クロスサイトスクリプティング(XSS)攻撃とは?WordPressサイトを守るための対策方法5選

自社サイトへのクロスサイトスクリプティング(XSS)攻撃が心配で、眠れない夜を過ごしていませんか?「何も心配いらない」と言えれば良いのですが、残念ながら現実はそう甘くありません。

XSS攻撃は非常に頻繁に発生するサイバー攻撃の一つです。対策を怠っていれば、あなたのサイトも遅かれ早かれ被害を受ける可能性があります。

この攻撃では、ハッカーは訪問者のブラウザを利用してサイトを攻撃します。一度サイトへのアクセスに成功すると、機密データの窃取、違法ファイルの設置、訪問者を悪意あるサイトへのリダイレクト、スパムキーワードによる検索結果の改ざん、他サイトへの攻撃の踏み台化など、さまざまな悪事を実行できてしまいます。こうした悪意ある活動は、サイトを完全に破壊するほどの深刻なダメージをもたらしかねません。

攻撃を受けるとサイトの表示速度が低下し、検索エンジンのランキングにも悪影響が出ます。トラフィックの減少が続き、最終的には売上にも打撃を与えるでしょう。

さらに状況が悪化すれば、検索結果に「偽装サイトの可能性あり」「このサイトは改ざんされています」といった警告が表示されたり、Googleからブラックリスト登録されたり、ホスティング会社からアカウント停止処分を受けることもあります。

しかし安心してください。いくつかのシンプルなXSS対策を実施すれば、こうした被害は十分に防げます。

本記事では、クロスサイトスクリプティング攻撃からサイトを守るために必要な正しい手順を詳しく解説します。

要点まとめ: XSSは危険なハッキング手法であり、被害サイトに甚大な損害をもたらします。しかし、適切な対策で簡単に防ぐことが可能です。MalCareのようなWordPressセキュリティプラグインを導入すれば、この種の攻撃からサイトを保護できます。

クロスサイトスクリプティング(XSS)攻撃とは?

クロスサイトスクリプティング攻撃では、ハッカーが訪問者になりすますことでサイトをハッキングします。

この攻撃を理解する最良の方法は、ハッカーが攻撃を実行する一連の手順を追いかけることです。

→ ほとんどのWebサイトには、訪問者がデータを入力できる入力フィールド(お問い合わせフォーム、会員登録フォーム、コメント欄など)があります。

→ これらの入力欄はプラグインによって実装されています。通常、プラグインはコード断片などの悪意あるデータが入力されないようチェックしています。しかし、プラグインにXSS脆弱性が生じると、訪問者が悪意のあるデータや信頼できないデータを入力できる状態になってしまいます。

例えば、脆弱性を持つコメントプラグインでは、訪問者が悪意あるリンクを挿入できるようになってしまいます。

→ そのリンクをクリックすると、悪意あるコードやJavaScriptが起動し、ブラウザのCookieへのアクセス許可を求められます。

画面上は、サイトが特定の機能の実行を求めているように見えます。多くのユーザーはこの罠に引っかかり、Cookieへのアクセスを許可してしまうのです。

ブラウザのCookieへのアクセスを許可すると、機密情報がハッカーに露出することになります。

→ ブラウザのCookieには、ログイン認証情報をはじめとするあらゆる情報が保存されています。ログイン認証情報を入手したハッカーは、あなたになりすましてサイトにログインできるのです。

XSS(クロスサイトスクリプティング)攻撃の種類

XSS攻撃には主に2つのタイプがあります。

• 格納型(持続型)XSS攻撃 – 攻撃対象はサイトの訪問者
• 反射型(非持続型)XSS攻撃 – 攻撃対象はWebサイトそのもの

XSS攻撃の多くは、脆弱性を持つプラグインが原因で発生します。ハッカーはインターネット上をスキャンし、フォーム系やコメント系など脆弱なプラグインを使用しているサイトを探します。これらのプラグインは、ユーザー入力のバリデーション(検証)に問題が生じやすい傾向があります。脆弱なプラグインを使うサイトを発見すると、攻撃の実行を開始するのです。

攻撃の結果、ハッカーは被害者のブラウザCookieへアクセスできるようになります。Cookieには、サイトのログイン認証情報、ネットバンキングの認証情報、Facebookやメールアカウントの認証情報など、重要な情報が保存されています。

