5つの一般的なWordPressセキュリティの問題
公開: 2021-01-27WordPressを利用したWebサイトを所有している場合、またはWordPressをCMSとして使用することを検討している場合は、WordPressの潜在的なセキュリティ問題について懸念する可能性があります。 この投稿では、WordPressサイトを保護および保護するために実行できる手順とともに、最も一般的なWordPressセキュリティの脆弱性のいくつかについて概説します。
WordPressは安全ですか？
「WordPressは安全ですか？」という質問への答え状況によります。 WordPressのセキュリティのベストプラクティスに従っている限り、 WordPress自体は非常に安全です。
W3Techsのコンテンツ管理システムデータの最新の使用法によると、WordPressはすべてのWebサイトを34％オフにします。 したがって、すべてのユーザーがWebサイトに注意を払ったり、徹底したり、セキュリティを意識したりするわけではないため、WordPressのセキュリティの脆弱性は避けられません。 ハッカーがウェブ上の何億ものWordPressWebサイトのいずれかに侵入する方法を見つけることができれば、古いバージョンまたは安全でないバージョンのWordPressの安全でないセットアップを実行している他のWebサイトをスキャンして、それらもハッキングできます。
WordPressはオープンソースコードで実行され、コアコードで発生するWordPressのセキュリティ問題を見つけ、特定し、修正することに専念するチームがあります。 セキュリティの脆弱性が公開されると、WordPressで発見された新しいセキュリティの問題にパッチを適用するための修正がすぐにプッシュされます。 そのため、WordPressを最新バージョンに更新しておくことは、Webサイトの全体的なセキュリティにとって非常に重要です。
WordPressのセキュリティの脆弱性は、WordPressのコアを超えて、サイトにインストールするテーマやプラグインにまで及ぶことに注意することが重要です。 wpvulndb.comによる最近のレポートによると、データベース内の2,837件の既知のWordPressセキュリティの脆弱性について：
- 75％はWordPressプラグインからのものです
- 14％はコアWordPressからのものです
- 11％はWordPressテーマからのものです
5つの一般的なWordPressセキュリティの問題
最も一般的なWordPressのセキュリティ問題は、サイトが侵害される前または直後に発生します。 ハッキングの目的は、フロントエンド（WordPressダッシュボード）またはサーバー側（スクリプトまたは悪意のあるファイルを挿入することにより）から、管理者レベルでWordPressサイトへの不正アクセスを取得することです。
知っておくべき最も一般的な5つのWordPressセキュリティ問題は次のとおりです。
1.ブルートフォース攻撃
WordPressのブルートフォース攻撃とは、成功する組み合わせが見つかるまで、複数のユーザー名とパスワードの組み合わせを何度も入力する試行錯誤の方法を指します。 ブルートフォース攻撃の方法は、Webサイトにアクセスするための最も簡単な方法であるWordPressログインページを悪用します。
WordPressはデフォルトでログイン試行を制限しないため、ボットはブルートフォース攻撃方式を使用してWordPressログインページを攻撃できます。 ブルートフォース攻撃が失敗した場合でも、ログインを試みるとシステムが過負荷になり、サイトの速度が低下する可能性があるため、サーバーに大混乱をもたらす可能性があります。 ブルートフォース攻撃を受けている間、特に共有ホスティングプランを利用している場合は、システムの過負荷により、一部のホストがアカウントを一時停止することがあります。
2.ファイルインクルードエクスプロイト
ブルートフォース攻撃の後、WordPress WebサイトのPHPコードの脆弱性は、攻撃者によって悪用される可能性のある次の最も一般的なセキュリティ問題です。 （PHPは、プラグインやテーマとともに、WordPress Webサイトを実行するコードです。）
ファイルインクルードエクスプロイトは、脆弱なコードを使用してリモートファイルをロードし、攻撃者がWebサイトにアクセスできるようにする場合に発生します。 ファイルインクルードエクスプロイトは、攻撃者がWordPressWebサイトのwp-config.phpファイルにアクセスする最も一般的な方法の1つです。これは、WordPressインストールで最も重要なファイルの1つです。
3.SQLインジェクション
WordPress Webサイトは、MySQLデータベースを使用して動作します。 SQLインジェクションは、攻撃者がWordPressデータベースとすべてのWebサイトデータにアクセスしたときに発生します。
SQLインジェクションを使用すると、攻撃者は新しい管理者レベルのユーザーアカウントを作成して、ログインしてWordPressWebサイトへのフルアクセスを取得できる可能性があります。 SQLインジェクションを使用して、悪意のあるWebサイトやスパムWebサイトへのリンクなどの新しいデータをデータベースに挿入することもできます。
4.クロスサイトスクリプティング（XSS）
