WordPressサイトの多層防御とは?強固なセキュリティを実現する7つの対策を徹底解説

多層防御(Layered Defense)とは:先日、WordPressで構築されたチケット販売サイトがハッキングされ、顧客や従業員の個人情報が盗まれ、流出したという事件が明らかになりました。これは決して珍しいことではありません。数ヶ月ごとに、多数のウェブサイトを標的とした大規模な攻撃や、大手サイトの侵害、バックドアの埋め込み、悪意のあるサイトへのリダイレクトなどの被害が報告されています。

これはあなたにとって何を意味するのでしょうか?

つまり、WordPressサイトのセキュリティに真剣に向き合うべきだということです。では、本当の問題は何なのでしょうか?なぜウェブサイトはこれほど頻繁にセキュリティの脅威にさらされているのでしょうか?WordPressは世界で最も利用されているウェブサイト構築プラットフォームなので、セキュリティも重視されていると考えられます。実際、その通りです。WordPress自体はかなり安全なCMSですが、単独で機能しているわけではありません。WordPressはテーマやプラグインといったアドオンを許可しており、これらによって自分の思い通りのサイトを構築できます。しかし、テーマやプラグインの脆弱性こそが、サイトへのハッキングの主な原因となっているのです。

したがって、WordPressサイトのセキュリティは多くの要因に依存しており、絶対的なものではありません。だからこそ、セキュリティツールを組み込んだ多層的なセキュリティ戦略が必要になるのです。

そもそも多層防御とは何か?

誰も完全なセキュリティを保証することはできません。セキュリティプラグインは、セキュリティ侵害のリスクを減らすことしかできません。最善の防御アプローチこそが、多層防御戦略なのです。

これはお城を守ることに例えられます。王様は城の奥深くに座り、侵略を恐れています。彼を守っているのは、居室の外に立つ武装した衛兵、城壁、そして城門の外に控える軍隊です。侵略者が王様にたどり着くには、これらすべての防護壁を突破しなければなりません。多層防御とは、このような防護壁のように、さまざまなポイントでハッキングの試みを阻止するために構築される仕組みなのです。

なぜ多層防御が必要なのか?

かつては、ウェブサイトがハッキングされても、いくつかの場所を調べてマルウェアを見つけ出し、除去すれば済みました。ハッキングされたWordPressサイトのスキャンとクリーニングは簡単だったのです。しかし、ハッカーたちは進化を続け、サイトを侵害し、さらにはマルウェアを隠蔽する手法まで編み出しました。こうした状況には、優れたセキュリティアプローチが求められます。多層防御とは、セキュリティ攻撃を緩和するために設計された、重複した保護(=多層防御)を提供する戦略なのです。

WordPressサイトの多層防御を構成する要素とは?

WordPressサイトに多層的な保護を提供するために、以下のような対策を実施できます。まずWordPressセキュリティ監査を実行し、その上で次の措置を講じましょう。

1. ファイアウォールによる防御

多層防御を構成する最初の要素の一つが、ファイアウォールの利用です。WordPressサイトにおいて、ファイアウォールの役割は一つだけ——サイトへの incoming トラフィックをフィルタリングすることです。ファイアウォールには主に3つの種類があります。

• プラグイン型ファイアウォール:他のプラグインと同じようにサイトにインストールして設定できます。あらかじめ定義されたルールに基づき、ページへのリクエストが悪意あるものかどうかを判断します。
• クラウド型ファイアウォール:訪問者からサイトへのすべてのリクエストを傍受し、さまざまな技術を駆使して、そのリクエストが正当なものか悪意あるものかを判定します。
• ホスティング会社内蔵型ファイアウォール:一部のWebホストは、自社のインフラと、ひいてはあなたのサイトを保護するために組み込まれたファイアウォールを提供しています。

どのファイアウォールを選ぶかは、求めるセキュリティの種類と、どこにファイアウォールを配置したいかによって異なります。機械学習のようなAI機能を備えたものもあります。

2. SSL証明書のインストール

SSL証明書は、サーバーとサイトを閲覧するブラウザ間に暗号化された通信路を作ります。「S」はSecurity(セキュリティ)を表し、SSL証明書は決済情報などの機密データを送信する際に使用されます。以前は、SSL証明書はログインページや決済ページなどに限られていました。近年では、Googleがより安全なウェブを目指す取り組みを推進したことで、多くのサイトがSSL証明書を導入するようになりました。Googleは検索順位のアルゴリズムを公表していませんが、SSL証明書がランキング要素の一つであることは明言しています。

サイトに導入できる主なSSL証明書の種類は以下の通りです。

• 無料SSL:Webホスティング会社が提供する証明書です。ただし、手動での更新が必要など、いくつかの条件が付くのが一般的です。
• ドメイン認証SSL(DV):最も低価格帯のSSL証明書の一つで、1つのドメインのみに導入できます。
• 組織認証SSL(OV):書類提出や審査が必要となる、強化版のSSL証明書です。

どのSSL証明書を選んでも、多層防御へ一歩近づくことができます。

3. WordPressログインページの保護

WordPressのログインページは、侵入者からダッシュボードを守る関所です。だからこそ、ログインページはサイトの中でも最も攻撃されやすい部分の一つなのです。ハッカーは、よく使われるユーザー名とパスワードの組み合わせを総当たりで試すボットをプログラムし、サイトへの侵入を試みます。これを防ぐには、まず強力なパスワードを作成し、次にログイン保護機能を利用しましょう。Brute Force Login Protectionのような専用サービスを使うこともできますし、MalCareのようにファイアウォール保護を含む包括的なセキュリティ対策を提供するソリューションを導入することも可能です。

