セキュリティ今回は簡単にできるWordPressのセキュリティ設定を紹介します。「簡単に」ということで、方針を以下のとおりとします。方針:ソースは変更せずに簡単に。WordPress本体やプラグイン、利用テーマのコードは変更しません。WordPress自体のコードを修正するとアップデート等に支障が出る可能性があります。プラグインやテーマのコードの変更は、コンテンツへの影響があるので、今回は対象外とします。この方針の中で、今回実施する内容は次の5点です。wp-admin/wp-login.phpへのアクセス制限wp-config.phpへのアクセス制限ログインパスワードを複雑にするreadme.htmlを削除するテーマやプラグイン利用のポリシーを決めるでは、1番目からです。wp-login.phpへのアクセス制限wp-adminディレクトリ以下は管理画面で、wp-login.phpはログインページになります。この両方に対してアクセス制限を行います。WordPress自体には画面毎にアクセス制限できる機能はなく、デフォルトでは、全世界からアクセスできてしまいます。(※そういった用途のプラグインをインストールすれば可能です)アクセス制限の方法は簡単で、.htaccessで制限します。Basic認証などでもいいですが、より強力に特定IPからのみ許可するようにします。wp-login.phpのアクセス制限wp-login.phpのあるディレクトリに次の内容の.htaccessを設置します。#許可するIPアドレス</Files>wp-adminのアクセス制限wp-adminディレクトリの中に、次の内容の.htaccessを設置します。#許可するIPアドレス2.wp-config.phpへのアクセス制限wp-config.phpには、データベースへの接続情報なども書かれているので、Apacheの設定に不備があった場合、他のユーザからファイルの中身を閲覧できてしまいます。その為、ファイルの権限をデフォルトから変更します。デフォルトでは、他のユーザも参照できる権限になっているので、該当ユーザしか見れないようにします。SSHなどでサーバにログインできる場合は、WordPressのインストールディレクトリに移動して、以下のコマンドを実行します。/home/user/wp-config.phpSSH接続できない場合は、FTPソフトでパーミッションを「404」に修正します。※他には、Ver2.6よりwp-config.phpを移動させることが出来るので、非公開ディレクトリへ移動させるということもできます。階層は1つ上までで、それ以上の上位の階層は動作が保証されていません。ユーザ権限によっては、上位ディレクトリにアクセスできない場合もあります。3.ログインパスワードを複雑にするこれは程度の問題になりますが、類推しやすいものは避けましょう。ブルートフォースなどでパスワード類推が行われる場合、機械的に行われることを前提にすると、アタック用にパスワードファイルが用意されます。ランダムな文字列で作られたパスワードに対してアタックしようと思えば、全てのパターンを網羅したパスワードファイルが必要です。ところが、パスワードが複雑になればなるほど、パスワードファイルのサイズが肥大化してしまいます。英小文字と数字で8桁の全てのパスワードを書いたファイルを作ると、ファイルサイズが20TBを超えてしまいます。数字で8桁」のランダム文字列にしましょう。ポイントは、完全にランダム文字列にすることです。「Password」とか「a1b2c3d4」というような類推しやすいパスワードは絶対にやめましょう!以下のようなパスワード作成ツールを使うと簡単です。http://www.graviness.com/temp/pw_creator/4.readme.htmlを削除するWordPressをインストールした同じ階層にあるreadme.htmlを削除します。このファイルは標準で設置されてしまいますが、ファイルにWordPressのバージョンが書かれています。WordPressのバージョンを調べる方法は、他にもいくつかありますが、プラグインのソースコードを変更したりする必要があるので、今回は対象外とします。5.テーマやプラグイン利用のポリシーを決めるテーマやプラグインをインストールする場合は、公式サイト「wordpress.org」からインストールするようにしましょう。公式のwordpress.orgではなく、個人サイトなどからインストールすることもあると思いますが、中には不正なコードによりWordPress自体のコードが書き換えられたりするものもあり、どんな影響が出るか分かりません。逆に公式のものであれば、自動アップデートが利用できたりしますし、しっかり内容レビューを受けたもののみが公開されているので比較的安心です。WordPressのセキュリティについて簡単に紹介しました。次も引き続きWordPressのセキュリティを紹介しようと思います。更新予定は、10月中旬頃です。BalancerのLoadBalancerNameの説明がよく分からない。その1)Gitのクライアント側で、リモートのmaster,developヘのpushを阻止する。■お手軽な冗長構成の構築NRPEを利用した踏み台サーバ経由の監視Windows7環境にLinuxコマンド環境を作ってみた。#2EC2サーバのトラフィックをレスポンシブに見る方法NginxのチューニングとFastCGIcacheの設定Ghostを利用してみた。WrodPressを動かそうGHOSTをインストールしてみた。FAX:06-6231-8897認証範囲はこちらをご覧ください。