WordPress 脆弱性スキャナーとは何ですか? また、必要ですか?

公開: 2023-03-08

すべてのソフトウェアには何らかの脆弱性があると言っても過言ではありません。 これは、必ずしもソフトウェアが不良または標準以下であることを意味するわけではありません。脆弱性は、QA プロセスの失敗から環境の非互換性または設定ミスまで、あらゆる種類の理由で発生する可能性があります。

脆弱性は、既知と未知の 2 つのカテゴリに分類できます。 XSS (クロスサイト スクリプティング) や SQL インジェクションなどの既知の脆弱性は、誰もが知っている脆弱性です。 評判の良いソフトウェア ベンダーは、常にこれらの脆弱性をチェックし、QA およびテスト プロセス中にそれらを排除します。

一方、未知の脆弱性は、未知の脆弱性です。 これらは、コードのバグまたは環境の何かが原因である可能性があります。 WordPress は非常に多くのユーザー ベースを持っているため、脆弱性が長い間知られていないことはありません。 脆弱性が発見されると、パッチがリリースされるまでゼロデイ脆弱性と呼ばれます。

この記事では、WordPress の脆弱性、利用可能なさまざまな種類のスキャナー、および WordPress を保護する際に注意すべき点について詳しく見ていきます。

目次

    • WordPress の脆弱性とは何ですか?
    • 脆弱性スキャナーとセキュリティ スキャナーの違いを理解する
    • ブラックボックステストとホワイトボックステストの違いを理解する
      • ブラックボックステスト
      • ホワイトボックステスト
    • 一般的な WordPress の脆弱性
      • 時代遅れの WordPress コア
      • 脆弱なパスワード
      • 脆弱なプラグインとテーマ
      • 総当り攻撃
      • SQL インジェクション
    • 脆弱性をスキャンする必要がある理由
    • トップ WordPress 脆弱性スキャナー
      • WPスキャン
      • WPSec
      • スクリ
      • Acunetix
    • WordPress を保護する
    • よくある質問
      • WordPress の脆弱性をスキャンするには、どのツールを使用できますか?
      • WordPress サイトの脆弱性をスキャンするにはどうすればよいですか?

WordPress の脆弱性とは何ですか?

WordPress の脆弱性は、既知または未知の可能性がある WordPress のソフトウェアの脆弱性です。

この記事の後半で詳しく説明する無料のオープンソースの WordPress 脆弱性スキャナーである WPScan のデータベースには、40,000 近くの WordPress 脆弱性があります。 また、いくつかの興味深い統計も提供しています。

WPScan は、4,069 のプレミアム プラグインに何らかの脆弱性があることを発見しました。 この数字は、無料のプラグインで最大 98,241 になります。 これは、無料のプラグインが悪いという意味ではありません。プレミアム プラグインは、リリース前にプラグインをテストおよびチェックするためのリソースを自由に使用できます。これが、当然のことながら費用がかかる理由です。 一般的に言えば、プラグインの料金を支払うと、見返りに追加の安全性とセキュリティが得られます (追加機能は別として)。

プラグインの脆弱性は 92% で最大の脆弱性であり、テーマの脆弱性は 5% で 2 番目に大きく、WordPress 自体は 3% です。

脆弱性スキャナーとセキュリティ スキャナーの違いを理解する

WordPress 脆弱性スキャナーは、脆弱性 (セキュリティ ホールを作成するソフトウェアのバグまたは構成ミス) をスキャンできる専用ツールです。

セキュリティ スキャナは、脆弱性スキャンを含む一般的な用語ですが、厳密に言えば、セキュリティ スキャナは設定ミス、更新の失敗、脆弱なパスワード、マルウェアなどをチェックする傾向があります。

この区別は、何をスキャンしていて何をスキャンしていないかを知る必要があるため重要です。 どの用語を使用するか使用しないかをベンダーに指示する法律はないため、選択したスキャナーに付属のドキュメントをよく読んでください。 これにより、必要な補償を確実に受けることができます。

ブラックボックステストとホワイトボックステストの違いを理解する

脆弱性テストに関しては、ブラック ボックス テストとホワイト ボックス テストの 2 つの主なアプローチがあります。 どちらの方法にも長所と短所があります。 それらの違いを理解することは、特定の脆弱性スキャナーによってカバーされているものとカバーされていないものを理解できるようにするために重要です。

