WordPressの安全管理は、プラグインを更新するだけでは完了しません。攻撃に使われる入口、管理画面へ入るための認証、侵入後に気づいて戻す仕組みを分けて確認します。
攻撃に使われる入口を減らす
- WordPress本体、テーマ、プラグインのバージョンと更新可否
- 使用していないテーマ、プラグイン、テストページの削除可否
- サポートが終了した機能や古いPHPバージョンの有無
- XML-RPC、ファイル編集、管理画面など外部公開が必要な機能の範囲
プラグインは便利な機能であると同時に、サイトへ追加されるプログラムです。導入数だけで判断せず、現在使っているか、更新が継続しているか、代替できるかを記録します。
認証情報と権限を整理する
- 管理者アカウントの所有者と現在の担当
- 制作者、退職者、外部委託先の不要な権限
- 二段階認証とログイン試行への制限
- パスワードの再利用と共有方法
管理者全員へ同じ権限を付ける必要はありません。作業に必要な権限へ分け、共有アカウントを減らすと、問題が起きたときに操作元を確認しやすくなります。
侵入後の検知と復旧を準備する
- ファイルと設定の変更記録
- 管理画面、サーバー、WAFのログ
- バックアップの保存先、世代数、復元手順
- 不審な変更を見つけた場合の連絡先と停止手順
改ざんはトップページに現れるとは限りません。検索結果だけに表示されるページや、不審な管理者、外部通信が残る場合もあるため、画面表示だけでなく記録を確認します。
診断結果は作業単位で残す
確認した日、対象、結果、必要な対応、変更による影響を記録します。更新できない機能がある場合は、すぐ削除するのではなく、代替方法と復旧手順を決めてから作業します。