itLinkedInPocketCopyこのアカスブログはWordPressというブログシステムを利用しています。WordPressは有名なブログシステムのため常に外(主に海外)から不正なアクセスがあります。WordPressを導入したシステムに必要最低限なセキュリティ対策を書いていこうと思います。おすすめ記事WordPressへの対策WEBサーバのアクセス制限wp-login.phpブログシステムにログインする際にアクセスされるファイルです。このファイルへのアクセスはIPアドレスなどでアクセス制限をかけておいた方がいいでしょう。Login』などのプラグインを導入してログインページのURLをランダムなものに変更して分かりにくくしておきましょう。...}などのphpスクリプト起動用のlocation設定の評価順位を考慮して下さい。場合によってはアクセス制限用location設定の中に、追加でphpスクリプト起動用の設定が必要になるかもしれません。fastcgi_params;}wp-config.phpWordPressの設定ファイルです。通常直接アクセスされて実行されても問題は起こりませんが、設定ミスなどでphpスクリプトが実行されない場合、中身がそのまま表示されてしまいます。いずれにしても直接外部からアクセスできてしまうのは好ましくないのでアクセスは禁止しておきましょう。以下はNginxの例です。}xmlrpc.phpWordPressの記事を外部ツールなどを使用して投稿する時に必要となるファイルです。wp-login.phpと同じように頻繁に不正アタックを受けますので、必要ないのであればアクセスを禁止しておきましょう。xmlrpc機能を使用している方はIPなどでアクセス制限をかけておくのが望ましいと思います。色々な場所からツールで記事を投稿しているのでxmlrpc.phpファイルへのアクセスは必要でありIPでのアクセス制限が難しい方はセキュリティ的にかなり危険だと思います。wp-adminディレクトリ以下ブログのシステムにログインした後に使用されるファイル群です。基本的にこのディレクトリ以下に対してはIPアドレスなどでアクセス制限をかけておいた方が良いと思います。Nginxで制限をかける方はlocationの優先順位に気を付けて設定を行って下さい。脆弱性が発見されて対応されることがありますので、WordPress本体やプラグイン、テーマなどは常に更新しておくことをおすすめします。脆弱性をそのままにしておくとWordPressを乗っ取られてしまう危険性が非常に高くなります。サーバOSへの対策ポートへのアクセス制限サーバで動いているサービスが使用しているポートへのアクセス制限をかけておきましょう。ロードバランサーを通してWEBサーバへアクセスする構成になっているのであれば、WEBサーバへの通常アクセスはロードバランサーからのアクセスに制限するのが良いでしょう。サーバへのSSHポートへのアクセスもIP制限するか、最低限ポート番号を変更しておきましょう。クラウド上のサーバであればサーバのサービスごとにアクセス制限をかけなくても、インスタンスへの通信を制限する機能(AWSでいうとセキュリティグループの設定)がありますので、そちらでまとめてアクセス制限をかけるのが楽だと思います。常にシステムは最新のものに更新しておきましょう。ほとんどの方はパッケージ管理システムを用いて必要なサービスを導入していると思いますので、導入したパッケージに更新がないか定期的にチェックするのが良いと思います。システム導入時のままシステムを放置することのないように気を付けましょう。まとめシステムを乗っ取られてからでは遅いですので、セキュリティ対策は最初から意識しておきましょう。脆弱性対策のためシステムのメンテナンスは怠らないようにしましょう。itLinkedInPocketCopy社長に向かない人の4つの特徴Nextゲーム業界に向いてる人の4つの特徴Prev関連記事プログラミングに必要な力は大きく3つプログラマーがプログラミングを行う上で必要になる力は大きく3つあると思います。...7payに学ぶセキュリティを意識した設計の大切さ7payの不正利用のニュースが世間で話題になっています。...このアカスブログは全てリンクフリーです。無断リンクして頂いて全く問題ございません。(※転載は禁止)相互リンク希望の方は「お問合せ」かTwitterのDMにご連絡ください。