WAFをWordPressに使用するべき理由とは？導入のメリットや手順を解説

WAFは、サイバー攻撃からWebサイトやアプリを守るセキュリティ対策のことです。WAFは、WordPressでも使用できます。この記事では、WAFの概要や種類、WordPressでWAFを使うべき理由や設定の手順などについて解説しています。WordPressで作った自社サイトや運営中のサイトの安全性を高めたい、リスクを低減したいといった方はぜひ参考にしてください。

WAFとは

WAF（ワフ：Web Application Firewall）とは、Webサイトやアプリの脆弱性を狙ったサイバー攻撃から守るためのセキュリティ対策のことです。サーバーの前段に設置することで事前に通信をチェックし、悪意のある攻撃だと判断すると通信を遮断します。多様化・複雑化するサイバー攻撃による情報漏洩やデータの改ざんなどによる被害を防ぐのに役立つセキュリティ対策です。

WAFでできること

先述の通り、WAFは、サーバーと通信の間に入って通信の内容を検査したうえで攻撃であるかどうかを判断します。どのようにして攻撃かどうかを判断するのかというと、シグネチャと呼ばれる不正な通信や攻撃をまとめた定義ファイルと一致しているかどうかをもとにしています。

そのほかにも、WAFでは以下のようなことができます。

・通信の監視・制御

・特定URLやIPアドレスの除外

・Cookieの保護

・シグネチャの更新

WAFは、通信を監視し続け、シグネチャとの一致状況を踏まえて、通信の制御を行います。また、自社サイトや関係会社のサイトなど、攻撃の脅威がないURLへのアクセスは事前に除外しておくことなども可能です。そのほかにも、閲覧情報を記録するCookieを暗号化することでCookieの不正入手による不正アクセスを防ぐこともできます。さらに、シグネチャを定期的に自動更新することで常にシグネチャを最新状態に保つことも可能です。

WAFを使用するメリット

WAFを使用することで得られるメリットは、以下のようにさまざまです。

・サイバー攻撃を防ぐ

・企業の価値を守る

・セキュリティリスクの見える化

WAFはWebサイトやアプリなどへのサイバー攻撃を遮断してくれるため、攻撃を防御できる点が大きなメリットだといえます。サイバー攻撃といってもその種類や手法はさまざまですが、WAFを導入すれば、すべてではないものの幅広い攻撃に対応できるようになります。

また、サイバー攻撃を受けることで、情報漏洩やデータ改ざんといった被害に遭う恐れがありますが、WAFで攻撃を防げればそういった被害も発生しません。つまり、WAFを導入することで情報漏洩による社会的信頼失墜など、企業の価値低下につながるリスクも低減してくれます。

そのほかにも、WAFは不正アクセスをログとして記録できるため、過去のログを確認することで、どういった攻撃を受けているのかがわかります。

WAFの種類

WAFには、大きく分けて、アプライアンス型、ソフトウェア型、クラウド型の3種類があります。

アプライアンス型は、サーバーの前段に設置して使用するタイプです。専用の機器を購入したうえで設置するため、初期費用はかかりますが、サーバーへの負荷をかけずに利用できる点は特徴だといえます。

ソフトウェア型は、Webサーバーにベンダーが提供するWAFのソフトウェアをインストールして使用するタイプです。設定の手間がかからないことに加え、専用機器が不要なため、初期費用を抑えつつWAFを導入できます。

クラウド型は、オンライン上のクラウドサービスを通してWAFを使用するタイプです。機器やソフトウェアは不要で、システムや機能の更新はベンダーが行ってくれるため、導入する企業の負担はほとんどありません。

以上の3種類がWAFの主なタイプですが、これ以外にも、WordPressに使用できるプラグイン型のWAFもあります。こちらは、WordPressの管理画面から設定するもので、運用するサイトを攻撃から守ってくれます。

WordPressとは

WordPressとは、オープンソースのCMS（Contents Management System）です。Drupal、Joomlaと並んで三大CMSとされていますが、その中でも特に高いシェアを誇り、世界的な知名度も高いといえます。WordPressは、HTMLやCSSなどの知識やスキルを持っていなくてもWebサイトを制作できる点が特徴です。世界各国のWebサイトに使用されており、日本でも個人レベルから法人まで規模に関係なく使われています。

WordPressにWAFが必要な理由

WordPressを使ってWebサイトを制作する場合、WAFの設置は必要不可欠だといえます。

これは、シェア率の高いオープンソースということで、サイバー攻撃のターゲットになりやすいためです。オープンソースの場合、ソースコードの参照ができるため、攻撃者がどこに脆弱性があるのか特定でき、そこから攻撃手法を確立できてしまいます。そのため、WAFを導入し、攻撃リスクに常に備えておけるようにしておくことが大切です。

また、WordPressは、テーマやプラグインなど豊富な拡張機能が特徴ですが、これらは不特定多数のユーザーが任意で自由に開発・提供しているものです。そのため、安全対策のばらつきがあります。また、更新がされていないため、脆弱性のあるテーマやプラグインなどが存在している場合があります。この点から、WordPressの利用者側が安全対策を行う必要があり、その方法の1つとしてWAFを使用するべきだといえます。

