狠狠撸

情報セキュリティCAS
情報セキュリティについて?
中年オヤジがグダグダ語るCAS

このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

本日のテーマは…
WordPressは最低限コレをやっとけ！

結論から申し上げると…
乗っ取られないことを主眼に構築することが大事です

何でこのテーマを選んだか？
? 心配しすぎてプラグインを大量に入れる人がいる
? プラグインは薬にもなるが毒にもなることを知らない
? 情报が多すぎて何をどうすれば良いのか判らない

WordPressの問題点
オープンソースなので基本的に無料で使えるし?
情報も多いので構築しやすいと思われている
実は改竄のターゲットになりやすい

WordPressサイトの改竄の原因
? WordPress自体のバージョンが古く穴が開いている
? プラグインのバージョンが古く穴が開いている
? テーマのバージョンが古く穴が開いている
? 不正にログインされてしまう

WordPress自体が古い
原則として最新バージョンしかサポートされないので?
常に最新のバージョンに更新していく

プラグインが古い
導入されているプラグインを?

テーマが古い
導入しているテーマを?

更新するってどうするの？
時々、管理画面にログインする?
通常は更新版がある時に更新するように促される
更新ボタンをポチッとな

不正ログイン
ユーザー名をバレないようにして?
パスワードをある程度複雑にしておく

コレだけは入れておけ！（１）
狂骨（Crazy Bone）
ログインに関するログ取得プラグイン?
ログイン試行などの状況が判る

狂骨（Crazy Bone）
不正にログインしようとしているアクセスが全て見える
不正ログインの危機を認識してください?
たぶんユーザー名がバレていることに驚くと思います

コレだけは入れておけ！（２）
Edit Author Slug
著者名で作られるアドレスを改変するプラグイン?
ログイン可能なユーザー名を隠蔽出来る

Edit Author Slug
実は標準で「http://example.jp/author/ユーザー名/」?
というアドレスが生成されてしまう
検索エンジンに補足されユーザー名がバレてしまう

Edit Author Slug
ユーザー名の部分を編集することで?
ユーザー名がバレるのを防ぐ
正規のユーザーでのログイン試行を防げる

実は…
弊社の管理しているサイトに入れている?
セキュリティ関連のプラグインは?
以上の2つだけ

実は…
ユーザー名は一般的でないものを使ってます！?
（admin等のありがちなのは避ける）

これだけで…
正規のユーザーでのログイン試行は皆無です
ってことは不正ログインで乗っ取られることはなくなる

意外に思うかもしれませんが…
プラグインをたくさん入れれば?
それだけセキュリティリスクは増すのです

再び結論
乗っ取られないことを主眼に構築することが大事です

と言うことで…
? ソフトウェアは最新にしましょう（またか！）?
→ 本体だけでなくプラグインもテーマもです！
? サポートの切れたプラグインやテーマは使わない?
→ 意外とあるんです
? 不正ログインを招く要因を絶ちましょう?
→ ユーザー名をバレないようにする

今後の予定
? 第三九回＝あるサイトの改竄を連絡した結果…
? 第四十回＝パスワードを入力する時は背後に気をつけろ！
? 第四一回＝（タイトル未定）
? 第四二回＝（タイトル未定）

制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya

情報セキュリティCAS 第三十八回放送用スライド