OWASP WordPressセキュリティ実装ガイドライン （セキュアなWordPressの構築ハンズオン手順書）
•
5 gefällt mir•4,900 views
OWASP Nagoya Chapter ミーティング 第4回 / ハンズオン資料 ～WordPressの脆弱性スキャンを行い、セキュアなWordPressを構築しよう！～ OWASPが提供する「OWASP Wordpress Security Implementation Guideline(OWASP WordPress セキュリティ実装ガイドライン)」を参考にしてWordPressのセキュリティ対策について説明し、実際に実装してみます。
Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (20)
Ähnlich wie OWASP WordPressセキュリティ実装ガイドライン （セキュアなWordPressの構築ハンズオン手順書）
Ähnlich wie OWASP WordPressセキュリティ実装ガイドライン （セキュアなWordPressの構築ハンズオン手順書） (20)
Mehr von OWASP Nagoya
Mehr von OWASP Nagoya (16)
OWASP WordPressセキュリティ実装ガイドライン （セキュアなWordPressの構築ハンズオン手順書）
- 2. • 西村 将利（にしむら まさとし） • facebook： https://www.facebook.com/nishimura.masatoshi.3 • twitter ： @BankKeikei55 – WordPress – AWS , Azure – kintone – OWASP Nagoya 2 自己紹介
- 3. 3 もくじ① 章 タイトル 実装ガイド 番号 ページ 1 各種アカウント 5~6 2 Linux内ローカルディレクトリ配置 7~8 3 WordPress4.9.4インストール設定 4.11 4.17 4.18 4.2 4.9 9~37 4 wp-config.phpファイルの移動 4.16 38~40
- 4. 4 もくじ② 章 タイトル 実装ガイド 番号 ページ 5 wp-adminのアクセス制限 4.6 41~46 6 ブルートフォースアタック対策 4.7 47~57 7 セキュリティプラグイン設定 4.13 4.19 4.20 4.21 58~102 8 BackWpUpプラグイン設定 4.4 103~111
- 5. 5 1.各種アカウント
- 6. 6 1.各種アカウント WordPress4.7.1 WordPress4.9.4 WordPress ユーザー admin owaspnagoya494 パスワード password 「強力」判定のものを使 用する DBテーブル接頭辞 wp_ owasp758_ MariaDB (MySQL) DB名 wordpress471 wordpress DBユーザー名 owaspnagoya owaspnagoya DBパスワード owasp758 owasp758 Linux CentOS7 ホスト 192.168.100.100 ユーザー名 owaspnagoya パスワード owasp758 ハンズオン向けの設定値です。実際の運用では、鍵認証 ・2要素認証・アカウント漏洩対策を行ってください
- 8. 8 2.Linux内ローカルディレクトリ配置 Linux内部パス URL ドキュメントルート /var/www/html http://192.168.100.100 WordPress本体 やプラグイン等 原本ファイルデ ィレクトリ 4.7.1 /home/owaspnagoya/downloadfile471 4.9.4 /home/owaspnagoya/downloadfile WordPress4.7.1 /var/www/html/wordpress471 http://192.168.100.100/wordpress471 WordPress4.9.4 /var/www/html/wordpress494 http://192.168.100.100/wordpress494 ローカルの隔離環境で実施しているため、ダウンロードOVAの中に各種ファイルを準備しています
- 10. $ pwd /home/owaspnagoya/wpscan/ $ cd /home/owaspnagoya/downloadfile $ sudo cp wordpress-4.9.4-ja.tar.gz /var/www/html/ 10 3.WordPress4.9.4インストール設定1 TeraTerm（Windows）やターミナル（Mac）で以下のコマンドを実行し、tar.gzを移動します ダウンロード済のwordpress-4.9.4-ja.tar.gzを利用 パスワード owasp758 を半角英数小文字で入力します ※パスワードは入力しても表示されません
- 11. 11 3.WordPress4.9.4インストール設定2 $ cd /var/www/html/ $ ls -al $ sudo tar -zxvf wordpress-4.9.4-ja.tar.gz ダウンロード済のwordpress-4.9.4-ja.tar.gzを利用 1. デイレクトリを移動します 2. コピーされたwordpressパッケージがある事を確認します 3. wordpressパッケージ展開します
- 12. 12 3.WordPress4.9.4インストール設定3 バージョン識別をしやすくするため、展開後のディレクトリ名wordpressをwordpress494に変更します $ sudo mv /var/www/html/wordpress /var/www/html/wordpress494 tar.gzのwordPress4.9.4パッケージを削除します $ sudo rm /var/www/html/wordpress-4.9.4-ja.tar.gz