インターネット全体のすべてのセキュリティ脆弱性の84％は、クロスサイトスクリプティングまたはXSS攻撃と呼ばれます。 クロスサイトスクリプティングの脆弱性は、WordPressプラグインに見られる最も一般的な脆弱性です。
クロスサイトスクリプティングの基本的なメカニズムは次のように機能します。攻撃者は、被害者に安全でないjavascriptスクリプトを含むWebページをロードさせる方法を見つけます。 これらのスクリプトは、訪問者の知らないうちに読み込まれ、ブラウザからデータを盗むために使用されます。 クロスサイトスクリプティング攻撃の例は、Webサイトに存在するように見えるハイジャックされたフォームです。 ユーザーがそのフォームにデータを入力すると、そのデータが盗まれます。
5.マルウェア
マルウェアは、悪意のあるソフトウェアの略で、機密データを収集するためにWebサイトへの不正アクセスを取得するために使用されるコードです。 ハッキングされたWordPressサイトは通常、マルウェアがWebサイトのファイルに挿入されていることを意味します。したがって、サイトにマルウェアが疑われる場合は、最近変更されたファイルを確認してください。
Webには何千種類ものマルウェア感染がありますが、WordPressはそれらすべてに対して脆弱ではありません。 最も一般的な4つのWordPressマルウェア感染は次のとおりです。
- バックドア
- ドライブバイダウンロード
- 製薬会社のハッキング
- 悪意のあるリダイレクト
これらの種類のマルウェアはそれぞれ、悪意のあるファイルを手動で削除するか、新しいバージョンのWordPressをインストールするか、以前の感染していないバックアップからWordPressサイトを復元することで、簡単に識別してクリーンアップできます。
WordPressサイトがWordPressのセキュリティ問題に対して脆弱になる理由は何ですか？
いくつかの要因により、WordPressサイトが攻撃の成功に対してより脆弱になる可能性があります。
1.弱いパスワード
弱いパスワードの使用は、簡単に回避できる最大のセキュリティ脆弱性の1つです。 WordPressの管理者パスワードは強力で、複数の種類の文字、記号、または数字を含める必要があります。 さらに、パスワードはWordPressサイトに固有のものであり、他の場所では使用しないでください。
パスワードが危険にさらされているかどうか知りたいですか？ iThemes Securityプラグインは、パスワードがデータ侵害に含まれているかどうかを確認します。 データ漏えいは通常、ユーザー名、パスワード、および多くの場合、サイトが侵害された後に公開されたその他の個人データのリストです。 侵害されたパスワードを拒否する設定を使用すると、侵害されたパスワードを拒否し、Have I been PwnedAPIによって追跡されるパスワード違反に表示されないパスワードをユーザーに使用させることができます。
2. WordPress、プラグイン、またはテーマを更新しない
簡単に言えば、古いバージョンのWordPress、プラグイン、テーマをWebサイトで実行している場合、攻撃のリスクがあります。 バージョンアップデートでは、コードにセキュリティ問題のパッチが含まれていることが多いため、WordPressWebサイトにインストールされているすべてのソフトウェアの最新バージョンを常に実行することが重要です。
アップデートは、利用可能になり次第、WordPressダッシュボードに表示されます。 WordPressサイトにログインするたびに、バックアップを実行してから、利用可能なすべての更新を実行する練習をしてください。 更新を実行するタスクは不便または面倒に思えるかもしれませんが、それは重要なWordPressセキュリティのベストプラクティスです。
複数のWordPressWebサイトを管理している場合は、iThemes Sync Proなどの時間節約ツールを使用して、更新をより適切に管理できます。 個々のサイトにログインする代わりに、1つのダッシュボードを使用して複数のWordPressサイトの更新を1か所から管理できます。
3.信頼できないソースからのプラグインとテーマの使用
記述が不十分、安全でない、または古くなったコードは、攻撃者がWordPressWebサイトを悪用する最も一般的な方法の1つです。 プラグインとテーマはセキュリティの脆弱性の潜在的な原因であるため、セキュリティのベストプラクティスとして、WordPress.orgリポジトリなどの信頼できるソースから、またはしばらくの間ビジネスを行っているプレミアム企業からのみ、WordPressプラグインとテーマをダウンロードしてインストールします。 。 また、ファイルがマルウェアを含むように変更されている可能性があるため、海賊版またはトレントのプレミアムテーマとプラグインの「無料」バージョンは避けてください。 これらの「無料」のプラグインとテーマの費用は、サイトのセキュリティを犠牲にして発生する可能性があります。
4.低品質または共有ホスティングの使用
WordPress Webサイトが存在するサーバーは攻撃者の標的であるため、低品質または共有ホスティングを使用すると、サイトが侵害されやすくなる可能性があります。 すべてのホストがサーバーを保護するための予防策を講じていますが、サーバーレベルでWebサイトを保護するために、すべてのホストが警戒している、または最新のセキュリティ対策を実装しているわけではありません。
