1. ©
wordbonch.org
WordPress × 帰ってすぐにセキュリティ
WordBench宮崎
ver.1.0.0
【WordBench宮崎勉強会】

2. ©
wordbonch.org
⾃自⼰己紹介
1
株式会社アラタナ
インフラチーム チームリーダー
中神 ⼤大司 （なかがみ たいし）
Twitter@taishigami
Facebook@taishigami
Linux⼤大好き。サーバエンジニア。
宮崎IT飲み会や、HTML5カンファレンス宮崎での司会など。

3. ©
wordbonch.org
セキュリティって
2
セキュリティって？

4. ©
wordbonch.org
セキュリティの強化を⾏行行うとパフォーマンスがおちるんじゃない？
実際、事故が起きたことないし、やらなくても⼤大丈夫じゃん？
だれが、うちのサイト攻撃するっていうの？
めんどくさそう。。。
上司を刺刺激したくない。
おいしいの？
セキュリティって
3

5. ©
wordbonch.org
セキュリティの強化を⾏行行うとパフォーマンスがおちるんじゃない？
→攻撃を受けていることが原因でパフォーマンスが低下しているかも
実際、事故が起きたことないし、やらなくても⼤大丈夫じゃん？
→事故が起きたら、賠償⾦金金は数百万から数億円。払えますか？
だれが、うちのサイト攻撃するっていうの？
→インターネットに公開していたら誰でも攻撃できます。僕でも。
めんどくさそう。。。
→事故が起こったほうがめんどくさいですよ。
上司を刺刺激したくない。
→事故が起こったら、対応しなかった「あなた」にも責任があります。
おいしいの？
→実施すれば、⾮非常に美味しい。
誰でも簡単に
ぽちっとできるセキュリティ対策を紹介します。
セキュリティって
4

6. ©
wordbonch.org
WPでセキュリティを担保するポイント
5
WPでセキュリティを担保するポイント

7. ©
wordbonch.org
１．パスワードは⾃自動⽣生成ツールで複雑なものを
参考：http://www.ipa.go.jp/security/txt/2008/10outline.html
２．常にWordPress＆プラグインは最新にする
３．wp-‐‑‒config.phpを400（所有者だけが読み込み可）に
４．管理理画⾯面にBASIC認証を
WPでセキュリティを担保するポイント
6

8. ©
wordbonch.org
WPでセキュリティを担保するポイント
7
予防と検知

9. ©
wordbonch.org
WPでセキュリティを担保するポイント
8
このサイトを攻撃するのは「よだきい」と思わせるのがポイントです。
合⾔言葉葉は
よだきい
ですよ
でも、対策する側が「よだきい」と感じてしまうのは残念念なので、
簡単に導⼊入できてセキュリティが上がるプラグインをご紹介します。

10. ©
wordbonch.org
侵⼊入をログ監視する
9
侵⼊入をログ監視する

11. ©
wordbonch.org
「Crazy Bone」
不不正ログインの履履歴を監視できるので、
どのくらいの頻度度で不不正アクセスを受けているのかが可視化できます。
侵⼊入がバレてる！！よだきいなぁ。。。
侵⼊入をログ監視する
10

12. ©
wordbonch.org
不不正ログインをブロックする
11
不不正ログインをブロックする

13. ©
wordbonch.org
「Simple Login LockDown」
複数回ログイン失敗するとアクセス拒否することができます。
ブルートフォース（総当り）攻撃が「よだきい」。
不不正ログインをブロックする
12

14. ©
wordbonch.org
単語でのログイン不不可
13
単語でのログイン不不可

15. ©
wordbonch.org
「Force Email Login」
adminなどユーザー名ではなく、登録したメー
ルアドレスでのログインを強制します。
adminだと、なぜダメなのか。。。。
ユーザー名が分からず、「よだきい」な〜～
単語でのログイン不不可
14

16. ©
wordbonch.org
スパムコメントが多い⽅方に
15
スパムコメントが多い⽅方に

17. ©
wordbonch.org
「SI CAPTCHA Anti-‐‑‒Spam」
⾊色んな所で⾒見見かけるキャプチャ機能をコメントに
導⼊入します。
機械的に画像を読み取ることは不不可能なので、
プログラムを使⽤用したスパム投稿などを
排除出来ます。
画像を読み取るのが「よだきい」
スパムコメントが多い⽅方に
16

18. ©
wordbonch.org
テーマに悪意のあるコードが含まれていないか定期的にチェックする
17
テーマに悪意のあるコードが含まれていない
か定期的にチェックする

19. ©
wordbonch.org
「AntiVirus」
導⼊入してメールアドレスを設定するだけで、定期的にテーマをスキャンしてくれます。
スキャンのみで、除去はしませんので注意。
ん〜～、よだきい？？ (^^ゞ
テーマに悪意のあるコードが含まれていないか定期的にチェックする
18

20. ©
wordbonch.org
統合的なセキュリティ対策
19
統合的なセキュリティ対策

21. ©
wordbonch.org
「Better WP Security」
統合的なセキュリティ対策ツール。
様々なことが出来ますが、他セキュリティ系のプラグインと競合することがあるので、
これを採⽤用する場合は、このプラグインのみで運⽤用することをおすすめします。
統合的なセキュリティ対策
20

22. ©
wordbonch.org
「Better WP Security」
1. 簡易易セキュリテイチェック。（⾚赤⽂文字で表⽰示される項⽬目は要変更更！）
2. 管理理者ユーザーのユーザーネームとユーザーID番号の変更更。
3. wp-‐‑‒contentディレクトリのディレクトリ名の変更更。
4. データベースのバックアップ機能。（バックアップデータはメール送信）
5. データベースのテーブルの接頭辞（Prefix）の変更更。
6. 管理理者がWordPressの管理理画⾯面を使⽤用しない時間帯に管理理画⾯面のログイン機能を停⽌止できる。管理理画
⾯面を使⽤用する時間帯を限定することでセキュリティを向上させる。
7. ブラックリスト（BAN）機能あり。拒否したいユーザー及びBotを指定できる。
8. HackRepair.comのブラックリストを基に悪意のあるユーザーやBotを⾃自動的に拒否（BAN）できる。
9. 404エラーを利利⽤用した脆弱性スキャンや不不正ファイル操作の検知。不不正を検知すると管理理画⾯面をロッ
クする。
10. ログイン試⾏行行回数の制限。不不正を検知すると管理理画⾯面をロックする。（ブルートフォースアタック
対策）
11. SSL暗号化通信の設定。
12. セキュリティ向上の為のサーバー設定の微調整。
統合的なセキュリティ対策
21

23. ©
wordbonch.org
おまけ
22
おまけ

24. ©
wordbonch.org
おまけ
23
実際にスパムコメントを投稿してみます

25. ©
wordbonch.org
おまけ
24
ある⽇日の、のび太くん

26. ©
wordbonch.org
おまけ
25
どらえもんのばかぁ！！！

27. ©
wordbonch.org
おまけ
26

28. ©
wordbonch.org
おまけ
27
怒怒り狂ったのび太くんは、
こんなプログラムを書きました。

29. ©
wordbonch.org
おまけ
28
wordbonch.orgにスパムコメントを投稿し
てやる！！