ワードプレスでブログを開始してまもなく1年。
少しは成長できているかな？
成長できていなくても、しっかり施さなければならないセキュリティ対策。
とりあえずONにしていたセキュリティ設定の意味も、1年前よりは分かってきたぞ。
ほとんど攻撃される気配を感じていなかった弱小ブログですが、最近は、あからさまに攻撃を受けているようです。
もちろん、各セキュリティ機能が働いてブロックされています。
ここで、更なる強固な対策をしっかり施すべく、アクセスログを見ていました。
不正アクセスさせない為に！
まず、基本。
『ワードプレスのログイン画面を突破させるもんか！設定』
皆さんも色々なバリケードを張っていますよね？
もの凄く複雑なパスワードにしたり、URLを変えたり、画像認証を入れたり、2段階認証にしたり……。
ワードプレスを利用するなら、いくつかの設定をしているはずです。
していないはずがありません！
なので、今、勉強しているのが……、
『WAF（Webアプリケーションファイアウォール）で、ワードプレスに不正アクセスさせるもんか！設定』
利用しているレンタルサーバー『Xserver 
』では、どのプランでも無料でWAF設定をONにできます。
WAF設定について
WAF（Webアプリケーションファイアウォール）は、Webアプリケーションの脆弱性を悪用した攻撃からWebサイトを保護することが可能です。
『XSERVER』WAF設定について より
不正アクセスからサイトを保護し、WordPressなどのWebアプリケーションの安全性を簡単な設定で向上することができます。
サーバーパネルの設定画面より、対策が必要な項目を設定することが可能です。
- XSS (クロスサイトスクリプティング)
- SQL (SQLインジェクション)
- ファイル (ファイル不正アクセス)
- メール (メールの不正送信)
- コマンド (コマンドアクセス／実行)
- PHP (PHP関数の脆弱性)
↓デフォルトではオフになっているので、サーバーパネルを開いて対象ドメイン毎に必要な項目をオンにします。
これらのWAF設定をONにすると投稿が一部できなくなる事もあるらしいです。
しかし、まだまだブログを始めて1年程度の初心者。
投稿ができなくなるからとWAF設定をOFFにする方が恐ろしいです。
とりあえず全部ONにしましたよ。
尚、不正アクセスを100%駆除することを保証するものでもないそうです…。
アクセスログも時々確認！
セキュリティプラグインで、アクセスログを分からないなりに見てみました。
ブロックされたアクセスログに、
「Blocked for XSS: 〜」という文字が沢山ありました。
XSS (クロスサイトスクリプティング)は、javascriptなどのスクリプトタグが埋め込まれたアクセス。
WAFがブロックしてくれていますね。
いえ、javascriptなどのスクリプトタグが埋め込まれると、どんなに恐ろしいかを説明できるスキルはございませんが……大いにブロックして頂きましょう。（汗）
その他に、半分以上占めているログが、例えば、
「Blocked for WP Live Chat Support 〜」とは、何の事？
Blocked forの次は様々なのですが、文章というか名詞というか…。
なので、Blocked forの次の言葉をそのまま検索してみると、どれもこれもワードプレスで利用できるプラグインの名前だという事が分かりました。
どのプラグインも自分のサイトにはインストールされていませんし、そもそもブロックされているので安心なのですが、プラグインを攻撃しているんですね。
これらの攻撃が、プラグインがインストールされていた場合にセキュリティホールになるのか？無理やりインストールさせようとしているのか？セキュリティの緩いサイトか試しにアクセスしているのか？
ログファイルを詳しく解析するスキルもございませんが……とにかくブロックして頂きましょう。（汗）
やはり、やみくもにプラグインをインストールするのは恐ろしくなってきました……。
プラグインの脆弱性を早めに知る！
大きなニュースになる程の、大規模な攻撃があったプラグインは分かりやすいですが、あまりニュースにならない攻撃も沢山あるはずですよね。
試したいプラグインをインストールする前に、レビューサイトはもちろん確認します。
もっと的確に調べる方法は何か無いのかな？
ありました！
国内外を問わず、脆弱性対策情報のデータベース。
トップページの検索窓に「WordPress」と入れて検索すると、聞いた事ある名前も含めて、プラグインがズラズラ〜っと並んでいました。
インストールしてあるプラグインも入っているし！
「〜〜〜プラグインにおけるクロスサイトスクリプティングの脆弱性」とか、
「〜〜〜プラグインにおける SQL インジェクションの脆弱性」とか。
WAF設定でブロックしてもらえそうな脆弱性が沢山。
その他には、
「〜〜〜プラグインにおける情報漏えいに関する脆弱性」とか⁈
「〜〜〜プラグインにおける認可・権限・アクセス制御に関する脆弱性」とか⁈
それって、ブロックしてもらえるの？と、不安になる脆弱性も……。
セキュリティの為のプラグインも名前があがっています。
こうなると、何を信頼すれば良いのやら……、困惑。
パソコンのセキュリティソフトでもこまめにチェックしておきましょう。
最近ブロックしたアクセスログを見たら、アメリカから連続して攻撃された直後、オランダからほぼ同じ内容で攻撃。
という事は、多分、同じ攻撃者がIPアドレスを変更しているのでしょう。
IPアドレスをブラックリストに入れるのは、あまり効果が無いでしょうね、う〜ん。
プラグインで守られつつプラグインも守る
●プラグインを入れるなら、信用できそうか調べる！
●入れたプラグインは常に最新版にアップデートする！
●新たに脆弱性が見つかっていないか？入れたプラグインをアンインストールしなければいけなくなった場合、代わりのプラグインがあるかどうか？常日頃から情報収集する！
●プラグインを入れなくてもできそうな事なら、入れない方法で頑張る！
多くのブロガーさんが乗っ取り被害にあった経験談記事などを読んで、ワードプレスでブログを運営していく心構えを、日々、勉強しています。
ブログ開始1年、強く思っている事は、
余計なプラグインはインストールしな〜い！