複数のウェブサイトが単一のサーバーに保存されているため、共有ホスティングも問題になる可能性があります。 1つのWebサイトがハッキングされた場合、攻撃者は他のWebサイトとそのデータにアクセスする可能性もあります。 VPS、または仮想プライベートサーバーを使用することはより高価ですが、それはあなたのウェブサイトがそれ自身のサーバーに保存されることを保証します。
WordPressサイトを保護するために今日実行できる8つのアクション
1.すべてのオンラインアカウントに強力なパスワードを使用します。
現在6文字未満のパスワードを使用している場合は、今すぐ変更してください。 現在、複数のログインでパスワードを使用している場合は、今すぐパスワードを変更してください。 同じパスワードを6か月以上使用している場合は、今すぐ変更してください。 複数のオンラインアカウントのパスワードを再利用している場合は、今すぐ変更してください。
2.WordPressセキュリティプラグインをインストールします。
WordPressセキュリティプラグインを使用することは、WordPressWebサイトで追加のセキュリティ対策を行うための優れた方法です。 iThemes Securityは、最も重要で推奨されるWordPressセキュリティ設定をアクティブにするワンクリックのWordPressセキュリティチェックを提供します。 優れたWordPressセキュリティプラグインは、サイトのセキュリティのより技術的な側面を処理できるため、セキュリティの専門家でなくても使用できます。
3.WordPressの2要素認証を有効にします。
二要素認証は、WordPressログインに保護の追加レイヤーを追加します。 ログインするには、パスワードに加えて、スマートフォンなどの別のデバイスから追加の時間依存コードが必要です。 二要素認証は、WordPressログインをロックダウンするための最良の方法のひとつであり、ブルートフォース攻撃が成功する可能性をほぼ完全に最小限に抑えます。
4.WordPressサイトを最新の状態に保ちます。
繰り返しますが、WordPressサイトを最新の状態に保つことは、WordPressの潜在的なセキュリティ問題を回避するための最良の方法の1つです。 今すぐWordPressサイトにログインし、WordPressコア、テーマ、またはプラグインの利用可能な更新を実行します。 プレミアムWordPressプラグインまたはテーマを使用している場合は、最新のライセンスを持っていることを確認して、更新を取得し、古いバージョンを実行していないことを確認してください。
5.サーバーに適切な権限を設定します。
サーバー上のすべてのディレクトリに適切な権限が設定されていることを確認してください。 適切な権限によって、ファイルの読み取り、ファイルの作成および編集を行う権限を誰が持つかが決まります。
6.スケジュールされたマルウェアスキャンを実行します。
スケジュールされたマルウェアスキャンで潜在的なマルウェア感染を監視します。 iThemes Security Proプラグインで提供されるマルウェアスキャンなどのほとんどのサービスは、他のいくつかのブラックリストステータスとともにWebサイトのマルウェアステータスに関するレポートを提供します。
7.信頼できるWordPressバックアップ計画を立てます。
WordPressのバックアップ計画を立てることは、WordPressのセキュリティ戦略の重要な要素です。 スケジュールされたバックアップを実行するように設定し、バックアップをオフサイトの安全なリモートWordPressバックアップ場所に安全に送信していることを確認します。 また、クリーンバックアップからサイトを復元する必要がある場合に備えて、バックアップ戦略に復元コンポーネントが含まれていることを確認してください。
8.WordPressブルートフォース保護を有効にします。
ブルートフォース攻撃から身を守ることは、潜在的な脆弱性やサーバーの過負荷を減らすためのもう1つの方法です。 ローカルとネットワークの両方のブルートフォース保護を含むサービスを使用して、他のサイトに侵入しようとしたユーザーが自分のサイトにも侵入することを禁止します。
今すぐiThemesSecurity Proを入手+ 25％オフ！
WordPressのセキュリティ問題は存在しますが、WordPressのセキュリティのベストプラクティスと潜在的なセキュリティリスクを認識することで、ほとんどを回避できます。 WordPressサイトを保護するための知識と戦略を備えているため、ハッキングに対する脆弱性を大幅に最小限に抑え、WordPressサイトを安全に保つことができます。
iThemes Security Proのような信頼できるWordPressセキュリティプラグインは、WordPressWebサイトの保護と保護に役立ちます。 30以上の方法でサイトをロックダウンすることで、iThemes SecurityはWordPressをロックダウンし、一般的な穴を修正し、自動化された攻撃を阻止し、ユーザーの資格情報を強化します。
iThemes SecurityProプラン。
iThemes SecurityProを入手する
Kristenは、2011年からWordPressユーザーを支援するチュートリアルを作成しています。通常、彼女はiThemesブログの新しい記事に取り組んでいるか、＃WPprosperのリソースを開発しています。 仕事以外では、クリステンはジャーナリング（2冊の本を書いています！）、ハイキングやキャンプ、料理、家族との毎日の冒険を楽しんでおり、より現代的な生活を送っています。
