WordPress を DDoS 攻撃から守るには?

DDoS 攻撃から Web サイトを保護するための対策を講じなければ、WordPress Web サイトに費やした労力はすべて一瞬で台無しになってしまう可能性があります。

公的にアクセス可能なすべての Web サイトは DDoS 攻撃に対して脆弱であり、WordPress ベースのサイトも例外ではありません。幸いなことに、WordPress は非常に柔軟なプラットフォームであるため、攻撃に対する効果的な保護手段をサポートしています。それは単なる予防の問題です。攻撃を撃退したり、その影響を軽減したりすることです。そうなる前に行動しなければなりません。

DDoS攻撃とは何ですか?

Distributed Denial of Service の略称である DDoS 攻撃は、侵害されたコンピュータまたはデバイスのネットワーク (ボットネット) によって実行される、1 つのサーバー (ターゲット) に大量のデータを送信または要求する、協調的な攻撃的なアクションです。リクエストの洪水によりサーバーの容量が過剰になり、リソース不足によりサーバーの速度が低下したり、クラッシュしたりすることがあります。

DDoS 攻撃の潜在的な被害

Web サイトが DDoS 攻撃のターゲットになると、多くの悪いことが起こる可能性があります。

例えば：

• 訪問者のエクスペリエンスが悪影響を受ける可能性があります。せいぜい、サイトの応答が遅くなる可能性があります 🦥;最悪の場合、サイト全体がダウンしてアクセスできなくなります。
• Web サイトがオンライン ストアの場合、売上が失われる可能性があります。また、コンテンツを提供するだけの場合、訪問者は欲しいものを手に入れるために別の場所に行ってしまう可能性があります。
• あなたの Web サイトの評判は、認識されるブランド評判 (つまり、あなたの会社は真剣ではないとみなされる) の点と、SEO 戦略の柱である権威、関連性、信頼の点の両方で、大幅に低下する可能性があります 📉。
• 破損の修理には費用がかかります。コストは攻撃の期間によって異なりますが、サービス中断に関するユーザーの苦情に答えるためのカスタマー サポートの取り組みや、Web サイトのクリーンアップのためのセキュリティ サービスの雇用など、多くの副作用を考慮する必要があるため、計算するのは困難です。

DDoS 攻撃の被害者は誰ですか?

Web サイトは、その規模や量に関係なく、DDoS 攻撃の標的になる可能性があります。

脆弱性が露出した Web サイトは最も簡単なターゲットですが、特定の Web サイトに対して攻撃が意図的に組織される可能性があります。攻撃はイデオロギー的な理由で行われる可能性があります ( ハクティビズム と呼ばれる行為)。たとえば、特定の政治的または宗教的な考えを促進するサイトの信用を傷つける場合などです。あるいは、Web サイトの所有者を脅迫して身代金を要求することもあります。あるいは、自分のスキルを誇示したい、技術に精通した人々のグループの単なる趣味かもしれません。

攻撃を利用することもできます。企業はハッカーのグループにお金を払って、特に競合他社を攻撃させます。理由が何であれ、結論としては、Web サイト所有者は、DDoS 攻撃による自分のサイトへの損害を防ぐための予防措置を講じる必要があるということです。難しくも高価でもないので、やらない理由はありません。

WordPress を DDoS 攻撃から保護するにはどうすればよいですか?

WordPress サイトを DDoS 攻撃から保護するには、次の 2 つのセキュリティ対策が必要です。

• 優れた WordPress バックアップ ソリューションを入手してください。
• コスト効率の高いクラウドベースの DDoS 対策セキュリティ ソリューションの使用を開始します。

バックアップ ソリューションは、DDoS 保護のためだけでなく、さまざまな理由から必須です。 WordPress プラグイン カタログには無料および有料のバックアップ ソリューションが多数あるため、現時点ではこのテーマについては深く掘り下げません。攻撃の後、Web サイトが損傷した場合、安全なバックアップを使用して Web サイトを復元することが、Web サイトを通常の状態に戻す簡単な方法です。

DDoS 対策セキュリティ ソリューションに関しては、どの程度の安心感を得る必要があるか、またそのためにどれくらいの費用を支払いたいかを自問する必要があります。何も払いたくない場合は、かなりのことを自分で処理する必要があります。

DIY 🧰 アプローチ

WordPress の優れた点の 1 つは、サードパーティ アプリが統合して操作できるオープン アーキテクチャを備えていることです。これは、プログラマが利用できるいくつかの API (アプリケーション プログラミング インターフェイス) によって実現されます。問題は、これらの API が DDoS 攻撃によって悪用され、大量のリクエストが送信される可能性があることです。したがって、最初に行うべきことは、XML-RPC と呼ばれる悪用可能な API を無効にすることです。

