WordBench Osaka 第22回で行われた、WordPressのセキュリティ対策・座談会において、「デザイナーなりにやっているWordPressのセキュリティ対策」というタイトルでお話をしました。

1. デザイナーなりにやっている
WordPressのセキュリティ対策
2013.10.19 石田 美穂

2. 自己紹介
石田 美穂
(いしだ みほ)
フリーランスのWEBデザイナーです。
「イシダウェブ工房」
の屋号にて個人で活動中のほか、
「WEB制作会社 StudioBRAIN」
のアシスタントとして、
いろんなWordPress案件に関わっています。趣味はネイルと園芸など。
facebook ishidamiho
twitter
dk45blog
website
http://ishida-webkontor.com
http://www.studiobrain.net
フ
い★
くださ
て
ローし
ォ

3. 本日の内容
1. インストールから運用編
WordPressをサーバにインストールしてから、
日々コンテンツを運用するときにやっていること。
2. 保守管理とバックアップ編
安全に運用できることを目的にやっているメンテナンス作業と
ハッキングや障害でサイトが無くなってしまった場合に備えてのバックアップ
３. 疑問編
普段から、これはどうなんだろ？と疑問に思ってること

4. 1. インストールから運用編

5. インストールから運用編
1. パスワード自動生成ツールを使う
http://www.graviness.com/temp/pw_creator/

6. インストールから運用編
2. テーブルprefixをそのままにしない
wp-config.phpの中にある設定項目。
そのままだとテーブルの構造が推測されやすいのかなと思い、なるべく
変えた方がいいような気がしています。
10/26 update!
DBに入られてしまっている時点でもうアウトなので・・・
これはやってもあまり意味ないそうですw

7. インストールから運用編
3. ログインIDはメールアドレスにする
Force Email Loginを使うと、アカウントにひもづけられたメールアドレスが
ログインIDになるので推測されにくいはず。
http://wordpress.org/plugins/force-email-login/ by Takayuki Miyauchi

8. インストールから運用編
One more thing
Gmailを使っていると、こんな事もできるので、
例えば管理者やユーザーでログインIDをわかりやすく区別もできる。
owner+wbosaka@gmail.com
staff+wbosaka@gmail.com

9. インストールから運用編
4. ログインを試みる回数をIPごとに制限する
Limit Login Attempts プラグインで、規定の回数以上ログインに失敗すると
一定時間、ログインできないように制限する。 by johanee
http://wordpress.org/plugins/limit-login-attempts/ by johanee

10. インストールから運用編
5. ログイン履歴を記録する
Crazy Bone プラグインでどんなログインがあったのか記録する。
もし不正ログインがあったとき、総当たりなのか、パスワード漏洩なの
か原因を突き止めるために効果があるはず。
http://wordpress.org/plugins/crazy-bone/ by wokamoto

11. インストールから運用編
昨日も世界各国から熱いアクセスありがとうございます！

12. インストールから運用編
6. 使っていないテーマやプラグインがあれば削除
そこを足がかりにハッキングされる事もあるのかなと思い、
入れたまま使ってないテーマやプラグインは削除。

13. インストールから運用編
7. 長いこと更新されていないプラグインや、野良テーマは使わ
ない。

14. インストールから運用編
8. 投稿やページの中でPHPは使わない。ショートコード化する。
例）よく使うやつ
/*ショートコードを登録*/
function shortcode_templateurl() {
return get_bloginfo('template_url');
<img src= [template_url]/img/myphoto.png />
}
add_shortcode('template_url', 'shortcode_templateurl');
function shortcode_siteurl() {
return get_bloginfo('siteurl');
}
add_shortcode('site_url', 'shortcode_siteurl');
/*ウィジェット内でショートコード使えるように*/
add_filter('widget_text', 'do_shortcode');
ページの中でテンプレートディレクトリの中の
画像を呼び出したい場合

15. 2. 保守管理とバックアップ編

16. 保守管理とバックアップ編
9. WP-DB Manager で毎日１回、データベースのバックアップ
をとる。同時にメールで自分に送る。 by Lester Chan
http://wordpress.org/plugins/wp-dbmanager/
by Lester Chan

17. 保守管理とバックアップ編
10. FTPを使って月１回、以下のバックアップをローカルにダウ
ンロードする。
wp-content/uploads
・・・ アップロードした写真
wp-content/themes
・・・ テーマファイル

