ツイキャス生放送「情報セキュリティCAS」で使用したスライドです。 放送の録画はこちら→ http://twitcasting.tv/it_mikawaya/movie/159217827

1. 情報セキュリティCAS
情報セキュリティについて
中年オヤジがグダグダ語るCAS

2. このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

3. 本日のテーマは…
WordPressは最低限コレをやっとけ！

4. 結論から申し上げると…
乗っ取られないことを主眼に構築することが大事です

5. 何でこのテーマを選んだか？
• 心配しすぎてプラグインを大量に入れる人がいる
• プラグインは薬にもなるが毒にもなることを知らない
• 情報が多すぎて何をどうすれば良いのか判らない

6. WordPressの問題点
オープンソースなので基本的に無料で使えるし
情報も多いので構築しやすいと思われている
実は改竄のターゲットになりやすい

7. WordPressサイトの改竄の原因
• WordPress自体のバージョンが古く穴が開いている
• プラグインのバージョンが古く穴が開いている
• テーマのバージョンが古く穴が開いている
• 不正にログインされてしまう

8. WordPress自体が古い
原則として最新バージョンしかサポートされないので
常に最新のバージョンに更新していく

9. プラグインが古い
導入されているプラグインを
常に最新のバージョンに更新していく

10. テーマが古い
導入しているテーマを
常に最新のバージョンに更新していく

11. 更新するってどうするの？
時々、管理画面にログインする
通常は更新版がある時に更新するように促される
更新ボタンをポチッとな

12. 不正ログイン
ユーザー名をバレないようにして
パスワードをある程度複雑にしておく

13. コレだけは入れておけ！（１）
狂骨（Crazy Bone）
ログインに関するログ取得プラグイン
ログイン試行などの状況が判る

14. 狂骨（Crazy Bone）
不正にログインしようとしているアクセスが全て見える
不正ログインの危機を認識してください
たぶんユーザー名がバレていることに驚くと思います

15. コレだけは入れておけ！（２）
Edit Author Slug
著者名で作られるアドレスを改変するプラグイン
ログイン可能なユーザー名を隠蔽出来る

16. Edit Author Slug
実は標準で「http://example.jp/author/ユーザー名/」
というアドレスが生成されてしまう
検索エンジンに補足されユーザー名がバレてしまう

17. Edit Author Slug
ユーザー名の部分を編集することで
ユーザー名がバレるのを防ぐ
正規のユーザーでのログイン試行を防げる

18. 実は…
弊社の管理しているサイトに入れている
セキュリティ関連のプラグインは
以上の2つだけ

19. 実は…
ユーザー名は一般的でないものを使ってます！
（admin等のありがちなのは避ける）

20. これだけで…
正規のユーザーでのログイン試行は皆無です
ってことは不正ログインで乗っ取られることはなくなる

21. 意外に思うかもしれませんが…
プラグインをたくさん入れれば
それだけセキュリティリスクは増すのです

22. 再び結論
乗っ取られないことを主眼に構築することが大事です

23. と言うことで…
• ソフトウェアは最新にしましょう（またか！）
→ 本体だけでなくプラグインもテーマもです！
• サポートの切れたプラグインやテーマは使わない
→ 意外とあるんです
• 不正ログインを招く要因を絶ちましょう
→ ユーザー名をバレないようにする

24. 今後の予定
• 第三九回＝あるサイトの改竄を連絡した結果…
• 第四十回＝パスワードを入力する時は背後に気をつけろ！
• 第四一回＝（タイトル未定）
• 第四二回＝（タイトル未定）

25. 制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya