この記事では、ウェブサイトをhttpからhttpsに変更する手順 (SSL化) について詳しくお伝えします。 サイトをHTTPS化すると次のようなメリットがあります。 盗聴・なりすましといった通信の改ざんを防止できるので、サイトのセキュリティが強化される サイト全体に暗号化をかけることによって、訪問するユーザーが安心してサイトを閲覧できる サイトの信頼性が上がる ①レンタルサーバーの移行 HTTPS化を行うために、wpXクラウドからXserverへ移行しました。 Check! レンタルサーバーの移行！wpXクラウド から Xserver へ Xserverは、wpXクラウドよりも細かい設定を自由にカスタマイズできます。 ②SSL証明書を取得 SSL証明書を取得します。 Googleのアルゴリズムでは、サーバー証明書の種類を問わないとのことでしたので、一番安いCoreSSLを取得しました。

「Web担当者Forum ミーティング2015 秋」において、合同会社シマンテック・ウェブサイトセキュリティ中川 就介氏が、「Webサイト全体HTTPS化(常時SSL)の効果と実装のポイントと題してわかりやすく解説した。 すでに始まっている常時SSL化への流れ常時SSLという言葉をご存じだろうか。一般的なWebサイトでは、利用者が情報を入力するページだけはHTTPSで、トップページやログイン後のページはHTTPというケースが多い。それを、全ページHTTPS化するということだ。 銀行やECサイトではないのにそこまでする必要があるのかと思われるかもしれない。しかし、銀行やECはセキュリティ対策が進んでいるため、今は対策が進んでいないWebサイトこそがサイバー攻撃の狙い目になっている。また、クレジットカード番号やパスワードを入力させていないとしても、昨今はメールアドレス、嗜好性、cookieも保

まず報告者に、改ざんの状況をヒアリングする。その後、ヒアリングに基づいて改ざんの有無を調査し、確認できたらWebサイトを停止する。そして、今後の調査や対応の方針を検討。状況に応じて、セキュリティベンダーなどに調査や対応を依頼する。この場合も、標的型攻撃の対応と同様に、時間との勝負だ。素早い対応が被害を最小限に抑える。 できるだけ詳細を尋ねる 報告者へのヒアリングでは、できるだけ詳しい情報を聞き出す（図2）。その情報が、今後の調査のベースになるからだ。

WPEngineというのはアメリカに本社を置く大手のホスティング企業のひとつです。 名前のとおりWordPressにとても精通している企業で、海外のWordCampでは必ずスポンサーとして参加しています。 この記事で紹介するリストはそのWPEngineさんが公開している "Disallowed Plugins" というリストです。 あらかじめ強調しておきますが、ここで紹介されているプラグインの多くはそれ自体に問題があるというよりも、不自由なインフラを使っているユーザーのニーズに応えた結果こうなったというのが現実であると思います。 なので、プラグインそのもののリストはこの記事では紹介しません。オリジナルの記事をご覧になってください。 このプラグインいいよーみたいな記事に飛びついて自分のサイトにインストールしたらハマったみたいなことは、多くの方が経験していると思いますが、WordPressプラ

Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL

「WordPressの運用上のセキュリティについて考えよう」ではウェブサイトの改ざんの検知方法について具体的な方法を書かなかったのですが、ブロガーさんでも簡単にできるお手軽な方法をご紹介します。 Google ウェブマスターツールを活用しよう 今やウェブサイトを作ったら必須とも言える Google ウェブマスターツールへのサイトの登録。 Google ウェブマスターツールでは「マルウェアの感染をいち早く検出する」機能があり、その情報はメールアドレスに転送することも出来ます。 この機能は2011年より提供されています。 Google ウェブマスター向け公式ブログ: ウェブマスター ツールを使う 7 つの理由 また Google ウェブマスターツールではインストールされているCMSのバージョンが古いと、アップデートをおすすめする通知もあります（メールへの転送もあり）。こちらは2012年より提供

アクセスログの取得 まずは、サーバーからアクセスログを取得します。 僕は、今エックスサーバーしか利用していないので、その方法を書きます。 エックスサーバーの場合はサーバーパネルからログインしてパネルを開きます。 そして、「統計」項目の「ログファイル」をクリックします。 あとはドメインを選択して、 ダウンロードするだけです。 エックスサーバーデフォルトの場合は「nelog.jp.access_log」というファイルがダウンロードされます。 このアクセスログには、すべてのファイルへのアクセスに対する「1週間のログ」が書き込まれています。 すべてのファイルへのログなので、当サイトの場合だと2GB以上あり、600万行以上のテキストになっていました。 アクセスログの解析方法 これら膨大なアクセスログから、一つ一つ怪しいファイルを見ていくのは不可能なので、簡単な解析用コードをRubyで書きました。 W

WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で

HTML Editor Syntax Highlighterは、エディタに書いたコードを見やすくできるWordPressプラグインです。エディタに表示するHTML・CSS・JSなどのコードを見やすくできます。 投稿・固定 […]

