【セキュリティ】WordPressが狙われる理由と、最低限の防御

レン

VPSにWordPress入れたよ！これでブログが書ける！

ウィルスン

WordPress…ワタシにとって最も『効率の良い』標的だ。世界のサイトの相当な割合がWordPressで動いている。つまり、1つの攻撃手法を用意すれば、それが無数のサイトに通用するのだよ。だから狙う価値がある。

レン

人気だからこそ狙われるのか…！

プロクラ

その通り。WordPress自体が脆弱なわけじゃなくて、利用者が多いから攻撃の対象になりやすいんだ。逆に言えば、基本的な対策をしておけば、狙われても弾ける。

1. ログイン画面を守る

• 管理者のユーザー名を admin にしない（総当たりの第一候補）
• 強固なパスワード + 二段階認証プラグインの導入
• ログイン試行回数を制限する（Fail2banのwordpress jailも有効）
• 可能なら wp-login.php へのアクセスをIP制限する

2. プラグイン・テーマの管理

プロクラ

実は、WordPress本体よりもプラグイン経由の侵入の方がずっと多いんだ。使っていないプラグインは無効化ではなく削除する。更新が長期間止まっているプラグインは、脆弱性が放置されている可能性が高いから避けよう。

ウィルスン

そう、ワタシが探すのは本体ではなくプラグインの穴だ。『3年前から更新されていないプラグイン』を見つけたときの喜びといったら…！

3. その他の基本

• 本体・プラグイン・テーマを常に最新に保つ（自動更新の有効化）
• wp-config.php の権限を絞る（600）
• 定期バックアップ（改ざんされたときに戻せる状態にしておく）
• SSL/TLSを必ず有効化する

4. 入られた前提の備え

WordPressが狙われるのは、使っている人が多く、しかも設置したまま放置されがちだからです。攻撃する側は、既知の弱点を持つプラグインを機械的に探しています。個別に狙われているわけではないので、有名でないサイトでも同じように試されます。入られない努力と並行して、入られたときに戻せる準備をしておいてください。

プロクラ

対策をしても、プラグイン経由の侵入は起こりうる。だから、戻せる用意と気づける用意もセットで持っておこう。

• バックアップは別の場所に、世代を残して取る
• ファイルの更新日時が不自然に変わっていないか、時々確認する
• 身に覚えのない管理者ユーザーが増えていないか確認する
• 検索結果に、自分が作っていないページが出ていないか見る

軽くすることが守りにもなる

プロクラ

プラグインを減らすと、表示も速くなるし、狙われる入口も減る。同じ機能が本体やテーマで実現できるなら、そちらを選ぶほうがいい。「便利そうだから入れる」を続けると、数年後に手が付けられなくなるよ。

• 使っていないプラグイン・テーマは無効化ではなく削除する
• 同じ目的のプラグインを複数入れない
• 更新が長期間止まっているものは、代わりを探す
• 管理画面のログイン先を、公開の場所から分かりにくくするのは補助的な対策

レン

プラグインを減らすのが、速さにも守りにも効くんだね。