- 14. 14 3.WordPress4.9.4インストール設定5 ディレクトリの所有者とグループをapacheに変更します $ sudo chown -R apache:apache /var/www/html/wordpress494
- 36. 36 3.WordPress4.9.4インストール設定27 WordPressの全体SSL化① ● CentOS、Apache、Nginxなどのバージョンを確認します ● 上記に適した openssl、mod_ssl（mod24_ssl）などのインストールを します ● ファイヤーウォールのhttps（ポート443）設定をします ※ファイル、php、DB等でキャッシュを使っている場合、キャッシュ削除/停 止後の作業を推奨します 今回のハンズオンでは、Virtualboxのホストオンリーネットワークをしよ うしているため、mod24_sslのインストールができません。 今回は、SSL化の作業は行いません。
- 37. 37 3.WordPress4.9.4インストール設定28 WordPressの全体SSL化② ● SSL証明証サーバーインストールと「.htaccess」「httpd.conf」「nginx.conf」等 の設定をします ● データーベース内の 「http://独自ドメイン」 を 「https://独自ドメイン」に置き換 えを行います ● ワードプレスファイル内の「http://独自ドメイン」 を 「https://独自ドメイン」に 置き換えを行います（キャッシュなどに注意してください） ● mixed contentのチェックと修正します（Mixed Content Checker製品版、 python,PhantomJS,npmを使う方法などいろいろあります）
- 39. 4.wp-config.phpファイルの移動1 ①wordpress494用のwp-config.phpをルートディレクトリ方向へ1つ移動します $ sudo cp /var/www/html/wordpress494/wp-config.php /var/www/html/wp-config.php ②元の場所にあるwp-config.phpを削除します $ sudo rm /var/www/html/wordpress494/wp-config.php 39
- 40. 40 4.wp-config.phpファイルの移動2 wordpress494用のwp-config.phpの所有者とグループの変更します $ sudo chown apache:apache /var/www/html/wp-config.php
- 42. 42 5.wp-adminのアクセス制限1 $ cd /etc/httpd/conf ①apache設定httpd.confファイルのディレクトリへ移動します ②念のために、デフォルトhttpd.confファイルのバックアップをとります ドキュメントルートの .htaccess を有効化 $ sudo cp -p /etc/httpd/conf/httpd.conf ./httpd.conf-back
- 43. 43 5.wp-adminのアクセス制限2 AllowOverride NoneからAllに書き換え済のhttpd.confファイルを home/owaspnagoya/downloadfile/httpd.confよりコピーして上書きします ドキュメントルートの .htaccess を有効化 $ sudo cp /home/owaspnagoya/downloadfile/httpd.conf ./
- 44. 44 5.wp-adminのアクセス制限3 $ sudo systemctl restart httpd 必要に応じてパスワードを入力します httpdの再起動
- 45. 45 5.wp-adminのアクセス制限4 wp-adminの.htaccess設定 /var/www/html/wordpress494/wp-admin/ に移動します $ cd /var/www/html/wordpress494/wp-admin/ .htaccessファイルをコピーします $ sudo cp /home/owaspnagoya/downloadfile/.htaccess ./
- 46. 46 5.wp-adminのアクセス制限5 .htaccess所有者とグループの変更します $ sudo chown apache:apache .htaccess ご参考。.htaccessの中身は以下の通りです。自己IPアドレスのみ許可を行う設定となります
- 48. 48 6.ブルートフォースアタック対策1 ● 「6.ブルートフォースアタック対策」ではGoogle Captcha（reCAPTCHA）プラ グインを使いますが、有効化を行わず、説明だけとなります ● 今回のハンズオン環境は、ホストオンリーアダプタによるローカル隔離環境です ● ダッシュボードのログアウト後の再ログイン時に外部（グーグル）との接続/認証 が出来ない為、ログイン不可となってしまいます
- 49. 49 6.ブルートフォースアタック対策2 Google Captcha（reCAPTCHA）プラグインの設定 wordpress494のプラグインディレクトリへ移動します $ cd /var/www/html/wordpress494/wp-content/plugins ②Google Captchaプラグインを/home/downloadfile/google-captcha.1.35.zipよりコピーします $ sudo cp /home/owaspnagoya/downloadfile/google-captcha.1.35.zip ./
- 50. 50 6.ブルートフォースアタック対策3 google-captcha.1.35.zipを解凍します $ sudo unzip /var/www/html/wordpress494/wp-content/plugins/google-captcha.1.35.zip ②Google Captchaプラグインのzipを削除します $ sudo rm /var/www/html/wordpress494/wp-content/plugins/google-captcha.1.35.zip
