ホームページの公開ができるよう、ホームページ作成とレンタルサーバーとセキュリティ対策についてまとめています。▲記事トップへ目次この記事の目次です。どのようなセキュリティリスクが想定されるかどのようなセキュリティリスクが想定されるのでしょうか。想定されるセキュリティリスクをまとめてみました。WebレピュテーションWebレピュテーションは、ブラックリストなどのホームページに関連したWebの評価や評判のことです。ブラックリストにリストされてメールが送信できなくなった、Googleサーチコンソールで警告が表示された、Googleアドセンスの申請が通らない、などの影響を与えるリスクです。ブラウザーサイドのコンテンツHTMLやCSS、JavaScriptは、ブラウザー(ユーザーの端末)で動作するコンテンツですので、ユーザーに直接影響を与えます。代表的な脆弱性(セキュリティの欠陥)としては、XSS(クロスサイトスクリプティング)があげられ、ホームページの表示が改ざんされ、ユーザーがだまされてしまうリスクです。httpsやクリックジャッキングなどの欠陥を利用した攻撃は、サーバー側で実行されるわけではなく、レンタルサーバーのWAFでは防げないので、レンタルサーバーの設定で対策する必要があります。サーバーサイドのコンテンツPHPは、サーバーで動作するコンテンツです。脆弱性があると、サーバーにある情報が漏えいしたり、サーバー自体が乗っ取られてしまうリスクとなります。WordPressのプラグインで防げるものもありますが、WordPressはメモリなどのリソースをたくさん消費しますので、プラグインで余計重たくなり、メモリ不足で停止させられるリスクが増すのでプラグイン頼みは注意が必要です。レンタルサーバーの設備レンタルサーバーは、さまざまな利用者を想定してソフトウェアがインストールされ、メールやファイル転送などのリモート接続の入口が公開されていることが多いです。ソフトウェアの数やリモート接続の数が増えるとリスクも増しますので、必要ないものは使えないように設定する工夫も必要です。PHPMyAdminなどは、ログが閲覧できなことが多く、監視が難しいです。作成手順ホームページ作成時は、未完成のものが置かれるセキュリティレベルが低い状態から始まりますので、完成するまではアクセス制限を掛けるなど注意が必要です。WordPressをインストールしようとセットアップまで行なって翌日作業しようとしたときに、1時間で検索エンジンにインデックスされ、2時間後に第三者にセットアップが実行される被害を見たことがあります。運用管理バックアップファイルがWeb公開ディレクトリに置かれて、ダウンロードされてしまうなど無いように運用管理の面も注意が必要です。気付かずにセキュリティ被害に遭っている恐れもあります。Web公開ディレクトリに不審なファイルがないかやログの確認など定期的なチェックを行っていく必要があります。レンタルサーバーで行えるセキュリティ対策レンタルサーバーで行えるセキュリティ対策について紹介していきます。WordPressを構築中にセットアップ画面にアクセスされた場合、乗っ取りにあってしまう恐れがあります。クローラに巡回され検索エンジンに工事中のコンテンツが表示されると問題になることがあります。工事中のコンテンツなどに設定するアクセス制限の方法について見ていきます。BASIC認証によるアクセス制限BASIC認証は、ベーシック認証や基本認証とも呼ばれる、Webサーバで設定が行えるID/パスワードの入力ダイアログを表示して行う認証です。.htaccessでの設定例.htaccessでの設定例は以下です。「.htpassword」のようなファイル名の認証ファイルを指定します。認証ファイルは「htpasswd」コマンドで作成が行えます。SSHなどでWebサーバのターミナルに接続して「htpasswd」コマンドが利用できます。<パスワード>上記コマンドで生成された「.htpasswd」ファイルを任意の場所に配置して、AuthUserFileにパスを設定します。HTTPの脆弱性とBASIC認証HTTPは暗号化されない仕様上の脆弱性があります。BASIC認証もフォーム認証と同様にID/パスワード情報を送信しますので、HTTPSによる暗号化を行わないとID/パスワード情報の漏洩リスクが高い状態になります。IPによるアクセス制限.htaccessでIPによるアクセス制限も行えます。2.4からはRequireディレクティブを使用します。<許可するIPアドレス>HTTPレスポンスヘッダの設定.htaccessでHTTPレスポンスヘッダの設定が行えます。リクエストのヘッダと応答のヘッダのカスタマイズが行えます。Strict-Transport-Securityhttpからhttpsにリダイレクトする設定を行っても、訪問者はリダイレクトされる前にまず、暗号化されないhttpでサイトと通信する可能性があります。それを改善するのが「Strict-Transport-Security」です。Webサイトにアクセスすると、以降の指定された期間、当該サイトには全てHTTPSによって接続するようブラウザに指示が行えます。.htaccessでの設定例は以下です。"max-age=15768000"</ifModule>X-Frame-Options外部サイトでFrameタグを使用して表示できる場合、クリッククリックジャッキング攻撃が行われる恐れがあります。クリックジャッキングは、ターゲットのWebページの上に、透明なレイヤー(罠となるWebページ)を重ねます。ユーザーにボタンやリンクをクリックさせ、意図しないコンテンツにアクセスさせます。