MalCareのWordPressファイアウォールは2つの役割を果たします。1つ目は、アクセス先のサイトに害を及ぼすことで知られる数十万件の悪意あるIPアドレスを追跡し、それらをマークしてサイトへの侵入を防ぐこと。2つ目は、3回連続でログインに失敗した後にCAPTCHAを表示することで、ログインページを保護することです。

4. サイトのハードニング(強化)

サイトのハードニングは、多層防御の重要な部分を占めます。現在のサイバーセキュリティ情勢を踏まえ、WordPress公式もユーザーにサイトのハードニングを推奨しています。ただし、WPの推奨事項を実践するには、ある程度の技術的知識が必要です。MalCareのような包括的なセキュリティサービスなら、数クリックだけでサイトをハードニングできます。

例えば、信頼できないフォルダでのPHP実行をブロックすれば、TimThumb/MailPoet型の攻撃を防げます。プラグインやテーマの新規インストールを禁止するような対策は、万が一サイトがハッキングされた場合に備えてサイトをロックする効果があります。ファイルエディターを無効化すれば、サイトへのアクセス権を得た者でもファイルを改ざんできなくなります。また、wp-config.phpのセキュリティキーを変更すればすべてのCookieが無効化され、パスワードやアクティベーションキーをリセットすれば、不正なアクセス者を締め出せます。

5. プラグイン・テーマ・WordPressコアの定期更新

WordPressサイトが侵害されるケースの大半では、プラグインとテーマが主犯格です。開発者が脆弱性を発見すると、パッチを作成してアップデートを公開します。しかし、サイト運営者がそのアップデートを無視すると、脆弱性は放置されたままになります。そしてそれが、ハッカーにとっての侵入経路となるのです。だからこそ、サイトを定期的に更新することが最優先事項なのです。

小規模サイトの運営者は、セキュリティ対策をおろそかにしがちです。「トラフィックの少ない取るに足らない自分のサイトなんて、ハッカーは狙わない」と考えているのです。しかし、ハッカーがサイトを攻撃する理由はトラフィックだけではありません。むしろ、セキュリティ意識が甘い傾向があるため、小規模サイトの方が大規模サイトより攻撃しやすい標的になりがちです。要するに、サイトの規模に関係なく、アップデートを真剣に受け止めることが、サイトを安全に保つ鍵なのです。

6. 定期的なバックアップ

週に1回投稿する場合でも毎日投稿する場合でも、バックアップの取得は最後の砦となります。ハッキングされた際、ハッカーがコンテンツの一部を削除してしまうこともあります。頻繁に更新しているサイトにとって、そんな事態は悪夢以外の何物でもありません。データ損失を避けるためにも、サイトの定期バックアップを強くおすすめします。

手動でのバックアップは手間がかかるうえ、多くのリスクを伴います。自動化されていないため、バックアップを忘れてしまうこともあるでしょう。バックアップを安全に保管するのも一苦労です。外付けHDDやUSBメモリは故障が知られていますし、ローカルストレージはマルウェアに感染するリスクがあります。Webホスティングサービスがバックアップを提供している場合もありますが、すべてのホストが毎日のバックアップを行っているわけではありません。ホストのバックアップに頼る前に、しっかり調査し、必要ならサポートチームに問い合わせましょう。有料オプションとしてバックアップを提供しているホストもあります。さらに、BlogVaultのようなWordPressバックアップサービスなら、サイトのための完全なバックアップソリューションを、豊富な機能と柔軟性とともに提供してくれます。

7. セキュリティサービスの活用

優れた多次元的なセキュリティサービスを導入すれば、サイトを守れるだけでなく、多くの手間からも解放されます。WordPressサイトの運営では、さまざまな問題に直面します。ハッキングの試みやマルウェア感染はもちろんのこと、ホスティングの問題、古いプラグインやテーマなども挙げられます。こうした問題に対処するには、優れたセキュリティプラグインが、既知のマルウェアだけでなく複雑な未知のマルウェアも検出できるよう、毎日自動スキャンを実行できる必要があります。また、優れたマルウェアクリーナーを備え、ユーザーがサイトのハードニングに必要な措置を講じられるようにすべきです。

MalCareのような総合セキュリティサービスは、WordPressサイトに多層防御を提供します。プラグイン、テーマ、WordPressコアの更新管理まで可能です。もしサイトのセキュリティ管理を丸ごとチームに任せたいのであれば、WP BuffsやGoWPによるホワイトラベルのWordPressメンテナンス・サポートサービスがまさにうってつけでしょう。1サイトでも1000サイトでも、更新、セキュリティ、サイト速度、継続的な編集作業まで面倒を見てくれます。

まとめ:多層防御のポイント

多層防御を構成する要素を振り返りましょう。

• ファイアウォールによる防御
• SSL証明書のインストール
• WordPressログインページの保護
• サイトのハードニング(強化)
• プラグイン・テーマ・WordPressコアの定期更新
• 定期的なバックアップ
• セキュリティサービスの活用

この記事が、WordPressサイトのセキュリティ対策の方向性を示す一助となれば幸いです。ご覧いただきありがとうございました。多層防御についてご質問がある場合は、ぜひメールでお問い合わせください。