WordPressでのサイバー攻撃による被害の例

WordPressを利用していて、脆弱性を突かれてサイバー攻撃を受けているケースは実際にあります。例えば、WordPressを使って自社サイトを制作していた企業が、攻撃を受けたことでサイトを改ざんされてしまい、自社サイトから悪意のある外部サイトに誘導される状態となってしまいました。

WordPressがサイバー攻撃を受けてしまう背景には、使用しているレンタルサーバーがWordPressのアップデートに対応していない、脆弱性のある古いプラグインを使用していたといった点が挙げられます。

WordPressで起こり得るサイバー攻撃の種類

サイバー攻撃といってもその種類はさまざまで、特徴も異なるため、どういった種類の攻撃があるのか理解しておく必要があります。ここでは、WordPress利用中に起こり得るサイバー攻撃の種類について解説します。

SQLインジェクション

SQLインジェクションとは、SQLというデータベース言語を含んだ入力データを送信することでデータベースに不正にアクセスして攻撃を行うことです。データベースに侵入されるため、個人情報の漏洩やサイトの改ざんなどの被害を受ける可能性があります。SQLインジェクションはプラグインの脆弱性が原因で発生するケースが多くなっています。

クロスサイトスクリプティング

クロスサイトスクリプティングは、Webサイトの脆弱性を利用して、閲覧者のブラウザ上で悪意のあるスクリプトを実行させる攻撃です。この攻撃を受けると、Cookieに保存された情報の盗難（セッションハイジャック）によるなりすまし被害や、偽の入力画面を表示させるフィッシング詐欺、さらには管理者権限の奪取といった深刻な事態を招く恐れがあります。

ディレクトリトラバーサル

ディレクトリトラバーサルとは、ディレクトリパス（特定のディレクトリの場所を示す文字列）を遡ることで不正アクセスする攻撃のことです。ユーザー側が本来は公開していないWordPressの設定ファイル（wp-config.php）を参照されたり、取得されたりする恐れがあります。

コンテンツインジェクション

コンテンツインジェクションは、Webサイトの脆弱性を突き、外部から不正な文字列やコードを送信して、記事のタイトルや本文を勝手に改ざん・削除する攻撃です。訪問者を偽のフィッシングサイトやマルウェア配布サイトへ誘導するリンクを埋め込まれるなど、自社サイトが攻撃の踏み台にされてしまう恐れがあります。

ブルートフォースアタック

ブルートフォースアタック（総当たり攻撃）は、考えられるパスワードの組み合わせをすべて入力し、力技で認証を突破しようとする攻撃です。時間はかかりますが、パスワードが単純な場合は短時間で解析されてしまう非常に危険な手法です。対策として、ログイン試行回数の制限や二段階認証の導入、推測されにくい複雑なパスワードの設定が不可欠です。

WordPressにWAFを導入するステップ

ここでは、WordPressにWAFを導入する手順を紹介します。サイバー攻撃の脅威からWebサイトを守るためにもぜひ参考にしてください。

ステップ1：Webサイトの現状と脅威を分析する

まずは、自社サイトが置かれている状況を把握することから始めます。具体的には、過去にどのような不正アクセスの兆候があったか、サイト内で個人情報や機密データを扱っているか、万が一サイトが停止した際の影響範囲はどのくらいか、などを整理します。 これらを踏まえることで、求める防御レベルや、予算に見合ったWAFの選定基準が明確になります。

ステップ2：最適なWAFのタイプを選択する

サイトの規模や管理体制に合わせて、導入するWAFの種類を選びます。

• レンタルサーバー型： サーバーの標準機能。手軽で無料なことが多い。
• プラグイン型： WordPressの管理画面からインストール。設定が容易。
• クラウド型： 大規模サイト向け。DNSを切り替えて導入する高機能なもの。 まずは利用中のレンタルサーバーにWAF機能があるかを確認し、機能が不足している場合に他のタイプを検討するのがスムーズです。

ステップ3：WAFを有効化し、運用設定を行う

導入するWAFが決まったら、実際に機能を有効化します。一般的な流れは以下の通りです。

1. 管理画面へログイン： 利用するサービスの管理パネル（サーバーのコントロールパネルや、WordPressのダッシュボードなど）にログインします。
2. WAF設定の有効化： セキュリティ設定項目の中から「WAF」を選択し、スイッチを「ON」または「有効」に切り替えます。
3. 防御ルールの選択： 必要に応じて、防御の強度や、個別の攻撃（SQLインジェクション、XSS等）に対する検知設定を調整します。最初は標準的な設定から始めるのが一般的です。

ステップ4：導入後の動作確認（チューニング）

WAFを有効にした後は、サイトが正しく動作するか必ず確認してください。 場合によっては「記事の保存ができない」「画像のアップロードがエラーになる」といった挙動を引き起こす誤検知が発生することがあります。その場合は、WAFのログを確認・設定変更を行い、安全かつスムーズに運用できるよう調整を行います。

