contentEC2上のWordPressの乗っ取りを放置していたら不正利用のメールが来た話WordPressAWSEC2AbuseはじめにWordPressの勉強に、AWSハンズオンのWordPressインスタンスをそのまま利用していました。その後、WordPressにログインすると、身に覚えのない英語の記事が増えていました。その後、放置していたら、AWSから、EC2の不正利用レポートが届きました。2016.09Apache(httpd)のバージョン2.2.34MySQLのバージョン5.5.62PHPのバージョン5.3.29WordPressのバージョン4.7.2WordPressの乗っ取りWordPressに1週間ぶりにログインすると、見慣れない記事が増えていました。Boneをインストールし、ログイン履歴を確認すると、インストールして約20分ほどで8件のアタック履歴が出てきました。Blockを使用してJPドメイン以外の閲覧と管理画面のログインを禁止しました。その後、自分の元記事のページを見てみると、不正スクリプトや別のページにジャンプさせる命令が記述されていました。身に覚えのないスクリプトを削除した後、一安心と思い放置していました。Reportという件名のメールが届きました。自分が使用しているインスタンスのIPアドレスから、ブルートフォース攻撃とDoS攻撃をしている報告が来ました。EC2.(該当のEC2を停止&削除しました)と送信しました。その後、解決したとメールが届いたので一安心です。反省点インスタンスのセキュリティグループ勉強用で自分しか使わないのにSSHとHTTPが全世界に公開(0.0.0.0/0)していたので、マイIPに設定する。改ざんされていた時点でインスタンスを停止するWordPressの改ざんが確認された時点で該当のインスタンスを削除し、新しく作り直すことをしていれば不正利用メールが来なかったと思います。ソフトウェアのアップデートをして最新バージョンにする使用していたWordPressのバージョンが古く、脆弱性から踏み台にされたので、脆弱性を減らすためにも、ソフトウェアのアップデートは重要だと思いました。WordPressのセキュリティプラグインを導入するダッシュボードにログインするアドレスを変更したり、ログイン時にCAPTCHA認証が必要にしてボット攻撃に抵抗する必要があります。パスワードを簡単なものにしない最初に指定されている複雑なパスワードをそのまま使用するほうが、セキュリティが高い気がします。さいごに定期的に自分のサイトやインスタンスを確認して、改ざんや脆弱性がないかを確認する事が重要だと思いました。アタックはボットで無差別に行われているので、常にソフトウェアを最新の状態にして、脆弱性を減らすことが重要です。upLoginユーザーは見つかりませんでした。