/不正ログイン・改ざんを防ぐWordPressのセキュリティ術2015.04.03不正ログイン・改ざんを防ぐWordPressのセキュリティ術WordPressでサイトを構築しているなら、セキュリティ対策はなるべく早くしておきましょう。WordPressはユーザーが多く、プログラムが公開されているため、ひとたびセキュリティの穴が見つかると、そこを突く攻撃が一気に盛んになるからです。WordPress特有の問題点があり、そこを狙った不正ログインの手口も存在しますが、これについては効果的な対策法があります。WordPressをインストールしているサーバ側での対策も有効ですが、ここではWordPressの機能に絞ったテクニックを解説していきます。安心してコンテンツを作り込めるよう、WordPressのセキュリティ対策の基本を学んでおきましょう。】7日間でウイルスについての不安が解消できる!メルマガ登録はこちら1.不正ログインを阻止する3つの対策WordPressを狙った悪事のうち、もっとも警戒すべきはIDとパスワードを特定されての不正ログインです。ログイン情報を一切外部に出していなくても、ブルートフォースアタックと呼ばれる、IDとパスワードの組み合わせをすべて試す攻撃(たとえば自転車などに使われるの4桁の数字のチェーンロックであれば、0000から9999まで全ての組み合わせを試す方法)により、ログイン情報が特定されてしまうケースがあります。WordPressが狙われやすい以下のような理由もあります。多く使われているCMS(WEBコンテンツの管理システム)であること基本的に、ログインページのURLが「URL+wp-login.php」になること対策をしないとユーザー名が一目瞭然となってしまうこと様々な不正ログインに対抗する手段がありますが、ここでは効果的かつ簡単な3つの方法を解説します。1-1.ユーザー名を非表示にする前述のユーザー名が外部に露出している問題を解決します。1-1-1.ユーザー名とブログ上の表示名を別のものにするデフォルトの設定だと、ログインに使うユーザー名と、記事の執筆者であるブログ上の表示名は同一です。よって記事を見るだけで、ログインIDがわかってしまいます。そこで以下の手順で、ユーザー名とは別の執筆者名のみを公開するように設定します。1.ダッシュボードの「ユーザー」→「ユーザー一覧」とクリックし、表示されたユーザー名の下の「編集」をクリック2.「ニックネーム(必須)」にすでに設定されているユーザー名と別の名前を設定。「ブログ上の表示名」で、新しく作ったユーザー名を選択。することで、記事の執筆者名とログインIDを別個のものにできます。Slugを導入するただし1-1-1で解説した対策法だけでは、「記事URL+/?author=1」と入力することで、設定によってはアドレスバーにユーザー名が表示されてしまう仕様に対して無力です。Slug」と入力してエンターを押す。Slugが表示されたら、「いますぐインストール」をクリック。3.「プラグインを有効化」をクリック。Slugを、ユーザー名とは別のものに変更このふたつの設定を行うことで、ログインにはIDとパスワードが必要になるため、IDが露出していてパスワードのみの場合とくらべ、特定される可能性は大きく減少します。長くて複雑なパスワードを設定することは、WordPressにかぎらない、インターネットのセキュリティの基本中の基本です。パスワードは文字数が増えるほど、使われている文字の種類が増えるほど(例:数字のみ→数字+アルファベット)、強度は高まります。パスワードの強度は、実際にWordPressの管理画面でパスワードを入力して判定しましょう。Pageの導入ここまでの設定では、第三者が不正ログインするためには、ログインIDとパスワードをどちらも特定する必要がありますが、さらにもうひとつパスワードを追加することで、よりセキュリティを高めることができます。Pageと入力しエンターを押します。Pageが表示されたら「いますぐインストール」をクリック。3.「プラグインを有効化」をクリック。Page」をクリック。Settings」をクリックします。6.ログイン画面に2つ目のパスワード入力ウィンドウが追加されます。2.本体やプラグインの脆弱性への対策2-1.とにかく最新に保つのが基本WordPressは、オープンソース(内容が公開されており、再配布が可能)なので、脆弱性(コンピュータ、ソフトウェアの欠陥や仕様の問題によるセキュリティ上の弱点)が比較的発見されやすく、そういった脆弱性が発見された場合、それを利用した不正なアクセスや、サイトの改ざんといった被害に遭遇する危険性が高まります。WordPress本体やテーマ、プラグインなどに脆弱性などのバグが発見され、制作者がその対応をした場合、新しいバージョンにアップデートされるはずです。新たな更新があった場合は、なるべく早くアップデートを実行すべきでしょう。2-2.テーマやプラグインは公式のもののほうが安全WordPressのテーマやプラグインは、インターネット上の一般サイトで公開することも可能です。いった一般のもののなかには、長い期間アップデートされないものの多いため、どうしても使いたいものがある場合以外は、公式のものを使ったほうが良いでしょう。3.セキュリティプラグインで総合的に防衛するWordPressの乗っ取りを防ぐためのシンプルな対策法をここまで解説してきましたが、総合的にWordPressを保護してくれるセキュリティプラグインを使うことで、さまざまな問題を対策することができます。いったセキュリティプラグインは、優秀なものの多くは海外製で日本語対応していません。そのため導入するハードルは低くありませんが、それと引き換えに豊富な保護機能をまとめて利用することができます。