【WordPress】やっておくべきセキュリティ対策の強化

世界中のウェブサイトの35％はWordPress(ワードプレス)で作られています。

使いやすい管理画面、多くのプラグインやテーマによる自由度の高さなどから、日本国内でもブロガーやサイト運営者など多くの方に利用されています。

そんなWordPressですが、広く普及されているが故にブラックハッカーに狙われやすいのでセキュリティが不安視されることがあります。

そこで今回の記事では、やっておくべきWordPressのセキュリティ対策について解説していきます。

WordPressのセキュリティ対策の必要性

ここからは、WordPressのセキュリティ対策の必要性について説明していきます。

まず、「WordPressはセキュリティが弱い」と思われがちですが、実際の所WordPress自体のセキュリティに特別な問題があるわけではありません。

なぜセキュリティが弱いと誤解されやすいかは、世界で多くの方が利用しているため、当然悪質なハッカーの標的にもなりやすくなっているのが原因です。そのためWordPressのアップデートは頻繁に行われています。

また、初心者でも簡単にインストールできるが故に、堅牢なパスワードの未設定や、第三者に分かりやすいものでログインされてしまうことで乗っ取られてしまうといったセキュリティトラブルもあり得ます。

このようなこともあり、WordPressのアカウントの乗っ取りによって、重要な情報などが盗み取られたり、ウェブサイトのデータが改ざんされたりする事が起こることは少なくありません。

WordPressを利用する際はセキュリティ対策について、しっかり考える必要があると言えるでしょう。

WordPressのセキュリティ対策

WordPressにセキュリティ対策をする必要があることが分かったところで、次に具体的な解説をしていきます。また、なぜWordPressが狙われるか、またどのようなハッキングの手法があるのかも併せてご紹介していきましょう。

なぜWordPressが狙われるのか

世界中の多くの方が利用しているからという面もありますが、ログインURLや管理画面URLが決まっていることが多く、特定されやすいことや「オープンソースのソフトウェアである」という事も大きな要因です。ハッカーにしてみればURLが特定しやすいので、やりやすい相手だと言えるでしょう。

オープンソースとは…ソースコード（プログラミング言語で記述された文字列）を無償で公開し、誰でも自由に改良・再配布ができるようにしたソフトウェア。

オープンソースであることのメリットとして、さまざまな個人や企業が積極的にソフトウェアの発展に協力して貰えるという事があります。その一方で、システムに関する情報が多く一般に公開されるため、悪意のある方の目に晒されてしまうこともあり、脆弱性が突かれやすいという危険性もあります。そのためこのような弊害が生まれてしまうのです。

WordPressへの攻撃・脅威

具体的にハッカーによるWordPressへの攻撃とはどのようなものなのでしょうか？

ハッキングの手段について、どのようなものがあるのか、またどのような対策があるのかをいくつかご紹介させて頂きます。

【Pharmaハッキング】

WordPressの古いバージョンに不正コードを挿入するハッキング手法です。

バージョンアップを怠っているサイトなどが、このハッキングの被害を受けてしまうことが多いです。新しいバージョンがリリースされたら、アップデートするように心掛けましょう。

【総当たり攻撃】

脆弱なパスワードにつけ込み、ハッカーが自動的に繰り返しログインをするシステムを使用して不法にサイトに侵入するハッキング手法です。

パスワードを「aaabbb」や「123456」など単純なものを設定してしまっている方は要注意です。パスワードに英数字や記号を混ぜるだけで被害の可能性を大幅に少なくすることができるため、パスワードはある程度複雑にしておくことをおすすめします。

【クロスサイトスクリプティング (XSS)】

ウェブサイト（標的サイト）の脆弱性(XSS脆弱性)を利用したハッキング手法です。

具体的にWordPressの場合、プラグインに悪意のあるプログラムを混入させる場合が多いです。身元不明のプラグインをサイトに追加するときは、充分に注意が必要です。

WordPressのセキュリティ診断

自分のWordPressのセキュリティ診断をする方法を紹介します。

Sucuri社Sitecheck

一番手軽にセキュリティ診断をできるサービスはこちらです。

セキュリティ企業Sucuri社が提供しているサービスであり、URLを入力するだけでセキュリティ診断をすることが出来ます。

MinimalからCriticalの5段階でサイトの危険性の評価を表示し、マルウェアやブラックリストスタッツなどもリストとして表示されます。

誰でも簡単に、すぐに診断ができるためまずはやってみることをおすすめします。

https://sitecheck.sucuri.net/

 

ワードプレス・ドクター

こちらのサービスは日本の会社が運営しているワードプレスのセキュリティ診断です。

定期的にデータベースを更新しているようですので安心ですね。

こちらもサイトから簡単に診断することができますが、この会社はセキュリティ診断のできるプラグインも提供しており、プラグインを使用することでより詳しいセキュリティ診断を行うことが可能です。

WordPress(ワードプレス)脆弱性診断 セキュリティースキャナ

 

セキュリティに不安を感じている方はプラグインの導入を行い、セキュリティ診断をするのもおすすめです。

【無料】ワードプレス:マルウェアスキャン＆セキュリティープラグイン [マルウェア・ウィルス検出と駆除]

 

WordPressを強化する方法

次に、WordPressを強化する方法についていくつかご紹介します。

各ハッキング手法の対策は「WordPressへの攻撃・脅威」の項目でも少し触れましたが、ここでは、さらに詳しくWordPressのセキュリティの強化について解説していきましょう。

管理画面のユーザー名、パスワードの強化

まずは基本的なことですが、「管理画面のユーザー名、パスワードの強化」についてです。

ユーザー名は、テーマによってはブログ内に公開されていたりするため、そこまで複雑なものにする必要は無いかと思われますが、パスワードがユーザー名と一緒にバレてしまえば、この時点でログインが出来てしまうので、パスワードは厳重に扱う必要があります。

「aaabbb」や「123456」など総当たり攻撃のプログラムで簡単に突破されてしまうパスワードが駄目なのは当然ですが、それよりも多くの方がやりがちなのが「パスワードの使い回し」です。これも、一つのパスワードが流出されてしまったら、同じパスワードにしていたすべてのサービスに被害が及ぶ可能性が高いため非常に危険です。

また、生まれた年の西暦や誕生日などわかりやすい数字はパスワードに設定することは出来るだけ避けるようにしましょう。パスワードを第三者に想像されにくいような文字列で作成することが重要です。

パスワードは英数字と記号を混ぜた複雑なものにする他に、月1回程度を目安に、定期的にパスワードの変更も行うことをおすすめします。この二つを怠らないだけで、かなりハッキングリスクを軽減出来るでしょう。

プログラムを最新化

ワードプレスを古いバージョンのまま放置しているのも危険です。

最新のバージョンが出たら、なるべく早めにアップデートを行うようにしましょう。

古いバージョンだとハッキング被害に遭いやすい他、万一遭ってしまった場合のサポートなどにも大きく関わってきますので要注意です。

不要なプラグインの削除

また、使っていないプラグインは削除するのをおすすめします。

長くウェブサイトを運営していると、過去に一度入れてみたものの今は全く使っていないプラグインの一つや二つがあることも多いかと思います。

管理の行き届いていない放置しているプラグインが自動的に更新等をされると、予期していないプログラムなどが入ってしまう可能性もあり、悪質な場合だとハッキング被害に繋がってしまう可能性もあります。

プラグインを削除することで、ウェブサイトの空き容量も増えますし、不要なプラグインをしっかり削除しておくことは大切です。

有料無料問わず、プラグイン提供側が脆弱性対応をするアップデートしないと、セキュリティーホールになることも考えられます。不要なプラグインは削除する方がよいでしょう。

プラグインでセキュリティ強化

「WordPressのセキュリティ診断」の項目ではセキュリティ診断が出来るプラグインをご紹介しましたが、セキュリティ自体を強化できるプラグインも存在します。

プラグインは有効化するだけで、手軽に導入できるセキュリティ強化の方法ですが、中にはセキュリティ強化と偽り悪意のプログラムを忍ばせるプラグインもあるので、プラグインの評判等をしっかり調べてから使うようにしましょう。

次の「おすすめのプラグイン」の項目で、具体的にセキュリティ強化のできるプラグインをご紹介します。

おすすめのプラグイン

WordPressには豊富なプラグインがあり、セキュリティ対策のためのプラグインもいくつか存在します。

例えば、「SiteGuard WP Plugin」というプラグインは、いくつかのセキュリティ設定を行うことが可能です。また、設定項目がすべて日本語のため、使いやすいというところも魅力の1つです。

WordPressのログイン画面は、通常「https://ドメイン/wp-admin」になっています。そのため、URLの後ろに「wp-admin」とつけるだけでログイン画面に行くことができてしまいます。

しかし、このプラグインを使用することによって、ログイン画面のURLを自由にカスタムすることができ、ハッカーなどからの不正ログインを妨げることができます。

また、画像認証を設置する機能もあり、ロボットによる不正アクセスや不自然な大量ログインを防ぐことも可能です。

今回紹介したプラグインはほんの一例で、他にも多くのセキュリティ対策用のプラグインがありますので、調べてみるのも良いでしょう。

SiteGuard WP Plugin
https://ja.wordpress.org/plugins/siteguard/

 

おわりに

WordPressは多くの方が利用する人気のCMSですが、その分ハッカーに狙われやすいという面もあります。そのため、今回の記事ではWordPressのセキュリティ対策について解説させて頂きました。

WordPressを利用する際はセキュリティ対策についてしっかり考える必要があるというのは事実ですが、多くの方が利用している分、セキュリティ対策の方法やセキュリティ対策に関する情報も多く存在します。

記事で紹介した通り、WordPressには手軽にできるセキュリティ対策の方法がたくさんあります。きちんとセキュリティ対策を行った上で、安全にWordPressでウェブサイトの運営を行いましょう。