WordPressウェブサイトのセキュリティ：ファイアウォールの役割と最適化方法

WordPress Firewallは、WordPressウェブサイトのために特別に設計された特別な保護ツールのようなものです。実際には、あらゆる種類のウェブ攻撃からWordPressウェブサイトを保護するために設計されたウェブアプリケーションファイアウォール（WAF）です。

ファイアウォールの概念

ファイアウォールは、コンピュータネットワークとインターネットとの間にある、家のドアマンのようなものです。ファイアウォールの仕事は、出入りするすべての情報をチェックし、ドアマンが誰が入ってきて誰が入ってはいけないかを決めるように、何が通過できて何が通過できないかを決めることです。これは、外部の攻撃者からコンピュータを保護するために行われます。

例えば、自宅でWiFiを使ってネットサーフィンをしているとき、WiFiルーターはファイアウォールの役割を果たします。WiFiルーターは情報を選別し、良い接続は許可し、悪い接続はブロックします。最近では、ほとんどの家庭用WiFiルーターにこのような機能が搭載されており、ホームネットワークを自動的に保護することができます。

ウェブアプリケーションファイアウォール

わかりやすく言うと

第一世代ファイアウォール：パケットフィルタリング

ゲートキーパーのような第一世代のファイアウォールを想像してみてください。しかし、ゲートキーパーはパスの内容を読むことはできず、パスの種類を読むだけでした。もしあなたのサイトを一般公開する必要があるのなら、ゲートキーパーに "タイプ80のパスを持っている人は誰でも入れてください "と言っているようなものです。そうすれば、そのタイプのパス（トラフィック）を持っている人なら、良し悪しにかかわらず、誰でも入ってくることができます。

第二世代ファイアウォール：ステートフルフィルタリング

第2世代のファイアウォールは、インテリジェンスをアップグレードしたゲートキーパーのようなもので、パスの種類をチェックするだけでなく、（接続状況を知るために）全員の顔を覚えています。ドアマンは、誰が初めて訪れるのか、そして誰がすでに中にいるのかを把握しています。これにより、ドアマンは、例えば、すでに知っている人しか入れないようにするなど、よりインテリジェントに誰が入れるかをコントロールすることができ、管理者はよりコントロールしやすくなります。

第三世代ファイアウォール：アプリケーションレイヤーフィルタリング

最新の第3世代ファイアウォールは、超スマートなゲートキーパーのようなもので、全員のパスタイプや顔を知っているだけでなく、全員が何を言っているのかも理解しています（そして、そのデータが何であるかも正確に理解しています）。つまり、誰かがFTPサーバーに何かを届けに来たと言えば、ゲートキーパーはそれを理解し確認します。もし誰かがウェブサイトを見に来たのなら、ゲートキーパーは彼らが何を見たいのかを理解します。このようなゲートキーパーは、トラフィックを非常に正確に制御することができ、適切な訪問者だけが通過できるようにし、より高いレベルの保護を提供します。

Webアプリケーションファイアウォール / WordPressファイアウォール

ウェブ・アプリケーション・ファイアウォールは、単一スコープのファイアウォールです。ネットワークにおけるこのファイアウォールの役割は、悪意のあるハッカーからウェブサイトを保護することです。

WordPress Firewallは、WordPressを保護するために特別に設計されたWebアプリケーションファイアウォールです。WordPress Firewall を WordPress サイトにインストールすると、サイトとインターネットの間にファイアウォールが作成されます。すべての受信 HTTP リクエストを分析するために実行します。

WordPressのファイアウォールは、HTTPリクエストに悪意のある負荷が含まれている場合に切断します。

WordPressのファイアウォールはどのように機能しますか？

WordPressのファイアウォールは、マルウェアがマルウェア感染を検出するのと同様の方法で悪意のあるリクエストを検出します。シグネチャと呼ばれる既知の攻撃のリストを使用し、HTTPリクエストの負荷がシグネチャに一致すると、リクエストが悪意のあるものであることを意味します。

ほとんどの WordPress ファイアウォールでは、攻撃特性を変更することはできません。しかし、WordPress中心ではないWebアプリケーションファイアウォールは、高度に設定可能です。WordPressであろうとカスタムソリューションであろうと、ウェブサイト専用にカスタマイズすることができます。独自のセキュリティルールや利用規約などを作成することができます。ただし、ウェブアプリケーションファイアウォールを設定する際には、正当なトラフィックをブロックしないように十分に注意する必要があります。