- 51. 51 6.ブルートフォースアタック対策4 ユーザーとグループを設定します $ sudo chown -R apache:apache /var/www/html/wordpress494/wp-content/plugins/google-captcha
- 53. 53 6.ブルートフォースアタック対策6 Google Captchaプラグ インの「有効化」をクリ ックします ハンズオン環境は、ホス トオンリーアダプタであ るため、Google発行の Site KeyとSecret Keyの Googleとの認証が出来ま せん Google Captchaプラグ インの設定は参考として 説明しています
- 54. 54 6.ブルートフォースアタック対策7 ①Get the API Keysより、Googleにログ インしてSite KeyとSecret Keyを発行し ます ②「Site Key」を入力します ③「Secret Key」を入力します ④「Save Changes」をクリックします ※各種キー取得画面は次のページにて参 照ください
- 55. 55 6.ブルートフォースアタック対策8 Get the API Keysをクリック後、Googleにログイン します ①「Label」にSite KeyとSecret Key発行に対して使 用する任意の名称を入力します 本資料は「OWASP Nagoya Wordpress494」とし ています ②「reCAPTCHA V2」にチェックします ③「192.168.100.100」を入力します ※「192.168.100.100/wordpress494」は入力受 理されない様になっています ④「Accept the reCAPTCHA Terms of Service」を チェックします ⑤「Register」をクリックします
- 57. 57 6.ブルートフォースアタック対策10 Site KeyとSecret Keyをコ ピー＆ペーストした後、「 Save Changes」をクリック します
- 59. 59 7.セキュリティプラグイン設定1 iThemes Security (formerly Better WP Security)プラグイン 以下のコマンドにて、iThemes Securityプラグインをワードプレスに設定します $ cd /var/www/html/wordpress494/wp-content/plugins $ sudo cp /home/owaspnagoya/downloadfile/better-wp-security.6.9.2.zip ./ 対象ファイルの展開と削除します $ sudo unzip better-wp-security.6.9.2.zip $ sudo rm better-wp-security.6.9.2.zip
- 60. 60 7.セキュリティプラグイン設定2 プラグインディレクトリのユーザーとグループを設定します $ sudo chown -R apache:apache better-wp-security
- 61. 61 7.セキュリティプラグイン設定3 iThemes Security (formerly Better WP Security)プラグイン翻訳ファイル 以下のコマンドにて、iThemes Securityプラグインの翻訳ファイルをワードプレスに設定 ※Virtualboxのホストオンリーアダプタ―特有の設定です。NAT相当のネットワークアダプタが 使える環境では、プラグインの有効化と同時に自動的に日本語化されています $ cd /var/www/html/wordpress494/wp-content/languages/plugins $ sudo cp /home/owaspnagoya/downloadfile/better-wp-security-ja.mo ./ $ sudo cp /home/owaspnagoya/downloadfile/better-wp-security-ja.po ./
- 62. 62 7.セキュリティプラグイン設定4 iThemes Security (formerly Better WP Security)プラグイン翻訳ファイル 言語（翻訳）のプラグインファイルの所有者とグループを設定します $ sudo chown apache:apache better-wp-security-ja.mo $ sudo chown apache:apache better-wp-security-ja.po
- 64. 64 7.セキュリティプラグイン設定6 iThemesSecurity無料版の基本的な機能➀ セキュリティチェック DBバックアップやブルートフォース対策等、有効無効 確認 グローバル設定 IPアドレスのブラックリスト/ホワイトリスト機能、wp- config.phpや.htaccessやnginx.conf等の書込み許可 通知管理 セキュリティダイジェストなど、Eメール通知の管理 404の検出 大量に404を発生させるユーザーのロックアウト管理 退席中モード ダッシュボードログインの時間帯制限 禁止ユーザー hackrepair.comによるブラックリスト機能の管理 データベースのバックアップ DB定期バックアップの管理
- 65. 65 7.セキュリティプラグイン設定7 ファイル変更の検出 ファイル改ざんチェック機能の管理 ファイルのパーミッション パーミッション設定値チェック ローカルのブルートフォース保護 ロックアウトや回数などログイン制限管理 ネットワーク・ブルートフォース保護 自分のWEBサイトに侵入試行してきた悪意のユーザー を他サイトで侵入出来ないように情報共有して協力す る機能 SSL SSL証明証セット後、.htaccessなどのSSL対応をプラ グインで実施できる機能 iThemesSecurity無料版の基本的な機能②
