はじめに
WordPressは世界中の多くのWebサイトで使用されているオープンソースのCMSですが、その人気ゆえにセキュリティ上の脅威も増えています。供給チェーン攻撃（SupplyChain Attack）とは、ソフトウェア開発プロセスを通じて不正なコードが混入するような方法を利用した攻撃のことを指します。WordPressにおいては特にプラグイン汚染を防ぐことが重要です。
症状・背景
この記事が必要になる主な場面:
- ネットワーク経由で配布されるWordPressプラグインが不正に改変されている可能性がある場合
- オープンソースプロジェクトの信頼性に対する懸念が高い場合
- サードパーティ製のソフトウェアから攻撃を受けたことが確認された場合
手順・設定方法
ステップ1: プラグインの安全な利用を促進するWordPressの機能を使用する
# ホームディレクトリでwp-cliをインストールします。
curl -O https://raw.githubusercontent.com/wp-cli/builds/gh-pages/phar/wp-cli.phar
chmod +x wp-cli.phar
mv wp-cli.phar /usr/local/bin/wp
# サイトのコア、テーマ、プラグインの更新を自動化します。
wp core update --minor
wp theme update-all
wp plugin update-allステップ2: 安全なプラグインのソースコードを確認するためのツールを使用する
# Snykなどのセキュリティスキャンツールをインストールします。
npm install -g snyk
# WordPressのプラグインディレクトリ内の脆弱性をスキャンします。
snyk test --severity-threshold=high ./wp-content/plugins/ステップ3: パッケージマネージャを使用してプラグインの依存関係を管理する
# Composerをインストールします。
curl -sS https://getcomposer.org/installer | php -- --install-dir=/usr/local/bin --filename=composer
# WordPressプラグインにComposerを導入し、自動的に最新バージョンを取得します。
cd wp-content/plugins/your-plugin-name
composer installステップ4: 信頼性のあるソースからプラグインをインストールする
# WordPress.orgの公開APIを使用してプラグインをインストールします。
wp plugin install wp-cdn --repo=https://api.wordpress.org/plugins/info/1/注意事項
- 無名な開発者が作成したプラグインは使用しないこと。信頼できるソースからのみ入手すること。
- プラグインの更新が行われた際に自動化するだけでなく、更新内容を確認することが重要です。
- セキュリティスキャンツールを利用しても、その結果に完全な信頼を持つべきではありません。手動での調査も行うことをおすすめします。
- 自作プラグインやカスタムコードのセキュリティチェックは絶対に行うこと。
まとめ
1. 安全性を確認: インストールする前にプラグインの信頼性と安全性を確認すること。
2. 更新管理: 定期的にプラグインを更新し、脆弱性からサイトを守ること。
3. ツールの活用: SnykやComposerなどのツールを使用してセキュリティチェックを行うこと。
4. 手動での調査: オートメーションに頼らず、手動でプラグインコードを確認すること。
5. 教育と訓練: 管理者および開発者が最新のセキュリティリスクと対策について学ぶことが重要。
関連記事: