WordPress本体・テーマ・プラグインの更新について

再発防止で最も重要なのが、アップデートです。

WordPress 本体は、継続的にセキュリティ対応が行われている CMS です。一方で、実際の Web サイトでは、テーマ・プラグイン・サーバー環境・パスワード管理・更新運用などによって安全性が大きく変わります。そのため、復旧後は WordPress 本体だけでなく、サイト全体の運用を見直すことが重要です。

WordPress 公式ディレクトリのプラグインは一定の審査を経て公開されますが、すべてのプラグインを WordPress 本体と同じ開発主体が継続的に保守しているわけではありません。多くは第三者の開発者が作成・保守しているため、更新停止や脆弱性対応の遅れがリスクになることがあります。

どのくらいの頻度で更新する？

管理画面にログインした際に更新通知があれば、原則としてすぐに更新します。ログインの頻度が低い場合でも、1〜2 週間に一度はチェックすることをおすすめします。

パスワードと二要素認証について

侵入の入口は、近年このパスワード認証の突破が多くを占めています。納品時には、15 桁以上の強固なパスワードを設定しています。納品後に簡単なパスワードへ変更されると再発リスクが高まりますので、納品時のパスワード、または WordPress の自動生成機能で作成される 15 桁以上のパスワードをご利用ください。

バックアップについて

復旧後は、新しいバックアップを作成しておきましょう。被害時にサーバー内にあったバックアップは、すでに汚染されている可能性があります。復旧後の状態で改めてバックアップを作成し、サイトとは別の安全な環境（ローカル環境など）で保管されることをおすすめします。

ログ保存と改ざん検知について

アクセスログの保存

万一の際の状況確認や原因調査のために、サーバー側でのアクセスログ設定を3 ヶ月以上、できるだけ長期間保存しておくことをおすすめします。保存期間が長いほど、追跡できる範囲が広がります。

改ざん検知という選択肢

改ざんをすぐ検知できれば、復旧も早く行え、サイトの停止時間も短く済みます。外部からページの変化を見る方式もありますが、リダイレクト型の改ざんやバックドア（再侵入用の裏口）は見つけにくいという弱点があります。サーバー内に検知の仕組みを置く方式は、より確実に変化をとらえられます。

企業サイトでは、セキュリティ対策も経営上のリスク管理です

経済産業省は、IPA（情報処理推進機構）と共に「サイバーセキュリティ経営ガイドライン」を策定しています。最新の Ver.3.0 では、経営者のリーダーシップのもとでセキュリティに取り組むこと、適切なセキュリティ投資が経営者の責務であることが、より明確に示されています。脆弱性対策・不正アクセスの検知・被害発生時の復旧体制の整備などが求められています。

更新や監視を続ける時間・体制が難しい場合は、専門会社に任せる選択もあります。Web 制作会社がデザインのプロであっても、セキュリティのプロとは限りません。ページの更新や制作は制作会社へ、セキュリティの保守・監視は専門へ、という分担が現実的です。

保守でカバーする領域

場当たり的な対応ではなく、「現状確認 → 防御 → 検知 → 対応 → 復旧」という一連の流れで、継続的に安全性を高めます。

改ざん検知 ― サーバー内ファイルの整合性監視

一般的な外部巡回型の改ざん検知は、公開ページを外側から確認する方式です。この方式は導入しやすい一方で、特定のリファラ・言語・アクセス条件でだけ表示される改ざんや、サイト内のどのページからもリンクされていないバックドアを見つけにくい場合があります。HACK RESCUE の保守では、サーバー内のファイル変更を直接確認する整合性監視を行い、不審なファイル追加・改変を早期に検知できるようにします。

保守サービス一覧

万一の被害時の復旧保証

目的に合わせて選べる保守プラン

HACK RESCUE は改ざん復旧サービス、WebRepair は継続的なセキュリティ保守・運用のブランドです。継続的な保守が必要な場合は、運営元 CCSI の姉妹ブランド WebRepair にて対応しています。