最初に守る対象を把握する
公開サイトだけでなく、管理画面、サーバー、ドメイン、メール、バックアップ、外部連携の管理者を確認します。WordPressだけ強化しても、ドメインやサーバーのアカウントを奪われれば公開先を変更されるおそれがあります。誰がどの権限を持つかを台帳にします。
優先して確認するチェックリスト
| 分野 | 確認項目 | 確認する証跡 |
|---|---|---|
| 構成 | 本体・全製品・PHPの版と対応状況 | 構成一覧、変更履歴 |
| 認証 | 固有の強いパスワード、管理者2FA | アカウントと設定一覧 |
| 権限 | 退職者・共有管理者・不要連携の整理 | 所有者、権限、利用目的 |
| 公開範囲 | 不要ファイル、バックアップ、検証環境 | 外部からの確認結果 |
| 防御 | WAF、アクセス制限、HTTPS | 適用範囲と例外設定 |
| 検知・復旧 | ログ、通知、外部バックアップ | 到達試験、復元試験 |
無効化済み製品も点検する
無効化と削除は異なります。不要な製品は依存関係や設定データを確認して削除を検討します。緊急対応時に必要な標準テーマなど、残す理由があるものは更新と管理の対象にします。
対策を入れる順番を決める
既知の悪用、外部からの到達性、必要な権限、情報の重要度から優先順位を付けます。管理者の2FA導入では予備手段、WAFでは誤検知時の解除方法を先に用意します。更新、認証方式、WAFルールを同時に変えると障害時の切り分けが難しくなります。
診断結果は対象範囲付きで読む
「マルウェア未検出」は、実施した検査の範囲で検出されなかったという意味です。内部の不正アカウント、未検査の独自コード、未知の脆弱性まで否定できません。外部観察、構成照合、権限確認、ログ調査を必要に応じて組み合わせます。
継続運用で見直すこと
担当変更、製品追加、フォーム変更、サーバー移行のタイミングで再点検します。各項目に担当・確認日・未対応理由・期限を残してください。チェックを全て埋めることより、残るリスクと対応責任を説明できることが重要です。
対策の優先順位を付ける具体例
管理者を複数人で共有し、バックアップは同じサーバー内だけ、古いプラグインも残るサイトを想定します。最初に管理権限と構成を把握し、復元用データを確保します。そのうえで、悪用が確認された該当製品は緊急判断し、管理者の個別化と認証強化、外部保管、不要製品の整理を進めます。対策の実施記録と次の確認日を設定します。この順序は運用例であり、侵害が進行している場合は公開制限と証拠保全が先になります。リスク評価では、経営者・業務担当・技術担当が、停止の影響と情報漏えいの影響を一緒に確認する必要があります。
対策が機能していることを確認する
2FAは別ブラウザーで再認証、ログは実際の操作記録、バックアップは隔離先への復元、WAFは正規操作の成功と適用範囲を確認します。設定画面のスイッチを有効にした事実だけでは、目的を満たしたとは限りません。誤検知時に誰が解除するかも試します。
管理URLやバージョンを隠せば安全ですか？
情報の露出を減らす補助策にはなりますが、認証や脆弱性修正の代わりにはなりません。隠しても到達できる経路や推測される情報があり、更新と最小権限を優先します。
診断で高得点なら対策は完了ですか？
評価対象がヘッダーや公開設定に限られる場合があります。どの検査で得た点数か、対象外は何かを確認し、内部権限や独自コードの調査と混同しないでください。