2025年2月14日 2025年2月14日 kaizawa

GMO サイバー攻撃ネット de 診断

月 300 円を高いとみるか、安いと見るか。人それぞれだと思いますが、セキュリティ診断をしてくれるところを知らないので、登録してみました。 Lollipop さんのところでやっています。

診断結果

診断結果は大きく分けて５段階で表示され、私の場合は上から２つ目の「 B 」ランクでした。曰く「早急なセキュリティ対策は不要です」ただし、将来的には追加の対策実施をオススメします。セキュリティを維持するため、定期的な診断を行いましょう。です。画像で見えるかどうかわかりませんが、向かって左に個別の問題点が列挙されています。結構細かいチェックがされており、好感が持てますね。

セキュリティリスクに（将来的に）なりそうな項目が７つありました。

Apple Mac OS の .DS_Store ファイルによるディレクトリリスティング
セキュリティヘッダ”HTTP Strict Transport Security(HSTS) ”の未設定
セキュリティヘッダ”X-Frame-Optiion”の未設定もしくは設定の不備
セキュリティヘッダ”X-Content-Type-Options”の未設定
セキュリティヘッダ”Access-Control-Allow-Origin”の設定
セキュリティヘッダ”Content-security-Policy”の未設定もしくは設定の不備
REST API 経由でのユーザー列挙（ WordPress ）

訳わからんもんが多くて、頭が混乱します。

できることから対策

まずは、サーバーに .DS_Store ファイルが残っているよ。というメッセージ。ファイル転送した際に残っていたんですね。これがセキュリティリスクにつながるというのも初めて知りました。サーバーをスキャンして .DS_Store ファイルは一掃しました。

対策取ると言うより、後のものはまず意味を調べますね。で、一番下の REST API というのを調べました。 WordPress では最近取り入れられた機能ですね。様々なデータを JSON 形式で WordPress から取り出したりできる機能です。「そんな機能危ないんじゃない？」と思ったのですが、調べてみるとパスワードなどは取り出すことができません（当たり前ですね）。そしてリモートで様々なデータを取り出したりできるのは便利なわけで、これを利用しているプラグインも多いそうです。

で、自分なりの結論として REST API そのものに害はない（脆弱性はここまで見つかっていない、もしくは対策が取られている）。と判断し、無視することにしました。

もうひとつ。 HTTP Strict Transport Security(HSTS) 。これは、簡単に言うと HTTPS を強制するというもの。 Google さんのところでも登録することによって強制的にセキュア接続に持っていくってのがあって、今登録申請中です。 HSTS に関しては、有無を言わせずセキュア接続に持っていくというので、必要だと考えました。

この設定は .htaccess に書き込むんですが、私が説明するとしどろもどろになりそうなので、サイトを紹介するにとどめますね。