お問い合わせ
お問い合わせ

Webサイト・CMSハードニングHardening

概要

WordPressの脆弱性を突く攻撃からサイトを守るため、攻撃対象領域（アタックサーフェス）の最小化およびシステム全体の堅牢化を実施し、安全な運用基準点（ベースライン）を確立します。

対応可能なWebシステム

  • WordPress
  • 静的サイト（HTML/CSS/JS構成）

対応内容・納品物

ベースライン確立 バックアップ取得およびセキュリティ診断
詳細 作業前後のバックアップ取得に加え、内部走査と外部リモートスキャンによる二重診断を実施。バックドアや改ざんの痕跡、検索結果汚染、セキュリティ警告の有無を網羅的に確認し、ハードニング着手前の安全な基準点（ベースライン）を確立します。
アセットの最新化 コア・テーマ・プラグインの更新および自動更新の有効化
詳細 WordPress本体、テーマ、プラグインを最新バージョンへ更新し、自動更新を設定。更新が滞っていた機能を健全化し、脆弱性を放置させない自動防衛の土台を構築します。
アクセス・実行制限 パーミッションの適正化および不正スクリプト実行防止
詳細 wp-config.php をはじめとする全領域のパーミッションを適正化し、外部からの改ざん耐性を強化。Webシェルが配置されやすい アセットディレクトリ配下でのPHP実行を無効化し、万が一のファイル侵入時も不正コードの発火を防ぎます。
認証情報・セッションの刷新 外部リモートスキャンによる改ざん・ブラックリストの巡回監視
詳細 外部からのリモート診断を毎日自動実行。Google Safe BrowsingやNorton、SpamHausをはじめとする10機関以上のセキュリティデータベースと照合し、データベース汚染に起因する不正スクリプトの出力、およびブラックリスト登録状況を早期検知します。
セキュリティヘッダーの設定 HSTS、X-Frame-Options 等のHTTPレスポンスヘッダー設定
詳細 プラグイン、テーマ、WordPressコアの脆弱性を自動検出。Patchstackデータベースとの照合により、既知の脆弱性を突く攻撃や不審IPを自動ブロックし、攻撃対象領域を最小化します。
アタックサーフェス最小化 管理機能・エンドポイントの制限、不要アセットの削除
詳細 管理画面からのファイル直接編集を禁止し、不要なコメント、ピンバック、XML-RPC・REST APIの外部露出を制限。さらに未使用テーマ・プラグインやサーバー内の不要ファイルを削除し、攻撃対象領域（アタックサーフェス）を最小化します。
WAF最適化 WAFや通信制限の最適化およびPHPファイアウォールの設定
詳細 ホスティング環境に応じたWAFの有効化やアクセス制御を適用。あわせてPHPファイアウォールを設定し、インフラ層とアプリケーション層の双方から不正リクエストをブロックします。
作業実施報告 ハードニング施策のサマリー提出と認証情報の引き渡し
詳細 実施した堅牢化項目の全サマリーを提出。刷新した各認証情報は、セキュアな一時共有リンクを用いて安全に引き渡します。