ハッカーの主目的がサイトの乗っ取りであれば、サイトのログイン認証情報を抜き取ります。これが反射型XSS攻撃です。一方、サイトのユーザーや訪問者が標的であれば、ネットバンキング、Facebook、Gmailなどの認証情報を狙います。こちらは格納型(持続型)XSS攻撃と呼ばれます。

XSS攻撃の仕組みと種類が理解できたところで、次にこの脅威からサイトを守る具体的な方法を見ていきましょう。

クロスサイトスクリプティング(XSS)攻撃の防止策

WordPressサイトはプラグインとテーマで構築されています。ほとんどのサイトには、お問い合わせフォームやコメント欄を有効化する入力系プラグインがあり、訪問者がデータを入力できるようになっています。

問題は、多くの入力系プラグインが時間の経過とともにXSS脆弱性を抱えるようになる点です。前述の通り、ハッカーはこの脆弱性を悪用してXSS攻撃を仕掛けてきます。プラグインはサイトにとって重要な構成要素であるため、簡単に削除するわけにはいきません。そこで必要になるのが、XSS攻撃を防ぐための対策です。

ここでは、XSS脆弱性を防ぎ、攻撃からサイトを守るために実施すべき5つの対策を紹介します。

1. セキュリティプラグインを導入する
2. Prevent XSS Vulnerabilityプラグインを導入する
3. コメントを公開前に確認・承認する
4. プラグインを常に最新の状態に保つ
5. 信頼できるマーケットプレイスからプラグインを入手する

1. セキュリティプラグインを導入する

MalCareのような優れたセキュリティプラグインは、WordPressファイアウォールでサイトを保護し、サイト強化(ハードニング)対策の実施を可能にします。

i. ファイアウォール

WordPressファイアウォールプラグインは、流入するトラフィックを調査し、悪質なトラフィックがサイトにアクセスするのを防ぎます。訪問者(ハッカーを含む)はスマートフォンやノートPCなどのデバイスからサイトにアクセスします。すべてのデバイスにはIPアドレスと呼ばれる固有のコードが割り当てられています。MalCareのファイアウォールはインターネット上を常時スキャンして悪質なIPアドレスを特定し、過去に悪意ある活動に関与したことのあるIPアドレスからのアクセスをブロックします。

これにより、XSS攻撃を仕掛けようとするハッカーは、攻撃の初期段階で遮断されます。

ii. サイト強化(ハードニング)

MalCareには多数のWordPressハードニング機能があり、その一つがセキュリティキーの変更です。XSS攻撃では、ハッカーがユーザー認証情報を含むブラウザCookieの盗み出しを試みることは前述の通りです。ただし、WordPressはこれらの認証情報を暗号化して保存しています。パスワードにセキュリティキーとソルト(salt)を追加することで、解読を困難にしているのです。

しかし、キーとソルトがハッカーに知られてしまうと、ログインパスワードも解読される恐れがあります。そのため、Webアプリケーションセキュリティの専門家は、WordPressのソルトとキーを半年ごと、あるいは四半期ごとに変更することを推奨しています。MalCareなら、ボタンひとつでセキュリティキーを変更できます。

2. Prevent XSS Vulnerabilityプラグインを導入する

信頼できるセキュリティプラグインを導入したら、さらにPrevent XSS Vulnerabilityプラグインをインストールして、XSS攻撃でよく使われるパラメータを検知・遮断することをおすすめします。

例えば、ハッカーがコメント欄に残す悪意あるリンクには、感嘆符や開き括弧などの記号が使われていることがよくあります。こうしたパラメータをブロックすることで、WordPressサイトへのXSS攻撃を防げます。

ただし、このプラグインだけではXSSに対する防御は限定的です。XSS攻撃の早期検知と防止にはファイアウォールが重要な役割を果たします。だからこそ、セキュリティプラグインと併用してこのプラグインを使うことを推奨しているのです。

3. コメントを公開前に手動で承認する

XSS攻撃では、ハッカーが誰かがリンクをクリックすることを期待して、コメント欄に悪意あるリンクを残します。

そのため、コメントをサイトに公開する前に必ず内容を確認しましょう。WordPress標準のコメント機能でも、JetPack、Thrive Comments、Disqusなどの人気コメントプラグインでも、コメントを承認・公開する前に手動でレビューする設定が可能です。

