皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

以前にご紹介した記事の中では、GeoIPやGeo Liteを使って海外からのアクセスを拒否する方法を書きました。

今日は、それらが使えない場合などにおける他の方法をお伝えします。

海外からのアクセスをIPアドレスでブロック

日本国内向けに公開しているウェブサイトにおいても、海外から迷惑なアクセスが多発することがあります。

特に、WordPressなどのCMS（Content Management System/コンテンツマネジメントシステム）を使っているウェブサイトにおいてはそれが目立ちます。

このような場合、アクセス元のIPアドレスを個別で指定するのではなく、サブネットマスクを付けて一定範囲を指定する方が効果があります。

例えば、アクセス元のIPアドレスが10.8.6.4だったとした場合に、以下のように.htaccessに記述します。

order allow,deny

allow from all
deny from 10.8.6.0/24

そうすると、10.8.6.0-10.8.6.255（256個のIPアドレス）の範囲をブロックすることができます。

これが、

order allow,deny

allow from all
deny from 10.8.6.0/16

であれば、10.8.0.0-10.8.255.255（65536個のIPアドレス）の範囲をブロックすることができます。

ただし、これらは事前にIPアドレスのデータベースなどにて調べる必要があります。

その調べた結果がすべてブロックしたい国のIPアドレスであれば大丈夫です。

※　サブネットマスクの計算は、インターネット上にサブネットマスク計算のサイトが公開されていますので、それを使うと簡単にできます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今年の2月、155万以上ものWordPressサイトが改ざん被害にあいました。

参照：WordPressの改ざん被害発生

これらの攻撃を受けてしまうリスクは、どのWordPressサイトにおいても常に存在しています。

WordPressは常に狙われている

ここ最近、この業務改善コンサルティング情報ブログにも狙われた痕跡がありました。

（現状はトルコ、ロシアから。）

とは言っても、ごく一般的なWordPressサイトに対するスキャンではります。

このようなことは、どのWordPressサイトにおいても起きています。

何故か？

攻撃者によって、悪用可能な脆弱性のあるWordPressサイトを常にスキャンしているからです。

WordPressを被害から守るには

WordPressなどのCMS（Content Management System/コンテンツマネジメントシステム）を使っている以上、脆弱性とは恒久的に付き合っていかなければいけません。

システムというのはそういうものでもあります。

そして、常に攻撃対象となってしまうことからは逃れられません。

これらのサイバー攻撃からWordPressサイトを守るには、WordPress本体、プラグイン、どちらも最新バージョンを維持し続けることです。

WordPressなどのアップデート（バージョンアップ）には、機能向上もあればセキュリティ更新もあります。

Windowsのアップデートと同じです。

カスタマイズによってWordPressがアップデートできないサイトの場合は、WAF（Web Application Firewall/ウェブアプリケーションファイアウォール）などを使って保護してください。

不正アクセスをブロックしてくれます。

ただし、これはWordPressがどうしてもアップデートできない状態にある場合の代替案であって、基本は最新を保つことです。

※　完全には守り切れません。

より良い方法としては、どちらも行う（WordPressなどを最新の状態に保ちながらWAFなどでも保護する）ことが望ましいでしょう。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

ウェブサイト構築において多く用いられているWordPressですが、これを含めた各種CMS（content management system/コンテンツマネジメントシステム）などにも必ずと言って良いほど脆弱な部分は存在します。

これらの脆弱性を悪用した被害にあわないためには、どのような対策を講じる必要性があるのでしょうか？

WordPressサイトが改ざんされた理由

今回の改ざん事例は実際に先週末あたりから被害が報告されており、原因はREST APIと呼ばれる処理に起因した脆弱性が存在したことにあります。

※　REST APIとは、Webシステムを外部から利用するためのプログラムの呼び出し規約の種類の一つです。

この脆弱性が悪用された場合、第三者からのリモート攻撃によってサーバ上のコンテンツを改ざんされる可能性があったわけですが、それが実際に起きてしまいました。

WordPressを大至急アップデートせよ

今回影響を受けたのは、WordPress4.7.0から4.7.1のバージョンで、現在の最新バージョンは4.7.2です。

影響を受けるバージョンを使われている場合、大至急WordPressを4.7.2にアップデートする必要があります。

またWordPress.orgは、バージョン4.7.2を2017年1月26日にリリースしたのですが、利用者の安全確保のため、この脆弱性の内容については2月1日まで公開を遅らせていたようです。

このように、WordPressなどのCMSにおいても脆弱性を悪用された被害は以前から存在します。

そして、これらのものを使っている以上、常に最新版を維持するよう、アップデートをしておく必要性があります。

今回影響を受けた対象はWordPress4.7.0から4.7.1ではありますが、それ以前のバージョンにおいても脆弱性は存在しています。

従って、常に最新版を維持する必要があるというのは、基本的に全てのWordPress利用者が対象であるということです。

以前にもお話ししましたが、WordPressなどのCMSを使っている以上、アップデートへの対応は継続的に行わなければいけません。

＜参考情報＞

WordPress.org
『WordPress 4.7.2 Security Release』
https://wordpress.org/news/2017/01/wordpress-4-7-2-security-release/

独立行政法人情報処理推進機構 (IPA)
『WordPress の脆弱性対策について』
https://www.ipa.go.jp/security/ciadr/vul/20170206-wordpress.html