WordPress＋VPSで作られたWebサイトのセキュリティチェックポイントとWordPressの「Waltiプラグイン」について

@fujisaki_hb

WordCamp Tokyo 2015

こんなことは ありませんか？

この要件はWordPressを カスタマイズしないと いけないぞ？

WordPress用に サーバーを立てなきゃ

そこで

VPS・IaaS …etc

やっぱりセキュリティ 心配ですよね？

確認ポイント、３つ

1. ファイアウォールの設定

iptables, security group…etc

設定後、 動作確認してますか？

はい、80portアクセスできています。

違います。

TCP 80port 以外の 使っていないPortにアクセスできないことを確認していますか？

確認方法

ポートスキャン

例）nmapコマンド

# nmap hogehoge.com (略) PORT STATE SERVICE 80/tcp open http 443/tcp open https 8080/tcp open http-proxy 8443/tcp open https-alt

でも、もうちょっと ちゃんとすると…

# nmap -sS -sV -Pn -p 1-65535 hogehoge.com (略) PORT STATE SERVICE VERSION 80/tcp open http cloudflare-nginx 443/tcp open ssl/http cloudflare-nginx 2052/tcp open http cloudflare-nginx 2053/tcp open http cloudflare-nginx 2082/tcp open http cloudflare-nginx 2083/tcp open http cloudflare-nginx 2086/tcp open http cloudflare-nginx 2087/tcp open http cloudflare-nginx 2095/tcp open http cloudflare-nginx 2096/tcp open http cloudflare-nginx 8080/tcp open http cloudflare-nginx 8443/tcp open http cloudflare-nginx 8880/tcp open http cloudflare-nginx

奥が深い。

2. Webサーバの設定

nginx/Apache 起動しました。php動くようにしました。

設定に不足はないですか？

確認したいよね！

例）niktoコマンド

Webサーバの設定を セキュリティ的な視点で チェックしてくれる優れモノ

#perl nikto.pl -host http://hogehoge.com

検出項目例) phpのversionを隠せているか

3. WordPressに機能追加した部分の脆弱性

脆弱性スキャンをどうしよう？

例）OWASP ZAP skipfish WPScan

Webアプリケーションの脆弱性を チェックしてくれる優れモノ

# skipfish hogehoge.com

意外と簡単ですが、ちゃんとやろうと思うと

試行錯誤が必要

注意事項１

• ＷordPressの管理画面にログインして スキャンすると、CSSが書き換わっちゃう！

注意事項２

• 更新系処理があるとスキャン用のデータが大量に書き込まれてしまう！

注意事項３

• POSTを含むリクエストを含むので、問い合わせフォームがあると大量にメールが飛んでしまう！

大切なことなので 頑張りましょう

そんな方へお勧めしたいのが

WordPressの 「Waltiプラグイン」

Walti.ioと連携してWordPressのWebサイトに

簡単にセキュリティスキャンができる WordPressのプラグイン

Walti.ioとはhttps://walti.io/

Walti.ioでできること

- ファイアウォールのチェック - Webサーバの設定のチェック - SSL証明書のチェック - Webアプリのチェック

Walti.ioを使うには

1) Walti.ioでアカウント登録、組織を作成

2) WaltiプラグインをWordPressに インストールして Walti.ioのAPIキーを設定

3) nmap/nikto/skipfish等でスキャンが可能

Walti.ioの理念

• サーバーサイドのセキュリティスキャンを もっと身近に！

OSSやWalti.ioを使ってWordPressで作られた Webサイト・システムにセキュリティスキャンを。

https://walti.io/

快適なWordPressライフを！