WordPressはその使いやすさから多くのウェブサイトで使用されていますが、その人気が高いためにセキュリティの脅威にも晒されやすくなっています。特にレンタルサーバーを利用する際、Web Application Firewall（WAF）の設定が重要となります。この記事では、レンタルサーバーのWAFとWordPressのセキュリティ対策について、ロリポップ、Xserver、GMOクラウドの情報を基に解説します。
結論：わざわざWAFをOFFにする理由がない
WordPressのセキュリティ対策としてレンタルサーバー側で用意しているWAFですが、このWAFは「Webアプリケーションの脆弱性を悪用した攻撃からサイトを保護する機能」であり、家で言えばセコムやアルソックのような警備が無料でつけられるのにわざわざお断りするようなものです。普通に考えればわざわざWAFをオフ（無効化）にして利用するという選択肢はないのです。
しかし何でWAFを無効化したいかと言うと、例えば、近年多いElementorプラグインでウェブサイトを作成している場合などにWAFが有効化された状態だと保存ができなかったりエラーが起きたりするということがあります。この時の解決方法としてWAFを無効化しましょうということが提唱されていますが、セコムやアルソックのような警備がお手上げするようなプラグインを使う理由がまずないんです。Elementorプラグインでサイトを設計することが流行っていますが、WAFはちゃんとその危険性を教えてくれているのにわざわざオフにして対策できましたというのは馬鹿だなと思います。これが結論です。
WAFの役割と重要性
WAFは、Webアプリケーションの脆弱性を悪用した攻撃からサイトを保護する機能です。これにより、クロスサイトスクリプティング（XSS）、SQLインジェクション、ファイル不正アクセスなどの脅威からウェブサイトを守ることができます。レンタルサーバーのWAF設定を適切に行うことで、WordPressサイトのセキュリティを大幅に向上させることが可能です。
WAFの設定方法
WAFの設定は、レンタルサーバーのコントロールパネルから行うことができます。各レンタルサーバー会社では、WAFの設定方法に関する詳細なガイドを提供しています。重要なのは、WAFを有効にすることで、不正アクセスを自動的に検知し、ブロックすることができる点です。
WAFの効果
WAFを有効にすることで、サイトへの不正アクセスや改ざんを防ぐことができます。特にWordPressはその普及度の高さから攻撃の対象になりやすいため、WAFの設定は非常に重要です。WAFは、サイトへの攻撃をリアルタイムで検知し、サイトを保護するための最初の防衛線となります。
WAFがオフの場合のリスク・改ざん被害事例
WAF（Web Application Firewall）がオフの場合、ウェブサイトは様々なセキュリティリスクに晒される可能性が高まります。WAFは、ウェブアプリケーションを不正アクセスや攻撃から保護するための重要なツールです。以下に、WAFがオフの場合に起こり得る事例とその影響を説明します。
1. クロスサイトスクリプティング（XSS）攻撃
WAFがオフの場合、クロスサイトスクリプティング（XSS）攻撃のリスクが高まります。XSS攻撃では、攻撃者は悪意のあるスクリプトをウェブページに注入し、他のユーザーがそのページを閲覧する際にスクリプトが実行されます。これにより、ユーザーのセッション情報やクッキーが盗まれる可能性があります。
2. SQLインジェクション
SQLインジェクション攻撃は、攻撃者がデータベースクエリに悪意のあるコードを注入し、データベースを不正に操作するものです。WAFがオフの場合、この種の攻撃を検出し防ぐことができなくなり、重要なデータの漏洩や改ざんが起こる可能性があります。
3. ファイルアップロードの脆弱性
WAFは、不正なファイルアップロードを防ぐ役割も果たします。WAFがオフの場合、攻撃者はマルウェアやバックドアを含むファイルをサーバーにアップロードし、システムを乗っ取ることが可能になります。
4. データ漏洩
WAFは、機密データの漏洩を防ぐためにも重要です。WAFがオフの場合、攻撃者はセキュリティの脆弱性を突いて機密情報を盗み出すことが容易になります。
事例
ある中小企業が運営するWordPressサイトでは、WAFがオフに設定されていました。この脆弱性を突いて、攻撃者はクロスサイトスクリプティング（XSS）攻撃を仕掛けました。攻撃者は、サイトのコメントセクションに悪意のあるスクリプトを埋め込み、サイト訪問者のブラウザで実行させることに成功しました。
