ハッカーからウェブサイトを守る方法とは?【サイト保護の完全ガイド】

あなたのウェブサイトは、あなたにとっても、サイトを訪れる訪問者にとっても、そして何よりハッカーにとっても価値あるものです。

悪意ある攻撃に対する堅牢な防御を築くためには、ハッカーからウェブサイトを守る方法について、無駄のない実践的なガイドが必要です。

まさにこの記事が、そのハッカー対策ガイドです。

なぜそれほど自信を持って言えるのか?私たちMalCareは25,000以上のウェブサイトを保護しており、サポートチームは毎日、サイトから最も発見しにくいマルウェアを見つけ出しています。ハッカーや悪意ある攻撃からウェブサイトを守る方法については、私たちが誰よりもよく知っているのです。

TL;DR(要点): 最良のセキュリティ対策は、自動運転で動作するセキュリティプラグインを導入することです。さらに、本記事で紹介するすべてのセキュリティ対策を実施することをおすすめします。

始める前に

ハッカーからウェブサイトを守るためのセキュリティ対策の長いリストを目にすると、少し圧倒されてしまうかもしれません。それは分かっています。そこで、これらの対策をより実践しやすくするために、このハッカー対策リストは取り組みやすさの順で整理しました。この記事をブックマークして、少しずつ進めながら何度も立ち返って読んでいただければと思います。

このリストには、さまざまな種類の対策が含まれています。「やるべきこと」「やってはいけないこと」、そして「誤解されがちな俗説の検証」などです。

この記事の目的は、あちこちに散らばる雑多な情報を整理し、セキュリティへの理解を深めることです。しかし、最も重要なポイントは、ハッカーやウイルスからウェブサイトを守ることは一度きりの作業ではなく、継続的な取り組みであるという点です。これについては後ほど詳しく説明します。

今すぐできる!ハッカーからサイトを守る6つの基本ステップ

このセクションの対策は最も簡単に実施できるもので、正直なところ、これだけでかなりしっかりとした防御体制が整います。一見すると技術的で高度に思えるかもしれませんが、エンジニアではない人間からの保証として言わせてください——必ずできます!

1. 優れたファイアウォールを導入する

ハッカーは手作業でウェブサイトに侵入しているわけではありません。優れたハッカーは、脆弱なサイトを嗅ぎつけて攻撃プロセスの大部分を自動化するボットを作成します。ボットは非常に限定的な動作をするようにプログラムされており、自律的な判断力はありません。

ファイアウォールの核心は、悪意あるリクエストを識別するコードです。ウェブサイトへのすべての情報リクエストは、まずファイアウォールを通過します。ファイアウォールがそのリクエストを悪意のあるもの、または悪意が知られているIPアドレスからのものと判定した場合、リクエストは処理される代わりにブロックされます。

ファイアウォールの設定変更は避ける

一部のファイアウォールでは設定を変更できますが、正真正銘のウェブサイトセキュリティの専門家でない限り、おすすめしません。ファイアウォールのルールは、大規模なセキュリティ調査と数多くのマルウェア除去の実績をもとに作成されています。

たとえば、多くのWordPressセキュリティプラグインには、管理者権限のない人がwp-config.phpファイルにアクセスできないようにするルールが備わっています。wp-config.phpファイルは機密性の高い情報を多く含むWordPressのコアファイルです。そこでファイアウォールは、サイトへのすべてのリクエストをチェックし、「wp-config.php」というテキストが含まれていないか確認します。このルールがトリガーされると、リクエストはファイアウォールによって拒否されます。

また、脆弱性が発見されると、ハッカーは可能な限り多くのサイトを攻撃しようとするため、ハッカーのIPアドレスが明らかになります。WordPressのファイアウォールは、こうした攻撃に基づいて悪意あるIPアドレスを事前に追跡・ブロックします。

もちろん、100%侵入不可能なファイアウォールは存在しません。しかし、ほとんどの悪意あるソフトウェアをブロックするファイアウォールがある方が、まったくないよりはるかに良いのは言うまでもありません。ただし、すべてのファイアウォールが同じわけではなく、効果に大きな差があります。そこで私たちは、選びやすいよう最高のWordPressファイアウォールのリストを作成しました。

2. 強力なパスワードポリシーを設け、パスワード管理ツールを使う

私たちは10年以上WordPressセキュリティに携わってきました。パスワードが弱いだけでハッキングされたウェブサイトがどれほど多いか、知れば驚くことでしょう。

推測しやすいパスワードは、数十万ものサイトで使われています。MalCareでマルウェアを除去したハッキング被害サイトのうち、5%が弱いパスワードを使用していました。

ハッカーは「レインボーテーブル」と呼ばれる、そうしたパスワードのリストを持っており、辞書のように使えるよう常に更大きなテーブルを生成しています。このテーブルを使うことで、ハッカーは「辞書攻撃(dictionary attack)」と呼ばれる攻撃を仕掛けることができます。

辞書攻撃は主にブルートフォース攻撃(総当たり攻撃)の一種ですが、パスワードを破る手段はそれだけではありません。だからこそ、強力なパスワードが推奨されるのです。

強力なパスワードとは、英字・数字・記号を組み合わせたものです。一般的でない組み合わせは解読が難しく、ブルートフォースアルゴリズムでも解読に何年もかかることがあります。また、パスワードは長いほど解読が難しくなります。

プラグインを使えば、WordPressの全ユーザーに強力なパスワードを強制させることもできます。「Password Policies Manager for WordPress」などのプラグインを使えば、すべてのユーザーがアカウント作成時に強力なパスワードを設定するよう義務付けるポリシーを作成できます。

3. SSLを導入し、サイトでHTTPSを使用する

SSL(Secure Sockets Layer)証明書は、ウェブサイトとの間のすべての通信を暗号化するセキュリティプロトコルです。導入すれば、仮にハッカーがサイトからデータを傍受しても、その内容を理解することはできません。

SSL証明書を正しく導入する方法については、専用のガイドを丸ごと作成しています。大げさな話ではありません。今すぐサイトにSSL証明書を導入しましょう。おまけとして、SEO上のメリットも得られます。

4. 管理者ユーザーを慎重に精査する

多くの人は、ハッカーはサイトにマルウェアを仕掛けて去っていくだけだと考えています。しかしそれは誤りです。本当に賢いハッカーは、管理者権限を持つ「ゴーストアカウント」を作成し、好きなときにいつでも再び侵入できるようにします。

定期的にWordPressユーザーを見直し、不要なユーザーを削除することで、この問題は解決できます。

大規模なチームでサイトを運営している場合、時間のかかる作業になるかもしれません。しかし、その価値は十分にあります。まず、サイトに貢献しなくなったユーザーを削除することから始めましょう。次に、強力なパスワードを必須にすることで、ライターや編集者がうっかりサイトを危険にさらすことを防ぎます。

あなた自身がどれほど優れたパスワード管理をしていても、管理者の一人がフィッシング詐欺の被害に遭えば、あなたのウェブサイトにも影響が及びます。

WordPressのユーザー権限グループ(ロール)を最大限活用し、アクセス権限を必要最小限に制限しましょう。たとえば、記事の執筆とアップロードだけを行う人には「Admin(管理者)」ではなく「Author(投稿者)」権限を与えます。WordPressのロールに関する記事を読めば、面倒なく適切な権限設定を行う方法がわかります。

5. アクティビティログを活用する

サイト上で予期しない出来事を目にすることは、さまざまな場面でタイムリーな警鐘となります。たとえば、自分の知らないうちに管理者アカウントが作成されたり、(セキュリティ系のプラグインなどが)合意なく無効化されたりするケースです。

これらは本来正当なサイト管理操作ですが、不正アクセスの兆候である可能性もあります。アクティビティログがあれば、サイトで何が起きているかを把握でき、それらの操作が正当なものかどうかを判断できます。

このひとつの習慣が、私たちを何度も危機から救ってくれました。

ほとんどのハッカーは捕まりないよう極めて慎重に動きます。捕まらない限りサイトを支配し続けられるからです。アクティビティログは変化を知らせてくれるため、不正な活動を早期の段階で食い止めることができます。