XML-RPC が必要になるのは、WordPress Web サイトが外部のサードパーティ アプリケーション (モバイル デバイス上の WordPress アプリなど) と対話する場合のみです。これらを使用せずに済む場合は、XML-RPC を無効にすることをお勧めします。これは、Web サイトの .htaccess ファイルを編集して xmlrpc.php プログラムへのアクセスを拒否するだけで実行できます。または、Web サイトの内部ファイルを自分で変更するのが安全ではないと思われる場合は、代わりに作業を行うプラグインを入手することもできます。

DDoS 対策プラグイン

WordPress の他の脆弱性を修正する WordPress セキュリティ プラグインがいくつかあります。

DDoS に対する保護 – このプラグインは、ブルート フォース攻撃や DDoS 攻撃によって引き起こされるパフォーマンスの問題に対処します。 .htaccess ファイルを介してすべてのチェックを実行することで、悪意のあるリクエストが WordPress サイトに到達する前に Web サーバー レベルで阻止されます。

また、XML-RPC の脆弱性も修正され、その構成オプションにより、Cloudflare ユーザーは特定の国からの訪問者のアクセスを拒否できるようになります。

WP REST API を無効にする – WordPress REST API も、人気のある CMS の悪用可能な脆弱性です。幸いなことに、この脆弱性はこの超軽量プラグインで簡単に修正できます。使用するコードはわずか 22 行 (2KB 未満) で、WordPress にログインしていない訪問者に対して WP REST API を無効にすることで機能します。インストールしてアクティブ化した後、ログアウトした訪問者が Web サイトに JSON/REST リクエストを行うと、REST API が認証されたユーザーに制限されていることを示すメッセージが表示されます。

XML-RPC ピンバックを無効にする – 80,000 を超えるインストール数と 4.5 つ星の評価。このプラグインは、XML-RPC インターフェイスから悪用可能なメソッドをすべて排除します。また、HTTP ヘッダーから X-Pingback が削除され、ボットが xmlrpc.php ファイルにアクセスできなくなります。

セキュリティスイート

DDoS やその他のセキュリティ上の懸念を完全に忘れてビジネスに全力を注ぎたい場合は、すべての基盤をカバーするソリューションが必要です。

このようなソリューションには以下を含める必要があります。

• Web アプリケーション ファイアウォール。ファイアウォールは Web サイトとインターネットの間に立ち、敵対的なトラフィックを検出してブロックします。
• Web サイトのウイルス対策パッケージ。 Web サイトを定期的かつ自動的にスキャンして、マルウェアの痕跡を検出し、削除します。
• サーバーをスキャンして、未知のサイトからのバナー広告など、感染性のないハッキングを検出します。
• サイトの監査/監視により、ファイルの変更、新しい投稿、新しいユーザー、ログイン試行の失敗などの不審なアクティビティを検出します。

包括的な WordPress サイトのセキュリティを提供する次のソリューションを検討してみましょう。

スクリ

Sucuri は、WordPress Web サイトで豊富な経験を持つ有名な Web セキュリティ会社です。

サイトで Sucuri を有効にすると、Web サイトとインターネットの間にクラウド プロキシ ファイアウォールがインストールされ、ホスティング サーバーに送られるすべてのトラフィックがフィルタリングされます。ファイアウォールにより、正当な訪問者のみが WordPress Web サイトにアクセスできるようになります。副作用として、Sucuri クラウドのおかげで Web サイトの応答が速くなり、サーバーが処理する必要があるトラフィック量が減ってホスティング費用を節約できます。

完全な Sucuri ソリューションには、Web サイトを定期的にスキャンして監視するウイルス対策パッケージが追加され、悪意のある JavaScript スニペット、不審なリダイレクト、コード インジェクションなど、あらゆる種類のマルウェアから Web サイトを保護します。

また、サイトが評判評価サービスによってブラックリストに登録されていないこともチェックします。サイト監査ログを参照すると、新規ユーザー、ログイン試行の失敗、ファイルの変更など、WordPress Web サイトで発生したすべての情報が得られます。

Sucuri の料金プランは、基本サービスで年間約 199 ドルから始まりますが、エンタープライズ向けの特典がいくつかあるだけなので、それほど基本的ではありません。含まれている機能は価格を正当化する以上のものですが、それだけでは納得できない場合は、ブラックリストの削除に加えてマルウェアのクリーンアップ サービスも提供していることを検討してください。

Web サイトが保護されている場合、このサービスが必要になる可能性はほとんどありませんが、セキュリティの専門家がサイトからマルウェア感染を除去するために 1 時間あたり 250 ドルを簡単に請求する可能性があることを考慮してください。

