はじめに
Webサイトの安全性は、攻撃者からの脅威や脆弱性から保護するために非常に重要です。特にCMS（コンテンツ管理システム）を使用している場合、定期的なセキュリティチェックが欠かせません。WordPressもまた、世界で最も人気のあるオープンソースCMSの一つであり、その利用者は世界中で数多く存在します。
Nessusは、業界標準のネットワーク・スキャンと脆弱性管理ツールです。この記事では、Linuxサーバー上にインストールされているWordPressサイトに対して、Nessusを使用してセキュリティ診断を行う方法を紹介します。
症状・背景
- WordPressサイトの管理者として、定期的なセキュリティチェックが必要な場合
- ネットワーク全体の脆弱性スキャンを行い、特定のシステム（例えばWordPress）に焦点を当てる必要がある場合
- サイトが攻撃を受けた可能性があり、現在のセキュリティ状態を確認したい場合
手順・設定方法
ステップ1: Nessusスキャナーをインストールする
# CentOS/RHEL用にyumリポジトリを追加
sudo yum install -y https://dl.fedoraproject.org/pub/epel/epel-release-latest-8.noarch.rpm
sudo rpm --import https://repo.tenable.com/nessus/EPEL-GPG-KEY-2019
# Nessusスキャナーをインストール
sudo yum install -y nessus
# 実行可能にする
sudo systemctl enable nessusd.service
sudo systemctl start nessusd.serviceステップ2: アカウントを作成し、設定する
# ブラウザを開いてNessusにアクセスしてログインします
# https://<サーバーのIPアドレス>:8834
# ユーザー名とパスワードを指定して新規ユーザーを作成
nessuscli user create --username admin --password yourpasswordステップ3: WordPressサイト用にスキャンポリシーを作成する
# インターフェースを開き、新しいスキャンポリシーを作成します
# ポリシー名を「WordPress専用」と指定し、必要なプラグインや脆弱性チェックを追加します
# スキャンが完了したら結果を確認ステップ4: 定期的なセキュリティ監視と更新を行う
# cronジョブを使用して定期的にスキャンを実行する
crontab -e
0 3 * * * /usr/bin/nessuscli scan run --uuid <your-scan-uuid> > /dev/null 2>&1注意事項
- セキュリティ診断は、サイトのパフォーマンスに影響を与える可能性があるため、低いトラフィック時間帯に行うことが推奨されます。
- スキャン結果を適切に管理し、機密情報が漏洩しないように注意してください。
- WordPressサイトでは、最新のソフトウェアとプラグインを使用するよう定期的にアップデートを行うべきです。
- Nessusスキャナーは高度なセキュリティ機能を提供しますが、誤って設定するとシステム全体に影響を与える可能性があります。専門家の助けを借りて慎重に行うことをおすすめします。
まとめ
1. Nessusのインストール: 安全性とパフォーマンスを考慮しながら、適切な方法でNessusをインストールします。
2. ポリシー設定: WordPressサイトに最適化されたスキャンポリシーを作成して適用します。
3. 定期的なチェック: cronジョブを使用して定期的にセキュリティチェックを行います。
4. 結果の分析: スキャン結果を慎重に分析し、必要な修正を行うことを忘れずに。
5. 継続的な改善: セキュリティは継続的なプロセスであり、常に更新と改善が必要です。
関連記事: