プラグインだけじゃ足りない？WordPressのセキュリティ対策とは
更新日 : 2021年05月11日
 |
|
新型コロナウイルス感染症の影響もあり、ECサイトの立ち上げや会員制Webサイトの設立などオンラインでのビジネス発掘に注力する企業も増えています。 Webサイトの作成ではCMS（Contents Management System）を利用するケースが多く、中でもWordPressは国内シェアの8割を超えます。 オンラインでのビジネスを推進するためには、Webサイトを狙った攻撃を考慮したセキュリティ対策が不可欠です。 今回はWordPressに焦点を当て、セキュリティ対策についてご紹介します。 |
目次 |
WordPressのセキュリティ対策とは
|
WordPressのセキュリティ対策としては大きく3つ挙げられます。 POINT
※メンテナンスが行われなくなると、脆弱性が発見されても修正されない恐れもあるので注意が必要です。 |
Webのセキュリティ対策を実施すべき企業とは
 |
どんな企業がサイバー攻撃の被害にあうのでしょうか。 例えば、
...などが考えられます。 これらに該当しないWebサイトは狙われない、というのは正しいでしょうか？ 実際にWebサイトを構築し、セキュリティ対策を施さなかった場合どうなるのかを検証してみました。 引用元 |
検証1：無名のWebサイトにどれだけ攻撃がくる？
 |
AzureのIaaS環境にWordPressをセットアップし、サイバー攻撃の被害状況を検証したところ、セットアップ完了のわずか8分後に最初の攻撃が襲来しました。 継続して観察したところ、約5日間で417件の攻撃を観測しました。 このように、Webサイトを運営する企業の規模や検索順位に関係なく、攻撃対象となってしまうことがわかります。 これらの攻撃の目的は、他へ攻撃するための踏み台とするためです。 攻撃者は改ざん可能なWebサイトを見つけると、危険なWebサイトへリダイレクトさせ訪問したユーザーの端末をマルウェアに感染させたり、個人情報の搾取を行ったりします。 つまりWebサイトがサイバー攻撃の被害にあうと、第三者へのサイバー攻撃に加担させられてしまう恐れがあるのです。 |
おすすめのセキュリティ対策とは
 |
こうした攻撃を防ぐためには、WAF（Web Application Firewall）の導入をおすすめします。 WAFは、Webアプリケーションの脆弱性を突いた攻撃に対するセキュリティ対策のひとつです。 例えば、ネットショッピングやゲーム、インターネットバンキングなど、顧客情報やクレジットカード情報に関するデータのやり取りが発生するWebサービスが保護対象として挙げられます。 お役立ちコラム
|
検証2：WAFの導入で本当に防げる？
|
WAFを導入すると本当に攻撃を防ぐことができるのでしょうか。 この検証では、疑似的な攻撃リクエストをWebサイトへ送信することで脆弱性を検出できるサービス「Barracuda Vulnerability Manager」を利用しました。 何も保護していないWebサイトに対してスキャンしたところ、最新バージョンのWordPressを使用しているのにも関わらず、反射型クロスサイトスクリプティングなど危険な脆弱性も発見されました。 次にWAF（今回はBarracuda Web Application Firewall）でWebサーバを保護した上で再度スキャンを実施しました。2つの項目を検知しましたが、どちらも過検知であったため全ての脆弱性を修正できました。 |
Before
検知した脆弱性リスク高が2件、リスク中が3件、リスク低が7件 |
After
検知した脆弱性リスク中が1件、リスク低が1件だったが、どちらも過検知 |
まとめ
|
今回は、WordPressのセキュリティ対策についてご紹介しました。 自社のWebサイトがサイバー攻撃の被害にあうとユーザーからの信頼低下だけでなく、第三者への攻撃に加担させられたことによる社会的信用の失墜など多くの被害が考えられます。 まずは、自社のWebサイトにどのような脆弱性がどれだけあるか、という現状を把握してみてはいかがでしょうか？ ＪＢサービスでは、下記のWeb脆弱性診断のサービスをご用意しています。
またWAF導入後の運用には、専門知識をもったエンジニアが必要になるため、導入のハードルを高く感じている方もいらっしゃるかもしれません。 WAFの利用と運用のアウトソーシングがセットになったサービスも用意されていますので、このようなサービスの利用を検討してみてはいかがでしょうか。 ＪＢサービスでは、クラウド型WAFの設定・運用サービスをご用意しています。 |
|
おすすめサービス
 Barracuda WAF-as-a-Service SMAC Edition｜Webセキュリティ対策Barracuda WAF as a Serviceは、Webサイトをサイバー攻撃から防御するクラウド型Webセキュリティサービスです。
|
| Web脆弱性診断やWAFの導入でお悩みの方は、ＪＢサービス株式会社へお気軽にご相談ください。 |
Web脆弱性診断・WAFの導入に関するご相談・お問い合わせ
WAF導入時や運用上の注意点とは？誤検知などのトラブル対策法
Barracuda WAF-as-a-Service SMAC Editionは、Webサイトをサイバー攻撃から防御するクラウド型Webセキュリティサービスです。エンタープライズレベルの防御機能をお手軽な月額料金でご利用可能です。
Barracuda WAF as a Serviceは、Webサイトをサイバー攻撃から防御するクラウド型Webセキュリティサービスです。
クラウドサービス利用の増加やテレワークの導入によって注目されているSASEについて解説します。