WORDPRESS SECURITY

WordPressの不安を、調べて、直して、次を決める。

管理画面には入れる。でも、本当に問題がないか分からない。更新してよいのか、何を消してよいのかも分からない。WordPressのトラブルは、画面に見える症状だけでは判断できません。

zigzagは、WordPress本体だけでなく、テーマ、プラグイン、ユーザー、公開ファイル、ログ、バックアップ、サーバー設定まで確認します。使い続けるのか、構成を整理するのか、別のCMSへ移すのかも含めてご提案します。

WordPressからのホームページ移行
  • 本体だけでなくサーバーまで確認
  • 証拠を消さない初動を案内
  • 復旧と再発防止まで対応
  • 移行するかどうかも一緒に判断

OUR STANCE

WordPressだから危険、ではありません。

WordPressにはセキュリティチームがあり、脆弱性への修正と更新が続けられています。一方で、本体、テーマ、プラグイン、PHP、サーバーを継続的に管理しなければ、安全な状態は維持できません。

問題はWordPressという名前ではなく、誰が更新し、異常を確認し、万一のときに復旧するのかが決まっていないことです。zigzagは、その担当と範囲を決めるところから引き受けます。

確認の基準には、WordPress公式のセキュリティ情報、IPA（情報処理推進機構）、OWASP ASVSなどの一次情報を参照しています。

ISSUES

ひとつでも当てはまれば、一度見せてください。

長期間アップデートしていない

管理者ユーザーが何人いるか分からない

不明なファイルやユーザーがある

検索結果に覚えのないページが出る

サイトから別サイトへ転送される

サーバー会社から警告が届いた

バックアップが復元できるか分からない

制作会社と連絡が取れない

古いPHPやプラグインを使っている

バックアップやSQLが公開領域に置かれている

WordPressを今後も使うべきか判断したい

WHAT WE DO

状況によって、入口を変えます。

  1. 01

    現状調査

    いま何が動いていて、何が放置されているかを一覧にします。

    確認WordPress・PHPバージョン／テーマ・プラグイン／管理者ユーザー／不審ファイル／公開バックアップ／ファイル権限／ログ／cron／データベース／サーバー設定

  2. 02

    緊急調査・復旧

    改ざんや不正アクセスが疑われるとき、証拠を残しながら止血します。

    対応公開停止または隔離／現状スナップショット／不審ファイル・マルウェア調査／改ざん箇所確認／正常データからの復旧／パスワード・認証情報変更／再発防止／Search Consoleのセキュリティ問題確認

  3. 03

    安全に使い続けるための整備

    WordPressを続ける前提で、管理と監視の体制を整えます。

    整備本体・テーマ・プラグイン更新／不要プラグイン削除／二段階認証／権限整理／WAF／CSP／バックアップ／復元確認／死活監視／ログ保全／ステージング環境

  4. 04

    WordPressからの移行

    構成を変えた方が安全で楽になる場合は、移行まで担当します。

    移行コンテンツ棚卸し／URL・SEO移行／専用CMS／静的サイト／Laravel等への移管／301リダイレクト／公開後監視

移行を選ぶ場合はWordPressからのホームページ移行、更新業務そのものを組み直す場合は独自CMS開発で対応します。

FIRST ACTION

気づいたとき、先に消さないでください。

あわてて不審なファイルを消したり、上書き更新をかけたりすると、何が起きたのかを追えなくなります。原因が分からないまま復旧すると、同じことが繰り返されます。連絡をいただく前に、次の点だけ気をつけてください。

不審ファイルを闇雲に削除しない

上書き更新の前に現状を保存する

ログを消さない

バックアップの有無を確認する

管理者権限の利用を最小限にする

必要に応じて公開停止・隔離を検討する

被害の有無は、画面の症状だけでは判断できません。断定せず、まず現状のまま見せていただくのが早道です。

EXPERIENCE

実際に、手を入れてきたこと。

自社および受託の運用のなかで、WordPressへの不正ファイル設置の調査、公開領域に置かれたバックアップやデータの発見、改ざん・不審ファイルの封鎖、WordPressからLaravel等への移行を行ってきました。

個別の案件については、対象・時期・被害内容を含めて公開していません。ご相談の際に、必要な範囲でお話しします。

PRICE

状況によって、必要な範囲が変わります。

点検だけで済むのか、復旧が要るのか、構成から変えるのか。かかる手間はまったく違います。まず状況を伺い、必要な範囲を分けてお見積もりします。

  • スポット点検
  • 緊急調査・復旧
  • 継続保守
  • WordPressからの移行
  • 正式な外部脆弱性診断の手配

監視は機械による自動監視を基本とし、人が対応する時間帯は個別にお約束します。24時間の有人対応はお受けしていません。

RELATED

なんでも相談室

不安なままにしておくのが、いちばん困ります。

おかしいかもしれない、という段階で構いません。何を見ればよいかから、一緒に確認します。