ブラックボックステスト

WordPress のブラック ボックス脆弱性テストは、テストを実行する人が WordPress の内部動作に関する知識を前提としない手法です。 テスト中、テスターは入力と出力にしかアクセスできず、出力がどのように生成されるかには関与しません。 つまり、テスターはWordPressを「ブラックボックス」として扱い、外部からテストします。

ブラック ボックス テストの利点の 1 つは、プログラミングやソフトウェアの内部アーキテクチャに関する知識がないテスターでも実行できることです。 これにより、幅広いテスターがブラック ボックス テストにアクセスできるようになります。

ブラック ボックス テストの主な欠点は、WordPress の内部動作に関連する特定の種類の脆弱性を発見できない可能性があることです。

ホワイトボックステスト

WordPress ホワイト ボックス テストは、テストを実行する人が WordPress のアーキテクチャ、コード、および設計にアクセスできるテスト手法です。 このタイプのテストは、クリア ボックス テストまたは構造テストとしても知られています。

ホワイト ボックス テストの利点の 1 つは、テスターが WordPress に関連するバグを発見できることです。 また、ソフトウェアの保守性とスケーラビリティをテストするためにも使用できます。これは、WordPress 開発者とプラグイン開発者が多くのことを得ることができるものです.

ホワイト ボックス テストの主な欠点は、テスト担当者がプログラミングとソフトウェアの内部アーキテクチャに関する知識を持っている必要があることです。

一般的な WordPress の脆弱性

WordPress の脆弱性はあらゆる形や大きさで発生する可能性がありますが、後で説明するように、簡単に防止できる、より一般的な脆弱性のいくつかに注目する価値があります。 以下の最後の例に示すように、コードにアクセスできる開発者のみが解決できるものもあります。

時代遅れの WordPress コア

WordPress の最も一般的な脆弱性の 1 つは、古い WordPress コアです。 WordPress の更新は定期的にリリースされ、セキュリティの問題に対処し、バグを修正し、パフォーマンスと機能を改善します。 最新バージョンに更新しないと、ハッカーが既知の脆弱性を悪用する可能性があります。

対処法: WordPress の更新ポリシーを設定すると、WordPress の更新をより適切に管理し、常に最新バージョンの WordPress を実行できるようになります。

脆弱なパスワード

脆弱なパスワードは、WordPress のもう 1 つの主要なセキュリティ脆弱性になる可能性があります。 多くのユーザーは、パスワードを覚えている可能性が高いため、推測や解読が容易な脆弱なパスワードを使用する傾向があります。 これにより、ハッカーが Web サイトへの不正アクセスを容易に行うことができます。

対処法: WordPress のパスワード ポリシーを使用して、ユーザーが強力なパスワードを使用するようにし、パスワード マネージャーの使用を奨励します。

脆弱なプラグインとテーマ

WordPress のテーマとプラグインは、WordPress の機能と外観を大幅に向上させることができます。 ただし、これらのプラグインとテーマの一部には、ハッカーが悪用できる脆弱性が含まれている場合があります。

対処法: 定期的にアップデートをリリースする信頼できるベンダーのプラグインとテーマを使用し、すべてを常に最新の状態に保ちます。

総当り攻撃

ブルート フォース攻撃は、悪意のあるアクターがさまざまなユーザー名とパスワードの組み合わせを試して、ユーザーのログイン資格情報を推測しようとする攻撃の一種です。

対処法: WordPress 2FA を追加して、ブルート フォース攻撃を阻止し、ログイン試行の失敗回数を制限します。

SQL インジェクション

SQL インジェクション中、ハッカーは検索バーのエントリ、フォーム、コメントなどのユーザー入力フィールドを介して Web サイトのデータベースに悪意のあるコードを挿入します。 これにより、ユーザー名、パスワード、クレジット カードの詳細などの機密データが漏洩する可能性があります。

何をすべきか: 評判の良いプラグイン開発者は、開発中にこれを排除します。 この脆弱性が見つかった場合は、可能であれば、修正プログラムが利用可能になるまで、原因となっているコンポーネントを無効にする必要があります。

脆弱性をスキャンする必要がある理由

記事の冒頭で共有した統計が示すように、脆弱性はどのソフトウェアにも存在する可能性があります。 強力な WordPress 更新ポリシーを持っていて、評判の良い開発者のテーマとプラグインに制限している場合、安全である可能性がありますが、これは保証ではありません. このために、脆弱性スキャンを実行することをお勧めします。

脆弱性スキャンは、見落としている可能性のある問題や、更新または構成変更で導入された可能性のある脆弱性を発見するのに役立ちます。

トップ WordPress 脆弱性スキャナー

このセクションでは、現在市場で入手可能な上位の WordPress 脆弱性スキャナーのいくつかを見ていきます。

WPスキャン

WPScan は、WordPress 専用に設計された無料のセキュリティ スキャナーです。 脆弱性をチェックし、データベースには 40,000 近くの脆弱性があります。 脆弱性データベースには常に新しいエントリが追加されています。

WPScan は、CLI (コマンド ライン インターフェイス) ツールとして利用できます。 これは、GUI がなく、端末から実行する必要があることを意味します。 WPScan は以前は無料のプラグインとして利用できましたが、現在は利用できません。 WPScan API を活用する JetPack を使用することもできます。

特に、WPScan は以下をスキャンします。

      • WordPress コア、プラグイン、およびテーマに関連する脆弱性
      • ユーザー名とメディア ファイルの列挙
      • 脆弱なパスワード (ブルート フォース攻撃による)
      • アクセス可能な wp-config ファイル
      • データベースのダンプ
      • エラーログの公開

WPSec

WPSec は WordPress 脆弱性スキャナーです。 スキャンの実行、通知の設定、高度なレポートの発行が可能なダッシュボードを通じて管理されます。 スキャンに関しては、WPSec は、WPScanner と独自のカスタム テクノロジを使用する Advanced Scan Technology と呼ばれるものを使用します。
特に、WPSec は以下をスキャンします。

      • 既知の WordPress のバグ
      • セキュリティ上の問題

スクリ

WAF (Web Application Firewall) でよく知られている Sucuri は、さまざまなものをスキャンするさまざまなスキャナーも多数提供しており、他のスキャナーが提供するほど深くはなく、より広い範囲を提供します。
特に、Sucuri は以​​下をスキャンします。

      • マルウェア
      • IOC (侵害の痕跡)
      • フィッシング ページ
      • DDoS スクリプト
      • SSL 証明書

Acunetix

Acunetix は、WordPress セキュリティ スキャナーとしても使用できる Web アプリケーション セキュリティ テスト ソリューションです。 WordPress 固有ではないため、さまざまな Web サイト、アプリケーション、および API で使用できます。 SAST (静的アプリケーション セキュリティ テスト) と DAST (動的アプリケーション セキュリティ テスト) の両方を実行できます。
特に、Acuntiex は以下をスキャンします。

      • 古い W​​ordPress コアとプラグイン
      • マルウェア
      • 脆弱なパスワード
      • 脆弱な WordPress ユーザー名
      • XML-RPC の脆弱性

WordPress を保護する

WordPress セキュリティ スキャナーは、WordPress Web サイトに対するセキュリティの脅威を特定するのに役立ちます。 ただし、予防的なセキュリティ対策を講じることは依然として重要です。 WordPress のセキュリティ スキャンの結果に対処する必要がありますが、WordPress の管理者と Web サイトの所有者は、WordPress のセキュリティが大きな ROI を提供する反復プロセスであることも理解する必要があります。

すべてを最新の状態に保つことは、管理者が脆弱性を制限するために自由に使用できる最もアクセスしやすい方法の 1 つです。 WordPress、テーマ、プラグイン、および PHP は、常に最新の状態にする必要があります。 バックアップを取り、WordPress ステージング環境を使用してリスクを制限することを忘れないでください。

WordPress セキュリティ プラグインも保護と安心を提供します。 ファイアウォールは常に適切なオプションです。 ただし、WordPress のアクティビティ ログがあると、より多くのことを達成するのに役立ちます。 同様に、WordPress のインストールを 2FA で保護すると、最小限の労力でより安全に保つことができます。

よくある質問

WordPress の脆弱性をスキャンするには、どのツールを使用できますか?

WordPress 脆弱性スキャナーは、脆弱性のスキャンに使用できる最高のツールの 1 つです。 この記事では、さまざまなスキャナーについて説明しました。 注意すべき重要な点の 1 つは、異なるスキャナーが異なるものをスキャンする可能性があることです。 ドキュメントを読んで、何をスキャンしていて何をスキャンしていないかを理解してください。 これにより、Web サイトのセキュリティに対する誤った認識を避けることができます。

WordPress サイトの脆弱性をスキャンするにはどうすればよいですか?

これは、選択した脆弱性スキャナーによって異なります。 一部のスキャナーは自動スキャンを提供し、結果のレポートをメールの受信トレイに直接送信します. 場合によっては、CLI – コマンド ライン インターフェースを介して手動でスキャンする必要がある場合もあります。