「JR東日本サイトがまた改ざんされた模様」記事へのコメント

仏の顔も三度まで（二回なら許してあげてｗ）

[masakun (31656)]

改ざんされたファイルは前回とは違い、現在のところ原因も不明とのこと（Security NEXT）。

JR東日本の管理体制が甘いと言われても仕方ないけど、今回は4日
（2010年2月18日（木）22時29分～2010年2月22日（月）17時18分） [jreast.co.jp]でサービスを停止できたわけだからまだマシな感染事例ではないかと。

一方ガンブラー攻撃は次々亜種が登場し、攻撃の様相が様変わりしている模様。

イタチごっこ続くWebサイト改ざん、埋め込みコードがまたまた変化 [so-net.ne.jp]（2010/01/28 セキュリティ通信）

昨年12月から被害が続出している国内のWebサイト改ざんだが、28日未明から、再び改ざんサイトに埋め込む

--
モデレータは基本役立たずなの気にしてないよ

Re:仏の顔も三度まで（二回なら許してあげてｗ）

[Anonymous Coward]

> これまでのマークをキーワードに改ざんチェックをしていると、あっさり見過ごしてしまう。

「鈴木という名前で犯行を繰り返しています」「鈴木が来たら注意しましょう」（全国の、そしてシアトルの鈴木さんごめんなさい）
というやりかたじゃ、そりゃ鈴木が佐藤に名を変えて犯行をおこなったら捕まえられないでしょう。
犯行手口というか、実際のスクリプト部分の内容でチェックできないのでしょうか。

Re:

[Anonymous Coward]

出来るか出来ないかと言われたら、制作ガイドラインがしっかりしていたり、
履歴管理がしっかりしている製作現場ならば出来ます。

単純にファイルのタイムスタンプを照らし合わせただけでも改竄は確認できますし、
仰る「スクリプト部分の内容」についても、それほどバリエーションがあるわけではないので、
「このファイル以外で××を使っているはずが無い」等と言う事になります。

ただ、そのようにちゃんと環境や仕組みを整備するまでが難儀です。
特に古くから存在するWebSiteについては、中の人が現存するファイルの大部分を把握出来ていません。
コンテンツ管理、ファイル管理、履歴管理の仕組みが当たり前になる以前にサーバに上がっちゃったファイルが足を引っ張ります。

5年以内にゼロから構築したようなサーバでは、最初から管理された環境で作られているはずなので、たぶん平気。

# 「捨てる勇気」って大事だなぁと思いつつ、個人的には出来てない。