MalCareにはダッシュボードにアクティビティログが標準搭載されており、特別な設定は一切不要です。

6. 定期的にバックアップを取る

バックアップの取得は、おそらく最も見落とされがちな対策のひとつです。毎日バックアップを取る習慣をつければ、壊滅的な障害が発生した場合でも、素早くサイトを復元できます。

信頼できる優れたバックアッププラグインを選びましょう。手動バックアップは、相当な専門知識がないと正確に実行するのが難しいからです。

実際、この記事の手順を始める前に、まずサイトの完全バックアップを取得し、毎日の自動バックアップを設定してください。サイトに変更を加える際は、常に良い習慣となります。

サイト保護を次のレベルへ引き上げる5つの中級ステップ

前述の基本ステップは良い出発点であり、設定にもそれほど時間はかかりません。このセクションでは、二要素認証やログイン試行回数の制限を除き、継続的なセキュリティ対策を紹介します。

冒頭でも述べたように、ウェブサイトのセキュリティは正しい捉え方をすることが重要です。一度きりの設定や作業ではなく、サイト運営の日常的な一部として考えるべきものなのです。

1. すべてを最新の状態に更新する

ハッキングの90%以上は、ハッカーがテーマやプラグインの脆弱性を特定し、複数のサイトでそれを悪用することによって発生しています。

では、脆弱性とは何でしょうか?テーマやプラグインはソフトウェアです。他のあらゆるソフトウェアと同様、バグを必ず含むコードの集合体です。バグの中には比較的無害で、更新時に軽微な不具合を起こす程度のものもあります。しかし、中にはコードを悪用可能な状態にしてしまうものもあります。

脆弱性が発見されると(主にセキュリティ研究者によって)、プラグイン開発者に通知され、パッチ(修正プログラム)が提供されます。責任ある開発者は修正版をリリースし、そのプラグインを導入しているサイトには、まもなく更新版が利用可能になった旨が表示されます。

修正が公開されると、脆弱性は公表されます。もしセキュリティ修正を適用済みのサイトであれば、素晴らしいことです。しかし未更新の場合、あなたのサイトは「小遣い稼ぎ」を狙うアマチュアハッカー(script kiddiesと呼ばれます)の格好の標的となります。

したがって、WordPress本体からプラグインまで、すべてを常に最新の状態に保つのがベストです。更新によってサイトが予期せぬ形で壊れてしまうこともあることは承知しています。その不便さを回避するために、ステージング環境を使って安全に更新しましょう。ただし、必ず更新してください。

WordPressサイトを安全に、最小限の中断で更新するためのガイドも作成しています。

2. 良質なテーマとプラグインを選ぶ

前のセクションで、脆弱性にパッチを当てる更新を公開する開発者を「責任感のある」と表現したことに気づいたでしょうか?要するに、優れた開発者は自社のソフトウェアを積極的にメンテナンスしているのです。

しかし残念ながら、これは決して普遍的な状況ではありません。悲しいことですが、事実です。

だからこそ、私たちはサイトに良質なプラグインとテーマを使うことを強く推奨します。もちろん「良質」という言葉は相対的でやや曖昧です。そこで、プラグインを選ぶ際に考慮すべき要素を以下に挙げます。

• 定期更新: 定期的に更新をリリースし、発見された脆弱性を継続的に修正しているプラグインやテーマを選びましょう。これは開発者が自社製品のセキュリティリスクに真剣に向き合っている証拠です。

• 有効インストール数: 数百万規模の人気プラグインは、常に狙われる標的になりやすい傾向があります。Contact Form 7はその典型例です。一方で、人気プラグインは通常、より大きく優れた開発チームによって改善されているため、むしろ安全性が高い場合もあります。十分な調査を行ったうえで、賢く選びましょう。

• 信頼性: 誰も聞いたことのないフリーランスが開発したプラグインやテーマの導入は避けましょう。評判の高い開発者やブランドによるものだけを使ってください。マーケットプレイスで購入する場合は、マーケットプレイスそのものだけでなく、開発者自身を信頼できるか確認しましょう。