Securityという総合セキュリティプラグイン。重要度順に対策を並べてくれるため、プラグインの一部の機能を有効にするだけでも十分な効果を発揮します。Security」と入力してエンターを押す。site】クリックすることでバックアップが作成されます。基本的なセキュリティ対策をワンタッチで実行できます。上記3つの設定を機械的に行うだけでも、一定のセキュリティ効果が得られます。3-2.重要な対策から優先的に行う!プラグインの初期設定後、「Dashboard」タブをクリックし、下の方にスクロールさせると、重要度順に対策すべきセキュリティ項目が一覧表示されています。Priorityの順に重要度が高く、すでに完了している対策はComplete欄に表示されます。it」をクリックすると各対策項目にジャンプします。「Settings」タブをクリックすると、各セキュリティ機能の設定が可能です。自分自身が強制ログアウトされないよう、自分の環境のIPアドレスを登録できます。有効期間は24時間です。to」ドロップダウンのメニューから設定したい項目に直行できます。このプラグインの総合的な設定ができます。存在しないページへの大量のアクセスを監視する設定が確認できます。Settings」で行います。管理画面にログインできない時間帯を指定できます。Users」アクセス禁止にしたユーザーの管理が行えます。Protection」ブルートフォースアタックへの対策を行えます。Detection」と同様です。Backups」データベースのバックアップに関する設定を行えます。変更されたファイルをチェックできる機能です。Area」ログインページなどを自動攻撃から発見されにくいようにします。契約サーバによっては上手く機能しないこともあります。Scanning」マルウェアのスキャンが有効になりますが、利用するためにはVirusTotal.comというサービスに登録してAPIキーと呼ばれる利用のための情報を取得する必要があります。Layers(SSL)」SSL(暗号化による通信)が使用できます。passwords」セキュリティ的に強力なパスワードしか設定できなくなります。Tweaks」さらに細かい設定を行えます。Tweaks」WordPressの応用的設定を行えます。4.どんな目的でWordPressを狙うのか不正ログインや脆弱性を突いた攻撃を仕掛けてくる犯罪者の目的は、ずばりWordPressのサイト内容を改ざん、つまり中身を書き換えることです。それならなぜ中身を書き換えるのか。以下のような理由が考えられます。4-1.マルウェアを配布するサイトへ飛ばすそのサイトにアクセスした人をリダイレクト(自動転送)させたり、記事にリンクを設置するなどして、攻撃者にとってメリットになるサイトへ誘導します。代表的なところとして、マルウェアを配布するサイトが考えられます。WordPressの仕様上、ヘッダ部分など一部の情報を改変するだけで、全記事に同じ情報を入れることができるため、乗っ取る側から見ればとても効率的です。4-2.メール送信機能などをサイトに仕込む迷惑メールを自動的に送り続けるプログラムなど、攻撃者にとって都合の良いプログラムをサーバ内に設置することも考えられます。面白半分でサイトの内容を改ざんするケースもあります。2013年に、あるホスティングサービス会社提供するレンタルサーバで運用されている8000件以上のWordPressサイトが改ざんされる事件がありましたが、これは愉快犯によるものでした。5.まとめWordPressを含め、ユーザーが多いプログラムやアプリケーションほど、便利で情報が多い反面、悪意を持った攻撃に遭いやすい傾向があります。WordPressは非常に優秀なツールだからこそ、余計な心配をせず記事を更新できるよう、セキュリティ対策を事前に行っておきましょう。※記事内容の利用実施は、ご自身の責任のもとご判断いただくようお願い致します。近年、ネット犯罪が増加し、様々なトラブルが発生しています。知らないうちに、悪質なウイルスに感染してしまうことも少なくありません。あなたのパソコンが安全かどうかを調べるもっとも確実な方法は、セキュリティソフトを使った『ウイルススキャン』です。この方法は、以下のようなメリットがあります。危険なウイルスを発見次第、そのまま駆除ノートンセキュリティは30日間(最大60日間)無料で最新版がご利用いただけます。今すぐインストールして、ウイルススキャンをしてみてください。無料ダウンロードページへ製品をご購入の際は以下のリンクをご利用ください。製品購入ページへ同じカテゴリの人気記事iPhoneを売りに出す前に!端末の初期化/バックアップと復元の全手順VPNとは?その基本と無料Wi-Fiを安全に利用する方法メールが届かない!その問題を今すぐ解決する7つのチェック項目と解決法パソコンがフリーズ時の緊急対応と二度と繰り返さない方法その「セキュリティ警告」は本物?正しい見分け方と対処法スマホで印刷するには?その方法と各種サービス紹介Facebookでのご購読が便利です。ノートンTwitter・Feedlyでもご購読できます。人気のある記事スマホ、パソコンのカメラも例外ではない!insecamが示す情報漏洩のリスクと対策iPhoneを売りに出す前に!端末の初期化/バックアップと復元の全手順VPNとは?その基本と無料Wi-Fiを安全に利用する方法メールが届かない!その問題を今すぐ解決する7つのチェック項目と解決法iPhone乗っ取りを今すぐ調べる方法と乗っ取られていた場合の対処法Facebookでのご購読が便利です。ノートンTwitter・Feedlyでもご購読できます。個人情報盗難保護サービスが利用できない国があります。関連会社の米国およびその他の国における商標または登録商標です。