【エンタープライズに強いWordPressは楽して作る時代】 wordbench福岡でお話した内容です。

1. Copyright © NHN Techorus Corp.
NHNテコラス株式会社
SME事業部
平賀 真琴
できる？どうやる！
WordPressのセキュリティ運用

2. Page 2
自己紹介
平賀 真琴 （ひらが まこと）
• 所属：NHNテコラス株式会社
• 担当：「エクスクラウド（EX-CLOUD）」
販促・マーケ担当
• 趣味：車、キャンプ、DIY
• 前職：Iaas営業、自動車部品メーカー、
人材営業
• その他：埼玉県出身、東京町田市在住、
3人家族

3. Page 3
本日のもくじ
・WordPressの脆弱性とは
・脆弱性攻撃を知る
・攻撃ってどうやる？
・どう運用する？WordPressのセキュリティ対策
・WordPressのセキュリティ対策
・脆弱性対策
・ログイン画面への対策
・まとめ
・WordPressホスティング

4. Page 4
WordPressの脆弱性とは
・2016年の脆弱性は約60件：ほとんどがプラグイン
・本体の脆弱性：4.7.0/1 REST APIの脆弱性等

5. Page 5
脆弱性攻撃を知る
脆弱性攻撃は脆弱性が公開された直後に集中
▶対策はスピード勝負
※OpenSSLの脆弱性を
悪用する国内の攻撃の検
知数および送信元IPア
ドレス数の推移
（Tokyo SOC調べ：2014年4月11日～2014年7月31日）

6. Page 6
脆弱性攻撃を知る
脆弱性対策には全体の1/3が3ヶ月以上を要している
▶対策が全然間に合っていない
攻撃が終わっている
タイミング
※ウェブサイトの修正に
要した日数
（IPA ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポート ）

7. Page 7
攻撃ってどうやる？1/2
攻撃ツールについて
Google検索により容易にペネトレーションツールが入手できる。

8. Page 8
攻撃ってどうやる？2/2
攻撃しやすいサイトとは
Googleの検索結果で判別できる PHPのエラーメッセージで
google検索
脆弱性なし
脆弱性あり
脆弱性あり
脆弱性のあるサイトを
狙いSQLインジェク
ション攻撃などを行う

9. Page 9
どう運用する？WordPressのセキュリティ対策
対応は２つ
・脆弱性を隠す
・ログイン画面への対策

10. Page 10
脆弱性対策
・WordPress本体、プラグインの脆弱性を
随時チェックし即座にアップデート（SOC?）
・WAFによる攻撃パケットの無効化
（REST APIの脆弱性も対応）

11. Page 11
ログイン画面への対策
①パスワードは強力に
②Fail2banによるSSH、およびWordPress
パスワードへのアタック対策
③Captchaによるログイン二重認証

12. Page 12
まとめ
・最新版へ即座にアップデート
もしくはWAFを活用
・パスワードは強力に
・ログイン画面へも対策

13. NHN テコラス株式会社 Copyright © NHN Techorus Corp. All rights reserved. －13－
EX-CLOUD WordPressホスティングのご紹介
超高速！

14. NHN テコラス株式会社 Copyright © NHN Techorus Corp. All rights reserved. －14－
最大13段階のサービス
無停止スケールアップ
無料でお試しください

15. NHN テコラス株式会社 Copyright © NHN Techorus Corp. All rights reserved. －15－
パ ー ト ナ ー 登 録 頂 き ま す と 、 N H N テ コ ラ ス が 運 営 、 参 加 す る 勉 強 会 に 優 先 的 に ご 案 内 し ま
す 。 C M S 勉 強 会 、 セ キ ュ リ テ ィ 勉 強 会 等 、 パ ー ト ナ ー 様 同 士 の 交 流 会 や 情 報 交 換 の 機 会 を
ご 提 供 し て い ま す 。
E X - C L O U D 各 プ ラ ン や S S L ク ー ポ ン
も 最 大 1 7 % O F F の パ ー ト ナ ー 価 格 で
ご 利 用 で き ま す 。
実際のイベント風景
テコラスパートナー登録も無料