WAFをWordPressに使用する際の注意点

WordPressでWAFを利用するにあたっては、いくつかの点に注意しなければなりません。ここでは具体的にどのような注意点があるのか解説します。

誤認識によるエラーが起こる可能性がある

WAFは、通信を検知して、それがシグネチャと一致していると不正だと判断して遮断する仕組みですが、誤認識が起こるケースもあります。WordPressの場合、正常なリクエストであるにもかかわらず、WAFが攻撃だと判断してしまい、投稿を保存できない、画像をアップロードできないといった事態が起こります。

すべての攻撃を防げるわけではない

WAFは、サイバー攻撃に対するセキュリティ対策ですが、すべての攻撃を防げるわけではない点に注意してください。例えば、ネットワークへの攻撃はWAFの守備範囲外となります。そのため、WAFだけでなく、ファイアウォールやIDS・IPSといった他のセキュリティ対策も合わせて活用することが大切です。

WAFだけじゃない！WordPressでやっておくべきセキュリティ対策

WAFはセキュリティ対策として有効な手段ですが、それ以外にも実施するべきセキュリティ対策はあります。WAFと合わせて行うことでよりサイトの安全性を高められるため、ぜひ参考にしてください。

安全性を意識したサイト設計を行う

WordPressのセキュリティ対策において基本ともいえるのが、設計段階から安全性を意識することです。

具体的には、WordPressで使用するテーマの中には最新バージョンに対応していないものもあるため、そうしたリスク要因となるテーマを避けるだけでも安全性は高まります。特にテーマへの強いこだわりがなければ、公式のテーマディレクトリに含まれているテーマを選ぶことをおすすめします。

また、WordPressのバージョンを非表示にすることも効果的です。WordPressへの攻撃は、バージョンごとの脆弱性を突いて行われるため、バージョンを隠すことでリスクを低減できます。

ユーザー権限を管理する

ブルートフォースアタックのように、原始的な方法で認証を試みる攻撃もあるため、2段階認証やログイン試行の失敗回数制限の設定など、ユーザー権限の管理を行うことも効果的です。

また、WordPress内のファイルやフォルダの権限を管理担当者や一部の関係者のみに制限することで、悪意のあるデータ共有や不正アクセスなどを防ぐことができます。

そのほかにも、ユーザーの行動を監視し、ログとして記録に残しておくことで、怪しい行動が起こっていないか把握することもおすすめです。

定期的なアップデート

WordPressの定期的なアップデートもサイバー攻撃に対する有効なセキュリティ対策の1つです。

WordPressは定期的な更新が行われていますが、これは、脆弱性を改善するためのものです。つまり、アップデートをしないまま使い続けるということは、脆弱性が改善されないまま使い続けることを意味します。

脆弱性自体が既知のものとなっている場合、古いバージョンのままだと、サイバー攻撃を受けるリスクが高まります。そのため、定期的なアップデートが必要不可欠です。新しいバージョンが利用できるようになったら、WordPressのダッシュボードのお知らせに通知が届くため、こまめにお知らせを確認することをおすすめします。

WordPressのセキュリティ対策を包括的に実現する「SPIRAL マネージドクラウド」

WAFの導入と並行して、WordPressサイトを安全に運用するためには、プラグインやテーマの脆弱性管理、定期的なアップデート、改ざん監視など、多岐にわたる保守業務が必要です。これらの運用負荷を軽減し、手放し運用を実現するサービスとして、SPIRAL マネージドクラウドがあります。

「SPIRAL マネージドクラウド」は、WordPress専用のホスティング環境と保守運用サービスを一体提供するフルマネージドサービスです。WAF、IDS、IPSを標準装備し、SQLインジェクションやクロスサイトスクリプティングといった攻撃をリアルタイムで検知・遮断します。

さらに、プラグイン・テーマの脆弱性監視と評価を月次で実施し、セキュリティ上必要なアップデートは専任エンジニアが代行。改ざん検知、ウイルススキャン、リアルタイムログ監視などの多層防御に加え、年間を通じた継続的な脆弱性診断も標準提供しています。

ステージング環境も標準装備されており、本番環境へのワンクリック同期機能により、アップデート前の動作確認も安全に実施できます。金融機関や官公庁での運用実績に基づく高いセキュリティ基準で構築されているため、機密性の高い情報を扱うサイトにも最適です。

サービスの詳細について興味のある方はぜひお気軽にご相談ください。
サービスに関するお問い合わせはこちら>>
サービス資料のダウンロードはこちら>>

まとめ

今回は、WAFの概要やWAFをWordPressに使用するべき理由、WordPressで起こりうるサイバー攻撃の種類などについて解説しました。

WordPressはオープンソースであり、個人開発のプラグインもあるなど、攻撃を受けるリスクがあることから、WAFによるセキュリティ対策は欠かせません。今回の内容を参考にWordPressにWAFを導入し、Webサイトの安全性を高めてください。