このスクリプトにより、訪問者のセッション情報が盗まれ、さらにはサイトの管理者権限を不正に取得されました。その結果、攻撃者はサイトの主要なページを改ざんし、フィッシングサイトへのリダイレクトコードを挿入しました。この改ざんにより、サイト訪問者は知らず知らずのうちに危険なサイトに誘導され、個人情報を盗まれるリスクに晒されました。
さらに、この改ざんはサイトのSEO評価にも悪影響を及ぼし、検索エンジンによってブラックリストに登録される事態に至りました。企業はこの問題の解決と信頼回復のために多大な時間と費用を費やすことになりました。
結論：よっぽどの理由がない限り、WAFはオン（有効化）しておくべき！
この事例から明らかなように、WAFがオフの状態では、WordPressサイトは改ざんや不正アクセスのリスクが大幅に増加します。サイトの改ざんは、単にウェブサイトの外観を損なうだけでなく、訪問者のセキュリティを脅かし、企業の評判にも深刻なダメージを与える可能性があります。したがって、WAFは常に有効に保ち、定期的なセキュリティチェックとアップデートを行うことが、ウェブサイトの安全性を確保する上で非常に重要です。
WordPressのセキュリティ対策
WordPressを安全に運用するためには、以下の対策が必要です。
具体的なWordPressのセキュリティ対策
WAFの有効化
不正アクセスを検知しブロックするWAFを有効にすることで、多くの攻撃を防ぐことができます。
最新バージョンの維持
WordPress、テーマ、プラグインを常に最新の状態に保つことで、既知の脆弱性から保護します。
強固なパスワードの使用
FTPやCMS管理画面のパスワードは推測されにくいものに設定し、定期的に変更することが重要です。
定期的なバックアップ
サイトの定期的なバックアップを取ることで、万が一の時に迅速に元の状態に戻すことができます。
セキュリティプラグインの利用
WordPressには多くのセキュリティプラグインが存在します。これらのプラグインを利用することで、サイトのセキュリティをさらに強化することができます。プラグインは、ファイアウォールの機能、ログイン試行の制限、マルウェアスキャンなど、様々なセキュリティ機能を提供します。
定期的な監視とアップデート
WordPressのセキュリティは、定期的な監視とアップデートが不可欠です。セキュリティの脅威は常に進化しているため、最新のセキュリティ情報に注意を払い、必要に応じて迅速に対応することが重要です。
セキュリティ対策の実践
レンタルサーバーのWAF設定を有効にし、WordPressのセキュリティ対策を実施することで、不正改ざんや不正アクセスのリスクを大幅に減らすことができます。これには、サーバーの設定変更、WordPressの定期的なアップデート、セキュリティプラグインの利用などが含まれます。
サーバーのセキュリティ設定
レンタルサーバーのセキュリティ設定を適切に行うことは、サイトの安全性を高める上で非常に重要です。サーバーのファイアウォール設定、アクセス制限、SSL証明書の利用などを適切に行うことで、サイトのセキュリティを強化できます。
ユーザー教育とポリシーの策定
サイト管理者やユーザーに対するセキュリティ教育も重要です。強固なパスワードの使用、不審なメールやリンクへの注意、定期的なセキュリティチェックの実施など、ユーザーが行うべきセキュリティ対策を明確にすることが重要です。
結論
WordPressのセキュリティは、単にソフトウェアを最新に保つだけでは不十分です。レンタルサーバーのWAF設定を適切に行い、強固なパスワードの使用、定期的なバックアップなどの対策を講じることが重要です。これにより、WordPressサイトを安全に運用し、不正改ざんや不正アクセスから守ることができます。
近年はWebデザイナーの育成講座などでElementorプラグインを使用して簡単にサイトが作成できるという誘導がなされていますが、はっきり言って時代遅れであり、Elementorプラグインを使って作成したサイトの多くはWAFを無効化しないとページの更新ができないなどのエラーが多発します。これに対し、Elementorプラグインを使ってサイトを作成する自称WEBデザイナーは、「WAFがないレンタルサーバーだってあるのだから、WAFは無効化しておいても全く問題ない」という言い訳で切り抜けています。
実際私はWordPressのサイトのエラーの修正などを承っている立場ですが、Elementorプラグインを使用して作られたサイトが改ざんされて困っているという方はかなりの割合でいます。絶対にElementorプラグインでサイトを作るということはおすすめしません。