若い世代を中心に人気のティックトック（Tik Tok）について、そこに潜んでいる危険性と、その危険性に適切に対処する方法を解説します。

こちらのサイトのおかげでWordPressのPingback機能が危ないことを知った。 DoSの踏み台にされているJPドメインのWordPressをまとめてみた http://d.hatena.ne.jp/Kango/20140313/1394673178 とりあえずSucuriのチェックサイトでは検出されていないようだが念の為に無効にすべきだろうか、そして無効にしてその弊害になるのは何だろうか。 今度はWordPressが踏み台に、Pingback機能を悪用しDDoS攻撃 http://www.atmarkit.co.jp/ait/articles/1403/13/news133.html この問題は、自分の投稿に対してリンクが張られたことを知らせるPingback機能を悪用したものだ。WordPressのPingback機能はXML-RPC APIを用いて実装されている。このAPI（x

wordpressを運営する上で注意しなくてはならないのは、セキュリティです。WEB上に公開し時点で世界と自分のサイトがつながりますので、不正ログインなどのハッキングから身を守る必要が有ります。そこで今回は、サイトのセキュリティを強化するプラグイン６選をご紹介します。日本国内で生活していると身の危険を感じることはありませんが、ネットの世界は状況が違ってきます。wordpress をインストールし、ウェブに公開した時点で世界と自分のサイトがつながります。慈悲に満ちた世界であればこのような心配はいらないのですが、悪意あるネットユーザーも少なくありません。2年前に日本で起きたwordpress 乗っ取り事件（参考文献）では、一つのサーバー・サービス会社から8,438件の被害が発生しました。第三者によって自分のwordpress サイトに不正ログインされて、公開情報を改ざんされた被害です。被害に合

WordPressのセキュリティを強化できるプラグインを紹介します。 WordPressのブログに対してのセキュリティ対策を何もしていないと、 無防備の状態であり、外部からの様々な攻撃に晒されている危険な状態です。 例えば、「ブログの管理者権限を乗っ取られる」「ブログの記事が改ざんされる」「迷惑なコメントスパムが毎日大量に投稿される」など、様々な被害に遭う可能性が高くなります。 セキュリティを強化するプラグインを活用することで、外部からの様々な攻撃から自分のブログを防衛しましょう。 この記事を読むと得られること はじめに セキュリテイ対策の重要性 WordPressは、世界中で非常に人気のあるコンテンツ管理システム（CMS）です。 利用者が非常に多いので、それを悪用しようとする悪者も非常に多いのが現実です。 それらの殆どが海外からの不正なアクセスです。 脆弱性をスキャンし、セキュリティの弱

WordPressは、オープンソースで最も有名なコンテンツマネジメントシステムです。 ですが、オープンソースなので、脆弱性が発見されやすく、ハッカーの標的になりやすい。といった特徴もあります。 その為、WordPressを利用しているサイト運営者は、セキュリティ上の問題を決して軽視せず、自ら対策を講じなければなりません。 今回の記事では、この「対策内容」を、１１にまとめました（下記） テーマやプラグインは、Wordpress公式のものを利用する WordPress本体やテーマ・プラグインは、最新版にしておく WordPressのバージョン情報について 「wp-config.php」を、アクセス不可に設定する データベーステーブルのプレフィックスを、デフォルト値から変更する 「Akismet」プラグインを利用して、スパムコメント対策をする ブルートフォースアタック（総当たり攻撃）への４つの対

皆様はじめまして、モリイです。本業ではWordPress専用のセキュリティ診断サービスを運営しています。 さて、ご存知の方も多いとは思いますが、WordPressは攻撃者によく狙われます。 その理由の1つは高い導入率です。LIGブログでも以前こちらの記事「みんなは知ってる？WordPressの特徴と人気の理由を分析してみた」で紹介されていたように、世界で一番人気のCMSです。WordPressで作成されたサイトは世界中に9000万以上あると言われており、悪意を持っている人物にとっては格好のターゲットです。 また、WordPressだけではなく、CMS一般、例えば、Drupal、EC-CUBEなどにも言ることですが、構造がパターン化されており、そのCMSを利用しているということが一目でわかる、ということも攻撃される理由に挙げられます。 そこで、サイト管理者は攻撃者からサイトを守らなければいけ

WordPressでブログやサイトを運営する前、そして運営している時にしっかり設定しておきたいWordPressのセキュリティやメンテナンスに役立つ.htaccessの設定を紹介します。 .htaccessファイルを守る 最初に行うことは、.htaccessをあなた以外の無許可のアクセスから守ることです。下記のスニペットは第三者があなたの.htaccessファイルにアクセスするのを阻止します。 ルートの「.htaccess」に下記を記述します。 <files ~ "^.*\.(&#91;Hh&#93;&#91;Tt&#93;&#91;Aa&#93;)"> order allow,deny deny from all satisfy all </files> wp-config.phpファイルを守る WordPressでもう一つ重要なファイルがあります、それはwp-config.phpです。