- 66. 66 7.セキュリティプラグイン設定8 強力なパスワードの実施 パスワードの強力判定機能を強制 システムの微調整 リクエストやクエリのフィルタリングなど各種 WordPressのソルト 認証用キーの再発行。再発行すると接続されているセ ッションが切断される WordPressの微調整 不要ヘッダの削除、テーマ/プラグイン編集XML-RPC やREST APIの無効化 iThemesSecurity無料版の基本的な機能③
- 73. 73 7.セキュリティプラグイン設定15 ithemes.comでAPIキーを取得していない場合、 iThemesSecurityの設定ページのトップで以下のようなAPIキー取得の案内が表示されます
- 76. 76 7.セキュリティプラグイン設定19 Notification Center （通知管理） 「iThemesSecurity」の 「トップページ」で 「Notification Center」の「構 成の設定」に進みます
- 77. 77 7.セキュリティプラグイン設定20 Notification Center （通知管理） セキュリティダイジェストメールを送信す るユーザーを選択します ①ALL 管理者 users のチェックを確認し ます ②の部分について、権限グループ「管理者」 が一覧で並びます。権限グループが「投稿者 」や「編集者」等の場合は表示されません 複数の管理者がいる場合は、セキュリティを 担当する管理者だけに送信するなど使い分け も可能です
- 79. 79 7.セキュリティプラグイン設定22 404の検出 「iThemesSecurity」のトップページで 「Notification Center」の「404の検出」の 「有効」をクリックします
- 89. 89 7.セキュリティプラグイン設定32 パーミッション確認 パーミッションの確認画面です 「ファイルのパーミッション詳細を再読み 込み」をクリック。ひと通り設定後に設定 値が正しいかチェックします
- 90. 90 7.セキュリティプラグイン設定33 パーミッション確認 各種パーミッションは、左記「実装ガイドライン 4.13 Check file permissions」のDesiredをベストと 考えてください テーマやプラグインなどのダッシュボードGUI設定でパー ミッションが設定変更の支障となる場合、Fallback（代替 案）にパーミッションを変更してダッシュボードGUI設定 を行い、作業が終わり次第元に戻してください
- 96. 96 7.セキュリティプラグイン設定40 システムの微調整 以下の項目をチェックします ● システムファイルの保護 ● ディレクトリの参照を無効 ● リクエストメソッドのフィルタ ● URL内の不審なクエリ文字列をフィ ルタリング
- 97. 97 7.セキュリティプラグイン設定41 システムの微調整 以下の項目をチェックします ● ファイルの書き込み権限を削除 wp-config.phpや .htaccess のパーミッショ ンを0444にします 最後に「設定を保存」をクリックします
- 100. 100 7.セキュリティプラグイン設定44 WordPress の微調整 「iThemesSecurity」の「トップペー ジ」「WordPressの微調整」で「構 成の設定」をクリックします
- 101. 101 7.セキュリティプラグイン設定45 WordPress の微調整 以下の項目にチェックします ● ファイルエディタを無効にする ● ユニークなニックネームの選択を ユーザーに強制 ● 追加ユーザーのアーカイブを無効 ● タブナビングからの保護 「設定を保存」をクリックします
- 102. 102 7.セキュリティプラグイン設定46 NinjaFirewall (WP Edition)プラグイン ホストオンリーアダプタを使っているため、ルールファイルの取得更新が出来ません そのため、NinjaFirewall（WP Edition）プラグインについては、実装ガイドラインに従い紹介のみ となります プラグインだけではなく、WAF（Web Application Firewall）、IDS（不正侵入検知）、IPS（不正侵 入防御）などの活用も検討ください
- 104. 104 8.BackWPupプラグイン設定1 以下のコマンドにて、BackWpUpプラグインをワードプレスに設定、ユーザーとグループをApacheに変更 します $ cd /var/www/html/wordpress494/wp-content/plugins $ sudo cp /home/owaspnagoya/downloadfile/backwpup.3.4.4.zip ./ $ sudo unzip backwpup.3.4.4.zip $ sudo rm backwpup.3.4.4.zip $ sudo chown -R apache:apache backwpup
- 105. 105 BackWpUpプラグイン翻訳ファイル 以下のコマンドにて、BackWpUpプラグインの翻訳ファイルをワードプレスに設定します ※Virtualboxのホストオンリーアダプタ―特有の設定です。NAT相当のネットワークアダプタが 使える環境では、プラグインの有効化と同時に自動的に日本語翻訳ファイルもインストールさ れます 8.BackWPupプラグイン設定2 $ cd /var/www/html/wordpress494/wp-content/languages/plugins $ sudo cp /home/owaspnagoya/downloadfile/backwpup-ja.mo ./ $ sudo cp /home/owaspnagoya/downloadfile/backwpup-ja.po ./ $ sudo chown apache:apache backwpup-ja.mo $ sudo chown apache:apache backwpup-ja.po
- 113. 謝辞 113 本資料の作成に当たり多大なる支援をしてくださった方々に 感謝の意を表します。 （順不同） ・井上 茂 ・村井 剛 ・西村 将利 ・谷口 貴之 ・丹羽 雪晴 ・All OWASP Nagoya Staff ・坂梨 功典 ・加藤 人生 ・清水 健吾 ・浅田 竜起