ただし、悪意あるリンクを見分けるのは容易ではありません。ハッカーは正当なリンクに見せかけた巧妙なコメントを残してくるからです。リンクを確認しようとして誤ってクリックしてしまうと、それだけで攻撃が始まってしまうこともあります。

多くのサイト運営者は、WordPress標準のコメント機能ではなくコメントプラグインを好んで使います。これは、コメントプラグインの方がスパム管理能力に優れているためです。しかし前述の通り、プラグインは時間の経過とともに脆弱性を抱えやすく、それがハッキング攻撃の入口になり得ます。

コメントプラグインを使い続けながらコンテンツセキュリティの脆弱性を克服するには、プラグインを常に最新の状態に保つことが重要です。その理由を次のセクションで説明します。

4. プラグインを常に最新の状態に保つ

プラグイン開発者が自社ソフトウェアにXSS脆弱性を発見すると、迅速に修正を行い、セキュリティパッチをリリースします。

このパッチはアップデートという形で提供されます。

サイト上のプラグインをアップデートすれば、XSS脆弱性は修正されます。しかし、アップデートを先延ばしにすると、サイトはXSS攻撃にさらされたままになります。

なぜなら、セキュリティパッチが公開された瞬間、その脆弱性は公衆の知るところとなるからです。つまり、ハッカーは旧バージョンのプラグインに脆弱性が存在することを把握します。ハッカーはボットやツールを使ってインターネット上をスキャンし、脆弱な特定バージョンのプラグインを使用しているWordPressサイトを探し出します。

アップデートを怠れば、あなたのサイトはハッキングの標的になります。

ハッカーはXSS脆弱性を悪用してサイトを乗っ取ることができるのです。したがって、鉄則として、常にサイトを最新の状態に保ちましょう。

5. 信頼できるマーケットプレイスからプラグインを購入する

JetpackやDisqusのような無料プラグインを使う場合は、公式のWordPressプラグインディレクトリからダウンロードするのがベストです。Thrive CommentsやWpDevArtのような有料プラグインを使う場合は、公式サイト、またはCodeCanyon、ThemeForest、Envatoなどの信頼できるマーケットプレイスから入手しましょう。

信頼できるマーケットプレイスは高品質なプラグインを提供しており、XSS脆弱性が発生するリスクを大幅に減らせます。

近年、有料プラグインの海賊版を無料で配布するサイトが大量に出回っています。こうした海賊版プラグインの大半には、マルウェアが最初から組み込まれています。これをサイトにインストールすることは、ハッカーに玄関の鍵を渡すようなものです。さらに、海賊版プラグインはアップデートが提供されないため、脆弱性が放置され続け、サイトはハッキング攻撃に無防備なまま晒されることになります。

信頼できないソースからの海賊版プラグインの使用は避け、信頼できるマーケットプレイスまたはWordPress公式ディレクトリからのみプラグインを入手してください。

以上が、WordPressサイトにおけるクロスサイトスクリプティング対策の全容です。これらの対策を実施すれば、XSS攻撃からサイトを確実に守れると自信を持ってお伝えできます。

最後に

WordPressサイトをXSS攻撃から守ることは、サイトセキュリティにおいて正しい方向への一歩です。

しかし、クロスサイトスクリプティングは、WordPressサイトに対する一般的なハッキング攻撃(SQLインジェクション攻撃など)の一種にすぎません。ハッカーは数々の手口を駆使してきます。XSS攻撃だけでなく、あらゆる種類のWordPress攻撃を防ぐためには、総合的なセキュリティソリューションの導入が不可欠です。

定期的なセキュリティ診断のためにも、MalCareのような信頼できるWordPressセキュリティプラグインの導入をおすすめします。セキュリティスキャナー(Web脆弱性スキャナー)がサイトを常時スキャン・監視しながら、ハッカーの侵入を防ぎます。さらに、サイト強化機能によってウェブサイトのセキュリティレベルを高めることも可能です。サイトが保護されているという安心感のもと、運営に集中できるでしょう。

今すぐMalCareセキュリティプラグインを試してみましょう!

この記事が役に立ったと感じたら、WordPressサイトの保護が必要な他の方々にもぜひシェアしてください。