WordPressにお勧めのレンタルサーバ セキュリティの視点から

1. WordPressにお勧めのレンタルサーバ
セキュリティの視点から

2. WordPressにお勧めのレンタルサーバ
５月にWordPressで相
次いで、脆弱性が見つ
かりました。レンタル
サーバもセキュリティを
考慮する必要があるか
なと思い、今回の発表に
なりました。
項目 さくらインターネット lolipop GMO
IP制限 ○ △ ☓
WAF ○ ○ ☓
OS BSD Linux Linux
早速結論ですが、さくらインターネットかな？と私は思います。個
別の説明をしていきます。

3. 世界の国からこんにちわ~
参照：http://www.nicter.jp/nw_public/scripts/index.php
毎日、世界の
国から日本に
いろいろな攻
撃がかけられ
ています。

4. 世界の国からこんにちわ~
日本以外からのアクセス元は中国、韓国、ロシアが多いんです。

5. IPアドレスは国ごとに付与されています。
日本かそれ以外か区別がつきます。
世界に何かを売りたい、勝負したい人以外
鎖国してもいいんじゃね？
さくらインターネットはIP制限できます

6. 日本の国からこんにちわ
中国の業者が日本の
サーバを借りて攻撃
引用元：http://www.sankei.
com/affairs/news/141119/afr1411190029-n1.html

7. 日本の国からこんにちわ
上場企業5割に「サイバー脆弱性」
天才ハッカー「ドラゴン・タトゥーの女」のように侵入できるか。本
誌のテストで愕然とする結果が出た。
引用元：http://facta.co.jp/article/201411027.html
頼まなくても勝手に攻撃しちゃう人もいます。

8. 攻撃ってどんなん？
難しい言葉ばっ
かりだけど、具
体的に何？

9. 具体的な手法
➀SELECT uid FROM account_table WHERE
uid='' OR 1=1 --' AND pw='任意の文字列'
➁http://example.com/../../../../../../../bin/sleep.exe
20
「特定の文字」（「../」、「'」、「--」など）を使い、自分の
サーバが攻撃されること。WordPressのテンプレートタ
グを使えば、こんな基礎レベルでは攻撃できないんです
けど（＾＾；あくまで例です
攻撃
とは

10. WAFって何？
80、443ポートに
特化し通信内容
を解析し、特定
の文字を含む通
信を攻撃と判定
し遮断
Web Application Firewall (WAF) 読本より引用

11. 攻撃について共通して言えること
WAFという製品は攻撃に関連する「特定の文字」
を検知し、攻撃の通信を遮断します。
これからのレンタルサーバにはWAFは必須かな。
さくらインターネット、lolipopはそれができま
す！！！

12. OS
BSDはシェアが少ないので、狙われる可
能性低いかも~
昔、MACは安全と言われてたのに近いか
な〜

13. WordPress側での対応策
・バックアップ取得
・「wp-config.php」をアクセス不可に設定する
・WordPressのセキュリティ関連プラグイン導入
・WordPress本体やテーマ・プラグインは、常に最新版
・テーマやプラグインは、WordPress公式サイトから導入

14. バックアップを取りましょう
UpdraftPlusプラグインを導入することで、自動的にバックアップを取得します。
DropBoxのアカウントを取得します。
自動的にDropBoxにWordPressのバックアップ（DB含む）を実行できます。
詳細の設定は下記のURLをご覧ください。
http://wordpress.asdj.org/backuprestore/

15. wp-config.phpをアクセス不可
wp-config.phpがあるフォルダに下記の内
容が書いてある.htaccessを作成します。
# protect wp-config.php
Options -Indexes
<files wp-config.php>
order allow,deny
deny from all
</files>

16. WordPressのセキュリティ関連プラグイン
SiteGuard WP Pluginを導入することで、ログインページ、コメ
ント投稿に画像認証を追加し、セキュリティを強化してくれます。
ウイルスやワームなどの機械的なアタックには有効です。
参照先：http://www.jp-secure.com/cont/products/siteguard_wp_plugin/

17. 参考資料
https://help.sakura.ad.jp/app/answers/detail/a_id/2258
http://www.ipa.go.jp/files/000017316.pdf
http://www.ipa.go.jp/files/000017319.pdf
http://www.ipa.go.jp/files/000017312.pdf
http://www.ipa.go.jp/security/fy24/reports/vuln_handling/index.
html#download