無料および商用CMSのWebサイトセキュリティの比較
この調査の結果によると、無料のCMSを使用しているサイトは、商用CMSのサイトよりも平均して感染およびブラックリストに登録される可能性が4倍高くなっています。
しかし、無料のCMSの場合、セキュリティの状況は非常に異なります。 たとえば、Datalife Engineの20番目のサイトはすべてブラックリストに登録されています。 同時に、CMS TYPO3のサイト内で感染サイトは見つかりませんでした。 これは、TYPO3開発チームがCMSのセキュリティの改善に多大な注意を払っているという事実と関連しています。 特に、9月だけで、9つの新しい脆弱性がTYPO3 Webサイトに公開されました。これには、CMSコアの1つの中程度のハザードカテゴリと、サードパーティモジュールの8つのクリティカルが含まれます。 Runetで最も一般的な商用CMSの中で、明確なリーダーを選ぶことはできませんでした。それらはすべて、ほぼ同じ数のサイトに問題がありました。
調査方法
この調査では、さまざまなCMSで作成されたRUドメイン内の30,000のアクティブサイトがランダムに選択されました。 CMSタイプを識別するサイトの選択は、 iTrackによって提供されました 。
この調査は、SiteSecureの技術ツールを使用して応答サイトをスキャンすることにより、2013年10月から2014年1月までの間に実施されました。 研究の一環として、次のサイト特性が分析されました。
- CMSおよびWebサーバーのバージョン。
- サイト上のウイルスの存在;
- GoogleおよびYandexのブラックリストにあるサイトの存在。
- Phishtank、DNSRBL、UCE PROTECTなどのブラックリストにあるサイトの存在。
- CMSバージョンとサイト上の問題の存在との相関。
更新されたCMSバージョンの使用
CMSの最新バージョンの使用と、商用CMSと無料CMSの両方のサイトでの問題の存在の間には、顕著な相関関係があります。 タイムリーに更新されたバージョンのCMSは、平均して問題のリスクを半減します。 最新バージョンにアップグレードすることの最も明らかな利点は、JoomlaとWordPressで見られます。
Joomlaサイトの3％のみが最新のJoomlaバージョンを使用し、15％が最新のWordPressバージョンを使用しました。 同時に、Joomlaの問題のあるサイトの割合はWordPressの3倍です。 明らかに、CMSバージョンをタイムリーに更新すると、サイトのセキュリティが向上します。
この調査の著者の仮説の1つは、商用CMSのサイトは、バージョン更新をタイムリーに監視するプロの開発者によって開発されることが多く、無料ソリューションで感染したプロジェクトのシェアが大きくなることです。
Webサーバータイプへの影響なし
Webサーバーの種類ごとの問題サイトの分布は、一般にWebサーバーの人気度と一致するため、特定のWebサーバーのバージョンはサイトセキュリティの決定的な要因ではないと言えます。
検索エンジンのブラックリストの比較
Yandexは、Googleの2倍の頻度でサイトをブラックリストに載せました。 同時に、GoogleとYandexのリストの共通部分は、ブラックリストに登録されたサイトの総数のわずか10％です。
結論：ウェブマスター、seo-optimizer、およびウェブサイトのプロモーションを担当する他のスペシャリストは、両方の検索エンジンのブラックリストにあるサイトの存在を必ず監視してください。
問題を認識しているウェブサイトの所有者
市場における主要な問題の1つは、新たな脅威に関するWebサイト所有者の認識が低いことです。
調査が完了した後、ウイルスに感染したか、検索エンジンによってブラックリストに登録された約130のサイトの所有者に連絡を取ろうとしました。 サイトが製品やサービスの宣伝に積極的に使用されている所有者の半数以上が、サイトの問題について知らなかった。 同時に、彼らの3分の1はサイトの維持または宣伝にお金を使い続けました。
水中の氷山
調査の最初の部分に加えて、サイトが存在するIPアドレスからのスパムに基づいて、30,000のすべての商用サイトのブラックリスト登録をチェックしました。 発見した問題の規模について話すことは重要だと考えています。 すべてのチェック済みサイトのほぼ15％がUCE PROTECTリストの1つに含まれています。つまり、スパム送信に直接関与するか、スパムを送信するサイトの近くにあります。 同時に、サイトの70％は同じサブネット上にあり、28％はスパムを送信するサイトと同じIPアドレス上にあります。
これはサイト所有者にとって何を意味しますか。 まず第一に、これらは隠れた問題であり、ブラックリストを直接チェックしないと診断できない。 これらの問題の結果は、サイトのメールサービスの構成に応じて、顧客への手紙を含む送信メールを完全にまたは部分的に配信できないことや、サイトに潜在的な顧客が残したアプリケーションです。
ドメインメールの場合、プロバイダーの専用メールサーバーがより頻繁に使用されます。ここでは、プロバイダー自身が問題の解決策を監視します。 ただし、自動化されたマーケティングレターと通知、および顧客の要求は、サイトが配置されている同じIPアドレスから他のメカニズムを介して実行できます。また、配信の成功を確認する手段がないことがよくあります。 チェックしたサイトの15％で、これは非効率的な作業、マーケティング活動の停止、潜在的な顧客からのリクエストの受信、つまりビジネスの直接的な損失を意味します。
-調査に参加している4,500のサイトの所有者は、サイトの問題により経済的損失のリスクがあります。 これはほぼ7サイトごとです。
結論として、CMS /フレームワークに組み込まれているツールの信頼性を期待して、Webサイト開発者（Webスタジオや代理店）はセキュリティの問題にしばしば従わないと言う価値があります。 ただし、何らかの問題が発生した場合、クライアントは開発者を非難します。 したがって、 SiteSecureなどのサイトを監視および保護するためにオンラインサービスを使用すると、問題のある領域を閉じて、顧客との競合を回避できます。