• 有料版: 一般的に、有料プラグインのベンダーは脆弱性の発見と修正により多くの時間と資金を投じています。予算が非常に厳しいなら無料プラグインの方が合理的ですが、サイトのセキュリティが心配なら、プレミアムテーマやプラグインの使用を強くおすすめします。

余談ですが、null化(nulled)されたプラグインやテーマを使いたくなる诱惑もあるかもしれません。絶対にやめてください。リスクに見合う価値はありません。

null化ソフトウェアはマルウェアを拡散します。だからこそ無料でプレミアム製品が手に入るのです。仮にzipファイルに目立った悪意あるコードが含まれていなかったとしても、null化プラグインやテーマのユーザーはソフトウェアを更新できないことを知っています。前のセクションで述べたように、これはサイトをハッキングに対して脆弱なまま放置することを意味します。

3. 二要素認証(2FA)を導入する

二要素認証(2FA)は、パスワードに加えて、別のデバイスやトークンへのアクセスをログイン時に要求するセキュリティ対策です。

2FAにはTOTP(時間ベースのワンタイムパスワード)やHOTP(HMACベースのワンタイムパスワード)など、いくつかのプロトコルがあります。それぞれに長所と短所がありますが、ログインセキュリティの目的においては、その詳細に踏み込む必要はありません。

ログインページに2FAを追加できる有料・無料のアプリが多数あり、主要なプロトコルに対応しています。詳しくは、WordPress 2FAの設定方法を解説した記事をご覧ください。サイトに多くの投稿者がいる場合は、このセキュリティ機能を導入する価値が確実にあります。

4. 信頼できるWebホスティングを選ぶ

多くの人は、サイトのセキュリティまでホスティング業者の責任だと考えがちです。しかし、サイトがハッキングされたとき、実際にホスト側が原因であるケースは稀です。むしろ、ホスティング業者が原因となるセキュリティ侵害が発生した場合は影響は甚大で、数千のサイトが被害を受けます。

多くの場合は逆で、優れたWebホストこそが、ハッカーからサイトを守る重要な存在なのです。したがって、最も安全なホスティングサービスを選ぶべきです。優れたホストを選ぶ参考として、私たちがまとめた最高のWordPressホスティングプロバイダーのリストをご覧ください。

5. ログイン試行回数を制限する

ブルートフォース攻撃のボットや攻撃者を簡単に防ぐ方法のひとつが、3回失敗したIPアドレスのアクセスを拒否することです。MalCareのファイアウォールにはこの機能が統合されています。ログイン試行回数の制限は、デメリットをほとんど伴わずにサイトを保護できる、非常に効果的な方法です。

WordPressの導入時には「Limit Loginizer」などのプラグインも使えます。ただし、自分でパスワードを3回間違えた場合は、ホスティング業者に依頼してIPアドレスのブロックを解除してもらう必要がある点に注意してください。

サイト保護を本気で強化する2つの上級ステップ

ここまでのステップを完了できていれば、ハッカーからの防御に関してはかなり安心できる状態です。以下の対策も効果的ですが、コードを少し触る必要があります。

繰り返しになりますが、ほとんどのハッキングは脆弱性が原因で発生します。したがって、脆弱性への対処だけでも、ハッカーやウイルスからサイトを十分に守ることができます。以下のステップを自分で試すのに不安がある場合は、無視しても構いませんし、開発者に実装を依頼してもよいでしょう。いずれにせよ、あなたのサイトはハッカーから十分に守られています。

1. アップロードフォルダでのPHP実行をブロックする

「リモートコード実行(RCE)」と呼ばれる一連の脆弱性があり、ハッカーはこれを利用して悪意あるPHPコードをUploadsフォルダにアップロードできます。通常、Uploadsフォルダには実行可能なコードは置かず、メディアファイルを保存する場所です。しかしUploadsフォルダの仕様上、ファイルやフォルダを自由に格納できてしまうのです。