文字の入力など、情報窃取にも利用できる攻撃です。Frameタグの機能に制限を与えて、クリックジャッキングなどの攻撃を防ぎます。.htaccessでの設定例は以下です。SAMEORIGIN</ifModule>X-XSS-ProtectionHTTPレスポンスヘッダ―のパラメータの「X-XSS-Protection」を設定することで、ブラウザのクロスサイトスクリプティング防止機能を有効にするよう指示が行えます。.htaccessでの設定例は以下です。mode=block"</ifModule>mod_phpmod_phpを利用することで、PHP関連の設定が行えます。Set-Cookieのsecure属性セッションを利用している場合、Cookieの値によりユーザを識別しており、http(暗号化されていない)で表示した際に通信経路でCookieの値が窃取される恐れがあります。ブラウザにURLのスキームがhttpsのときだけ、Webブラウザからcookieが送出するよう指示を与えます。.htaccessでの設定例は以下です。On</ifModule>Set-CookieのHttpOnly属性JavaScriptからCookieへのアクセスが行えますと、万が一悪意のあるスクリプトが実行されてしまった場合、Cookieが摂取され、セッションハイジャックが行われるリスクが高くなります。APIからCookieにアクセスできないようブラウザに指示が行えます。.htaccessでの設定例は以下です。On</ifModule>PHPの設定.htaccessでPHPの設定が行えます。display_errorsブラウザにPHPのエラー情報が表示されるとエラーに含まれるパス情報からサーバのアカウント名の露呈など重要な情報が取得されてしまう場合があります。display_errorsで制御が可能です。.htaccessでの設定例は以下です。気付かずにセキュリティ被害に遭っている恐れもあります。最悪な状態として、ブラックリストにリストされてしまう状態が挙げられます。未然防止やもっと早い段階で気付く必要がありますが、定期的にチェックすることをお勧めいたします。以下のWebツールを利用すると88個ものブラックリストをドメインまたはIPアドレスを入力するだけでチェックしてくれます。Alert:最悪の犯罪者アラート)にリストされてしまう相談がよくあります。RATS-Dynaは、トロイの木馬やボット、スパムメール配信プログラムなどに感染した疑いのあるサーバのIPアドレスが登録されるようです。リストしていたら感染している疑いがあるので原因を調査してください。共用のレンタルサーバの場合は他の利用者のサイトやメールがハッキングされている影響をうけます。このリストはIPアドレス帯でブラックリストに乗ることもあります。管理外のところが原因の場合はサービス提供元に問い合わせて解除申請してもらう必要があります。レンタルサーバーで使える脆弱性スキャンツールレンタルサーバーで使える脆弱性スキャンツールについてまとめています。LabsSSL関連の診断ツールです。詳細な解説だけでなく、SSLの設定状態をA+、A、A-、B、C、D、Fとスコアがでて便利です。ProxyOWASPが提供する無料のWebアプリケーション脆弱性診断ツールです。自動スキャンや機能追加できるさまざまなプラグインも提供されています。ProfessionalPortSwigger社が提供するWebアプリケーション脆弱性診断ツールです。ZAPとは異なる脆弱性が検出されるイメージです。URL)https://portswigger.net/burp/WPScanWordPress専用のスキャンツールです。本体、プラグインの公開されている脆弱性やPHP、Webサーバの設定確認、ログインなどの設定のチェックが行えます。利用にはオンライン登録が必要ですが、WordPressの脆弱性が公表されるとメールで知らせてくれるので便利です。1日50回までは無料で利用できます。その他ツールレンタルサーバーでは使えませんが、以下の脆弱性診断ツールもあります。OpenVASSSL関連の診断ツールです。詳細な解説だけでなく、SSLの設定状態をA+、A、A-、B、C、D、Fとスコアがでて便利です。OpenVASOpenVAS(GVM)は、オープンソースとして開発されていたNessusから派生したネットワーク診断ツールです。Nessusは年間30万円~と高価ですが、OpenVASは無料で利用できます。レンタルサーバでは利用機会はないと思いますが、自前でサーバを構築した場合は相棒といえるツールであります。HTTPの脆弱性とBASIC認証について追記しました。レンタルサーバーで使える脆弱性スキャンツールについて追記しました。どのようなセキュリティリスクが想定されるかについて追記しました。RATSについて追記しました。運用監視について追記しました。PHPの設定について追記しました。記事をアップしました。記事カテゴリーhtaccessサポート技術データベース手順・方法サポートツールこのページでご利用いただける簡単なツールです。「IPアドレス」確認ツール現在ご使用のグローバルIPアドレスは3.231.219.178になります。「パスワード」生成ツール半角英数字記号の文字をランダムに組み合わせたパスワード生成ツールです。表示ここに生成されます。「表示色」確認ツール表示サイトについて.htaccessを中心としたホームページの保守サポートをテーマにまとめているサイトです。管理者プロフィールプロフィールはココナラで公開しております。プロフィール出品サービス以下のサービスを出品しています。Loarding...。