちの侵入の手順は概ね、下記の手順を踏みます。

1. 脆弱性のあるバージョンのCMSを利用しているドメインを探す、もしくは脆弱性のあるプラグインを利用しているドメインを探す。
2. その脆弱性を利用して、悪さがデキるかどうかのチェック。例えば、phpやcgiを設置しちゃいます。いきなり危ないファイルは設置しません。
3. 設置したphpなどを利用して、内部的な脆弱性のスキャン。
4. 裏口が開けられるかのトライ。
5. root権限奪取のためのプログラム類の設置をトライ。
6. ３〜５の工程でどの程度の悪さができるかを測り、それでもって、イタズラのレベルを決める。

ファイルを改ざんするレベルに留まるのか、rootkitまで設置して乗っ取ってしまうのか。spamの踏み台にするのか、ロボット的に使うのか。。。。

今回のロリポップのようなレベルの改ざんで発覚するのは単なる愉快犯ですよね。

本当に怖いのは、侵入をわからないように改ざんしちゃうことだと思います。

弊社はセキュリティ上の理由で自分の管理下にない世界でCMSの設置を許してません。
「脆弱性が見つかりましたので、CMSをアップデートしますから、30万円いただきます。」といって、納得していただけるクライアントさんであれば、設置しますよ。

ブログをやりたいなら、このlivedoorのようなブログサービスを使ってくださいと言ってます。
 

数日前から発覚していたんですが、とある所から借りている「専用サーバー」のハードディスクが1基、物理障害を起こしていました。
RAID1を組んでいるので、正常に運営はされておりましたが、その障害のためにサーバーを止めることに。

弊社は最高時は15台の物理サーバーを管理しておりましたが、現在は今回の障害を引き起こした1台のみになっています。
ほとんどがVPSやクラウド上に移管してしまいました。

物理サーバーを管理しなくなったメリットは「ハードウェア」の障害に対して無頓着でいられるというメリットが有ります。

今回のハードウェア障害を元に、この物理サーバーの運用をクラウドやVPS上に変更できたらとは思っておりますが、どうなることやら。