アストラセキュリティ

Astra Security は、世界をリードする WordPress セキュリティ ソリューションの 1 つです。 Astra のインテリジェント エンドポイント ファイアウォールは Web サイトにシームレスにインストールされ、 レイヤー 7 DDoS 攻撃や 100 種類以上のその他の攻撃からリアルタイムで保護 します。機械学習インテリジェンスを備えたこのファイアウォールは、既知の攻撃、ボットの動作、悪意のあるリクエストを識別し、新しい攻撃の種類ごとに進化します。 24 時間年中無休でアクティブな Astra ファイアウォールは、Web サイトを確実に保護します。

さらに、Astra ファイアウォールは、いかなる種類の DNS 変更も必要とせずに、独自のサーバー上で完全に機能します。

しかし、それだけではありません。 Astra Security パッケージには他にもたくさんの機能があります。各セキュリティ パッケージには、WAF、マルウェア スキャナー、国および IP ブロッカー、およびその他のいくつかの便利な機能が付属しています。

Astra Security の使用を開始するのは簡単で、プロセス全体にかかる時間は 15 分以内です。仕組みは次のとおりです。

• WordPress リポジトリから Astra Security プラグインをインストールします
• アカウントを作成し、 プランを選択し てサインアップします
• 最後に、WP バックエンドから「Connect to Astra」をクリックします。

これにより、WP バックエンドが Astra ダッシュボードに接続され、次のようになります。

クラウドフレア

Cloudflare は、 巨大な CDN (コンテンツ配信ネットワーク) を使用して WordPress ウェブサイトを DDoS 攻撃から保護し、サイトを安全にするだけでなく高速化します。世界中に 200 以上のデータ センターが分散されている CDN は、最も強力な攻撃さえも吸収して回避するのに十分な大きさであるため、軽減能力が過剰になることを心配する必要はありません。

Cloudflareは、プロアクティブな緩和アプローチにより、2,000万以上のWebサイトにわたるシグネチャとIPの動作分析から厳選された共有インテリジェンスを活用して攻撃を予測できます。この保護機能は、レイヤー 3、4、および 7 の攻撃をエッジで検出してブロックし、Web サイトへの攻撃を阻止します。

また、Spectrum を採用して Cloudflare のデータセンターを介してトラフィックをプロキシすることにより、インフラストラクチャ内のすべての TCP ポートが保護されます。

このサービスは、個人および小規模 (ビジネスに重要ではない) Web サイトの場合は無料です。無料プランには、DDoS 攻撃の軽減、グローバル CDN、電子メールによるサポートが含まれています。有料プランは月額 20 ドルから始まり、Web アプリケーション ファイアウォール、キャッシュ分析、モバイル最適化などの特典が追加されます。

ビジネス クリティカルな Web サイトの場合、エンタープライズ プランには、24 時間 365 日のチャット/電話サポート、100% 稼働時間 SLA、ソリューション エンジニア サポートなどの特典が追加されます。

スタックパス

総容量 65Tbps のグローバル ネットワークにより、 StackPath の ソリューションは最大規模かつ最も高度な DDoS 攻撃を軽減し、HTTP、SYN、UDP フラッドなどのあらゆる攻撃手法に対処できます。 StackPath のプラットフォームは、DDoS 攻撃に関するインテリジェンスをエッジ ロケーションとともに収集して分析し、悪意のある攻撃がどこから来たのかに関係なく、すべての悪意のある攻撃をブロックできるようにします。

ネットワーク層で WordPress Web サイトを保護するために、StackPath グローバル ネットワークは、デバイスでのレイヤー 3 および 4 の DDoS 攻撃から保護するネットワーク機器を採用しています。一方、スマート Web アプリケーション ファイアウォールは、自動ボットを検出してブロックする独自の JavaScript 検証技術を使用し、特定のニーズに合わせて DDoS しきい値を構成する高度なツールを提供することで、高度なレイヤー 7 DDoS 攻撃を 1 秒以内に軽減します。

StackPath の DDoS 保護は、月額 20 ドルから始まるエッジ サービス スイートの一部であり、CDN、WAF (Web アプリケーション ファイアウォール)、DNS、監視サービスが含まれます。これら 4 つのサービスは個別に利用でき、料金はそれぞれ月額 10 ドルです。価格は量に応じて変わります。たとえば、100TB/月の CDN と 50M/月のリクエスト WAF が必要な場合、月額 2000 ドルを支払う必要があります。

言い訳しない！

あなたのウェブサイトがダウンしたり、ブラックリストに載ったり、評判が下がったりしても、言い訳をしないでください。災害による最愛の WordPress サイトの破壊を防ぐためのリソースがすべてすぐに手に入ります。まだ実行していない場合は、手遅れになる前に行動を起こしてください。