コードがサイトにアップロードされると、ハッカーはそれを実行してサイトを事実上掌握できます。しかし、UploadsフォルダでのPHP実行をブロックすれば、そもそも攻撃が成立しなくなります。

MalCareを使用していれば、WordPressハードニング(強化)対策の一部として、クリックひとつでUploadsフォルダでのPHP実行をブロックできます。

2. WordPressセキュリティキーを変更する

最近ハッキング被害に遭った場合は、WordPressセキュリティキーを変更しましょう。これは、ユーザー名とパスワードとともにハッシュ化され、ユーザーのログインセッションを管理するために使われる文字列です。

この文字列は任意の値に設定できますが、パスワードと同様、ランダムに生成された英数字の文字列を使うのがベストです。セキュリティキーの詳細と変更方法については、関連記事をご覧ください。

ボーナス:ハッカーからサイトを守るための2つのコツ

1. セキュリティニュースをチェックし続ける

最新情報をキャッチし、疑問を投げかけ、コミュニティに相談することは、最新のハッキング手法や脅威環境の変化を追跡する優れた方法です。たとえば、プラグインの脆弱性が発見されたら、更新版が入手・適用されるまでダッシュボードからそのプラグインを無効化できます。多少の不便さは、ハッキングされたサイトが被る損失に比べれば取るに足らないものです。

2. 定期的にセキュリティ監査を実施する

多くのサイトオーナーは、「自分のサイトは小さすぎてハッキングの対象にならない」と誤解しています。これは真実から程遠い認識です。ハッキングはさまざまな理由で発生します。仮にユーザーデータの観点で魅力的でなくても、SEO上の権威性があれば、フィッシングサイトとして悪用される価値は十分にあるのです。

定期的なセキュリティチェックは、安全でない運用慣行や潜在的な脆弱性を明らかにしてくれます。アクティビティログの確認やユーザーレビューなどを通じてサイトの状況に注意を払うことで、長期的に多大なトラブルを回避できます。

ハッカー対策として効果がないこと

私たちはセキュリティ意識を持つことを推奨しますが、偏執的になる必要はありません。また、世の中にはサイトオーナー向けの誤ったアドバイスが大量に出回っているのも事実です。そのアドviceは善意から生まれたものであっても、意図しない結果——ユーザー体験の低下や、自分自身がサイトから締め出される事態——を招くことがあります。

ですから、以下のことはやめてください。

1. wp-loginページを隠す

多くのセキュリティプラグインが、いまだにこの古臭い手口が有効だと信じています。

「ハッカーがログインページを見つけられなければ、ブルートフォース攻撃はできないのでは?」と思うかもしれません。いいえ、違います。むしろ:

• サイトの使い勝手が著しく悪化します。新しいログインURLを忘れた場合、アカウントの復旧が困難になります。
• セキュリティプラグインのデフォルトURLを使っている場合、ハッカーに新しいURLを推測されやすくなります。
• ハッカーがwp-loginページを見つけられなくても、XML-RPCの脆弱性を使えばサイトをハッキングできます。

結局、この対策は何も達成せず、かなりのトラブルを招くだけです。

2. 地理的ブロッキング(Geo-blocking)

地理的ブロッキングとは、自社の商品やサービスが提供されていない国、あるいは無関係な国からのトラフィックを遮断することです。セキュリティ対策として捉えられがちですが、実際にはサーバーリソース消費による課金を抑えるための手段です。

「ガボンからのトラフィックはビジネスに役立たない」と思うかもしれません。しかし、ガボンからのトラフィックをすべてブロックしても、何も解決しません。優れたVPNがあれば、Netflixの地理的ブロッキングすら回避できるのです。

さらに、Googlebotや自分自身までブロックしてしまうリスクもあります!

