1. TOP
  2. Webサービス
  3. CentOS7,PHP7,MySQL5.6でWordPressサイトを構築 その13(サーバーのセキュリティ対策)

CentOS7,PHP7,MySQL5.6でWordPressサイトを構築 その13(サーバーのセキュリティ対策)

|

thumbnail

その12までの記事で、さくらのVPSを使ってWordPressサイトを立ち上げることができました。単に立ち上げるだけであれば作業はその12で終了します。

サーバーのセキュリティ対策

ですが、それだけで作業を終わらせてしまうと、そのWordPressサイトはインターネット上の様々な脅威にさらされるでしょう。そのためサーバーに対するキュリティ対策が必要となります。ただインターネット上のセキュリティと一口に言っても、様々な攻撃とその対策が挙げられます。

今回の記事では、盗聴なりすましに対処する通信の暗号化や、個人情報の窃取やサイト改ざんなどを狙った、SQLインジェクションクロスサイトスクリプティング(CSRF)に関する対策方法をご紹介します。

サーバ証明書の導入(Webサイトの常時SSL化)

クライアント・サーバ間の通信するときの方式は”http://”ではなく、暗号化された”https://“で行いましょう。そのために自分のサーバー(さくらのVPS)にSSLサーバ証明書を導入・設定する必要があります。

SSLサーバ証明書とは

SSLサーバ証明書とは信頼された認証局が、情報通信先のサーバのサイト運営組織が実在していることを証明し、WebブラウザとWebサーバ間(サーバ同士でも可能)でSSL(Secure Socket Layer)暗号化通信を行うための電子証明書です。

この電子証明書をサーバーに導入することによって、原理的に鍵認証方式で弱点とされている公開鍵の正当性を保証することができます。またその電子証明書が政府や大企業など、より信頼がおける団体が発行する証明書になるほど、セキュリティが高まるとされています。

無料SSL証明書 Let’s Encryptの導入方法

とはいってもそういう証明書は利用料金が高いため、個人のブログサイトなどでいきなり導入することはハードルが非常に高いでしょう。

この記事では、誰でも無料でSSL証明書を手に入れることができる、Let’s Encryptとその設定方法について紹介しています。ぜひ参考にしてください。

SiteGuard Lite(WAF)のセットアップ

近年、Webアプリケーション(WordPress含む)の脆弱性を狙って、個人情報の窃取やサイト改ざんによるマルウェア配布サイトへの悪用への事例が多発しています。

脆弱性対策は難しい

これらの事件・事故の原因は、SQLインジェクションやクロスサイトスクリプティング(CSRF)といったWebアプリケーションの脆弱性を悪用した攻撃によるものが代表的であるとされています。

しかしながら、安全なWebサイト・アプリケーションの構築は難しく、脆弱性をゼロにするのは簡単なことではありません。

SiteGuard Liteの導入と初期設定

そこで、さくらのVPSでは効果的にWebサイトのセキュリティを強化するためのWAF(Web Application FireWall)として、株式会社ジェイピー・セキュアが開発したSiteGuard Liteが無料で使用することができます。

その導入や初期設定については上記の記事を参考にしてください。

またそのSiteGuard Liteの導入と初期設定を行なったあとに、php.iniの設定も確認しておくことをおすすめします。

DDoS/DoS攻撃の対策

WordPressサイトを運営しているサーバーには、外部のサーバーからDDoS/DoS攻撃を受けることがあります。DDoS/DoS攻撃とはサーバやネットワークなどのリソース(資源)に意図的に過剰な負荷をかけたり脆弱性をついたりすることでサービスを妨害する攻撃のことを指します。

さくらのVPSでは、デフォルトでfail2banという不正攻撃のログ痕跡からアクセスを自動遮断するアプリケーションが、標準でインストールされています。ですがそのデフォルトの設定が甘かったりするので、自分である程度工夫することが必要です。

以下の記事では、デフォルトの設定からオリジナルの設定に変更するための、ノウハウを記しています。この方法がすべてではありませんが、ある程度はDDoS/DoS攻撃防ぐことができています。

これらの記事がVPSやクラウドでWordPressサイトを運営されている方のご参考になれば幸いです(その14に続く)