18. 保守管理とバックアップ編
BackWPup 等、DBとファイルを一括でバックアップしてくれる
プラグインもあります。
http://wordpress.org/plugins/backwpup/
問題点：画像ファイルがものすごくたくさんあったりすると、転送途中でコケることも。。

19. 保守管理とバックアップ編
11. wp-config.phpのパーミッションを400か404にする
そうすると、設定情報が悪意ある人から読み取られにくくなるそうです。
10/26 update!
サーバの設定が適切な状態であれば、普通は気にする必要のない事だ
そうです。

20. 保守管理とバックアップ編
12. wp-admin/install.phpを削除
インストールするときしか使わないそうなので、
うっかり実行して初期化しないように、一応消しとく。

21. 保守管理とバックアップ編
13. FTPを使って月に一回、サーバの中の様子を見る。見慣れな
いファイルや不審なファイルが置かれていないか。
表の見た目に変化はなくても、悪意あるファイルが置かれて
何か実行されているかもしれない＞＜
10/26 update!
wp-XXXXX みたいに、それっぽい名前のファイルを置かれてるケース
もあるそうです。注意！

22. 保守管理とバックアップ編
14. コアファイルやプラグインのアップデートが出たら、様子を
見ながら２週間以内くらいには実施する
すぐにするのは怖いから、周りの様子を見ながらやってみてます
(ﾟДﾟ；≡；ﾟДﾟ)

23. 保守管理とバックアップ編
15. 詳しそうな人をフォローして、セキュリティに関心を持つ、
勉強する。
@miya0001
例えば・・・
@tama200x

24. 3. 疑問編

25. 疑問編
こんな感じのセキュリティ対策なんだけど、
足りない事とか、やっても意味ないこととか、
もっとこんな事やったほうがいい、とかありますか？
10/26 update!
table prefixを変えるのは、あまり意味ないかもね！

26. 疑問編
初心者だったらこのサーバがよい、とかありますか？
サーバ会社やプランによって安全度が違ったりとかするの？
○円以下のサーバだとダメ、とか
値段によって安全度はかわったりするのかな？
一概には言えないが・・・月額・数百円クラスのサーバだと、Apacheを大
勢の他人と共有しているケースがほとんどで、他の人が高負荷な事をして
いると影響されやすい等あります。
10/26 update!
だからといって、サーバやインフラがわからず自分で管理できない人が
VPSやクラウドに手を出すのは、セキュリティホールを作ってしまい危険
なのでやめましょう。

27. 疑問編
レンタルサーバで提供されている、
WordPressのかんたんインストール機能って
使って大丈夫なのですか？
サーバやインフラがわからない人こそ、使いましょう！
10/26 update!
そうすれば、自分の使っているレンタルサーバの環境に最適な設定で
使えるはずです。

28. 疑問編
htmlエスケープっていうのをよく聞くけど、
実はよくわかっていません。。。
具体的にどういう処理をしていて、
することによってどう安全度が増すの？
本を読んでみたら？あとは書いたソースを晒していろんな人からツッコミを
もらうのが一番よい方法。
10/26 update!
おすすめ本：
・WordPress3.5対応 テーマカスタマイズのためPHP
・体系的に学ぶ安全なWebアプリケーションの作り方（通称：徳丸本）

29. 疑問編
復旧するとき、復旧データが安全かどうかってどう調べるの？
コアファイルに関しては、改ざんされているかどうか調べるプラグインがあ
る。http://ja.forums.wordpress.org/topic/2743
が、たいていの場合はテーマとプラグインに何か仕込まれることが多く、それ
を見抜くのはけっこう難しい。
10/26 update!
改ざんされてしまったら、できればサーバを変え、FTPも変えたほうがいい。
日時が特定できそうならそれ以前のデータを使う。
Vault PressのPremiumプラン毎日データのスキャンをしてもらえるが、月額40
ドルと少しお高い。。

30. おしまい
デザイナーのみなさん、
他にも日々疑問に思ってる事ありますよね？
今日は一緒に勉強しましょう！

31. ちょこっとステマ
チームとして一緒に活動している今井さんがWordPressの本を出しました。
今日お話したセキュリティ対策の一部や、
かんたんインストールを使ったサイト構築の方法についても掲載しています。
10日でおぼえる WordPress入門教室 第２版