3. wp-adminディレクトリをパスワード保護する

wp-adminフォルダは、WordPressインストール環境における最も重要なディレクトリのひとつです。当然、すべてのハッカーがここに入りたがります。セキュリティ専門家は当初、ディレクトリをパスワード保護することが良いアイデアだと考えていましたが、現在では良いプラクティスではないと認識されています。

wp-adminディレクトリをパスワード保護すると、WordPressサイトのAJAX機能が壊れ、多くのプラグインが正常に動作しなくなります。WooCommerceサイトを運営している場合、壊れたAJAXコードは検索機能やその他の重要なUX要素を台無しにしかねません。

なぜハッカーからウェブサイトを守るべきなのか?

この記事には、ハッカーからウェブサイトを守る方法についてすでに多くの情報が含まれており、何度か触れてきたかもしれませんが、繰り返す価値があります。あなたのサイトは価値あるものなのです。

「価値がある」と言っても、あなたと訪問者のためだけの話ではありません。小さなオンラインショップや、少数の常連が訪れる趣味のブログかもしれません。ポイントは、ハッキングによる直接的な金銭的利益が小さくても、クリーンなサイトを違法・グレーマーケットの商品の販売に悪用するメリットがある限り、ハッカーにとって攻撃する価値があるということです。

つまり、小さなサイトであることは、悪意ある意図からの保護にはなりません。

第二に、ユーザーのデータと個人情報を守ることは、私たち全員の責務です。訪問者はサイトを訪れることで一定の信頼を寄せています。ウェブサイトのセキュリティを考える際には、その信頼に応える姿勢が求められます。

まとめ

ハッカーを阻止するには、警戒心を持ち、セキュリティに先制的に取り組むことが重要です。ハッカーや悪意ある攻撃からウェブサイトを守ることは、継続的なプロセスであることを認識しましょう。一度だけ実施すればよいステップもありますが、多くの場合、脅威環境の変化に常に敏感である必要があります。

さらに言えば、サイトに対するあらゆるハッキングを防げると謳う、唯一絶対の決定版的な記事は存在しません。そう主張する記事やサイトや専門家は、真実を語っていません。

したがって、この記事があなたのサイトを永遠に安全に保つと約束することはできませんが、サイトをハッキングされにくくするための一般的なセキュリティのヒントをお伝えしました。この記事のヒントを活用すれば、サイトのセキュリティにおける多くの欠陥を修正できるはずです。

FAQ(よくある質問)

ハッカーからウェブサイトを守るにはどうすればよいですか?

ハッカーからサイトを守るために実践できる対策は多数あります。主なセキュリティのヒントは以下の通りです。

1. 優れたファイアウォールを備えたセキュリティプラグインを導入する
2. 二要素認証を導入する
3. ログイン試行回数を制限する
4. プラグインとテーマを常に最新に保つ
5. SSLを導入する
6. 信頼できるWebホストを選ぶ

なぜハッカーからウェブサイトを守る必要があるのですか?

ハッカーは、あなたのサイトを攻撃することで常に多くの利益を得られます。直接的な金銭的損失に加え、訪問者のデータが漏洩し、データを盗まれた訪問者自身も深刻な影響を受けることになります。

優良なサイトは、大きくなくても収益源になり得ます。ハッキングされた小さなサイトでも、悪質かつ違法な活動は十分に行えてしまうのです。

二要素認証は導入すべきですか?

はい。二要素認証は、ウェブサイトのログインに導入すべき優れた仕組みです。ユーザー名とパスワードに加えて、サインイン時に追加のトークンが必要になります。その前提は、仮にハッカーがあなたの認証情報を何らかの方法で手に入れたとしても、あなたのデバイス(第2トークンを受け取る手段)までは持っていないだろう、ということです。これは不正アクセスを阻止する効果的な仕組みであり、インターネット上ですでに広く利用されています。

ハッカー対策として、どれくらいの対策を実施すべきですか?

「すべての対策を講じれば、サイトは可能な限り安全になる」というのはよくある誤解です。この記事から、世間に広く流布している情報の多くを意図的に省いた理由のひとつは、すべてをやりすぎても実際にはサイトがより安全にならないからです。むしろ逆で、追加のメリットはほとんどないまま、サイトが使いにくくなってしまいます。

この記事には、ユーザー体験を大きく犠牲にすることなく、ハッカーに対するサイト保護を強化できる対策のみを掲載しています。