ウェブアプリケーションファイアウォールには自動学習テクノロジー。このヒューリスティック技術は、あなたのウェブサイトのトラフィックを分析し、何が合法的で何がそうでないかを確認します。

サイト固有のWordPressウェブアプリケーションファイアウォール

一般的なウェブアプリケーションファイアウォールもWordPressファイアウォールとして使用することができます。これらは特殊なハードウェアデバイスまたはソフトウェアです。

ユニバーサルWebアプリケーションファイアウォールは、WordPressサイトとインターネット接続の間にインストールされます。その結果、WordPressサイトに送信されるすべてのHTTPリクエストは、最初にWAFを通過します。これらのWAFは、WordPressファイアウォールプラグインよりも間違いなく安全なソリューションです。しかし、WAFは高価であり、その管理には特定の技術的専門知識が必要です。このような理由から、中小企業では通常使用されていません。

オンラインWordPressウェブサイトファイアウォール

セルフホスティングのWordPressファイアウォールプラグインやアプライアンスとは異なり、オンラインWordPressファイアウォールはウェブサーバーと同じネットワーク上にインストールする必要はありません。これは、プロキシサーバーのように動作するオンラインサービスで、サイトへのトラフィックがフィルタリングされ、あなたのサイトに転送されます。

オンラインWordPressファイアウォールを使用する場合、ドメインのDNSレコードがオンラインWAFを指すように設定することができます。これは、ウェブサイトの訪問者が直接WordPressウェブサイトと通信するのではなく、オンラインWordPressファイアウォールと通信することを意味します。

通常、オンラインファイアウォールには複数のスコープがあります。WordPressサイトをハッカーから保護するだけでなく、キャッシュサーバーやCDNとしても使用することができます。オンラインWebアプリケーションファイアウォールは、セルフホスト型の汎用Webアプリケーションファイアウォールと比較して、非常に手頃な価格でもあります。

オンラインファイアウォールの回避

オンラインWordPressファイアウォールの既知の制限は、WAFがあなたのWordPressサイトにトラフィックを転送するために、あなたのウェブサーバーがインターネット経由でアクセス可能でなければならないということです。つまり、あなたのウェブサーバーのIPアドレスを誰もが知っている場合でも、彼らはあなたのウェブサーバーと直接通信することができます。

そのため、標的を絞らない WordPress 攻撃では、攻撃者は脆弱なサイトがないかネットワーク全体をスキャンするだけで、ウェブサーバーとサイトには直接アクセス可能なままです。しかし、このような攻撃の犠牲にならないように、サーバーのファイアウォールを、オンラインWordPressファイアウォールからのトラフィックにのみ反応するように設定することができます。

WordPressファイアウォールの一般的な制限事項

• 限定的なゼロデイプロテクション

最も一般的なWAF保護技術の1つは、HTTPリクエストのペイロードをシグネチャのデータベースと照合することです。つまり、誰かがあなたのサイトにアクセスすると、WAFは既知のウェブ攻撃のデータベースとペイロードを照合します。一致すれば悪意があり、一致しなければ通過させます。

そのため、WordPressにゼロデイ脆弱性が存在する場合、WordPressのファイアウォールでは攻撃を阻止できない可能性があります。このため、ベンダーの対応が非常に重要であり、常に対応が迅速で信頼できる企業のソフトウェアを使用する必要があります。ベンダーのファイアウォールのアップデートは早ければ早いほどよいのです。

ウェブアプリケーションファイアウォールのバイパス

ウェブアプリケーションファイアウォールは他のソフトウェアと同じです。ファイアウォールには独自の問題があり、脆弱性があります。実際、Web アプリケーション・ファイアウォールによる防御を回避するためのテクニックを論じたホワイトペーパーや記事は数多くあります。しかし、ベンダーが対応し、そのような問題を修正してくれるのであれば、問題はありません。

WordPressファイアウォールを使うべきか？

確かに！どのWordPressファイアウォールを使うべきですか？どのWordPressファイアウォールにも長所と短所があるので、あなたの要件に最も適したものを選んでください。ただし、WordPress ファイアウォールを使用している場合でも、油断は禁物です。

WordPressのセキュリティに確実な解決策はありません。したがって、常に強化 > 監視 > 改善 > テストを行う必要があります。すべきです：

• WordPressサイトのアクティビティログの管理
• 強固なWordPressバックアップソリューションの導入
• 二要素認証の追加
• 強力なWordPressパスワードとログインポリシーの実装

もちろん、もっとできること、やらなければならないことはたくさんありますが、これは良いスタートです。