2026年6月21日

WordPressのWAF（Webアプリケーションファイアウォール）設定方法

セキュリティ

はじめに

ウェブサイトのセキュリティは、攻撃者による不正アクセスやマルウェア対策として非常に重要です。WordPressを使用している場合、Webアプリケーションファイアウォール（WAF）を導入することで、サイトに対する様々な脅威から保護することができます。

症状・背景

このテーマが必要になる主な場面:

ドoS攻撃やスクリプトの不正実行等によるサイトダウン
不明なIPからの大量リクエストが発生し、サーバー負荷が高い
脆弱性スキャンツールでWordPressの脆弱性を特定した
個人の情報漏洩やデータ改ざんなどの攻撃を受けた

手順・設定方法

ステップ1: WAFサービスを選択する

# Cloudflareのダッシュボードにログインします。
$ curl -X GET "https://api.cloudflare.com/client/v4/zones?name=yourdomain.com&status=active" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey" | jq .

# WAFプランが利用可能か確認します。
$ curl -X GET "https://api.cloudflare.com/client/v4/zones/your_zone_id/plans" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey"

ステップ2: WAFルールを適用する

# CloudflareのWAFルールセットを選択します。
$ curl -X POST "https://api.cloudflare.com/client/v4/zones/your_zone_id/firewall/rulesets" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey" \
     -d '{"rule_set":"default"}'

# ルールセットが正しく適用されているか確認します。
$ curl -X GET "https://api.cloudflare.com/client/v4/zones/your_zone_id/firewall/rulesets" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey"

ステップ3: WAF設定の高度化

# 個別のルールを調整または追加します。
$ curl -X POST "https://api.cloudflare.com/client/v4/zones/your_zone_id/firewall/rules" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey" \
     -d '{"action":"block","description":"Block SQL injection attacks","expression":"http.request.uri contains 'INSERT INTO'}"

# 追加したルールが正しく動作しているか確認します。
$ curl -X GET "https://api.cloudflare.com/client/v4/zones/your_zone_id/firewall/rules" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey"

ステップ4: WAFの監視とトラブルシュート

# ログを確認し、WAFが適切に機能しているか確認します。
$ curl -X GET "https://api.cloudflare.com/client/v4/zones/your_zone_id/logs/tokens" \
     -H "X-Auth-Email: youremail@example.com" \
     -H "X-Auth-Key: yourcloudflarekey"

注意事項

WAFの設定はサイトの特性に合わせて調整する必要がある。
過度なルール設定は正常なアクセスを妨げる可能性があるため、適切なテストと監視が必要である。
安全性を確保しつつパフォーマンスへの影響を最小限にするために、定期的なレビューとチューニングを行うこと。
WAF設定の変更後や不具合発生時にはすぐに確認を行い修正することが重要。

まとめ

1. WAFサービス選択: WAFプロバイダを選択し、プランを適切に利用する。

2. ルールセット適用: デフォルトのルールセットを使用して開始し、必要に応じてカスタマイズを行う。

3. 高度な設定: 特定の攻撃パターンに対する個別のルールを作成・調整。

4. 監視とトラブルシュート: WAFのログを定期的に確認し、不具合があれば迅速に対処する。

5. レビューとチューニング: 定期的なレビューを行い、パフォーマンスとセキュリティを最適化。

Post Views: 5