サイトセキュリティ

セキュリティページは、単一のサイトのすべての保護機能を1つのビューで集約します。証明書ステータス、マルウェアスキャン、脆弱性レポート、ログイン強化、国フィルタリング、ホットリンク保護、およびIPブロックリストが表示されます。このガイドでは、各カードとその使用方法について説明します。

KPanelでセキュリティの場所

到達方法はサイトの種類によって異なります:

1. KPanelにサインインします。
2. 左サイドバーのWebsitesをクリックしてから、サイトをクリックします。
3. WordPressまたはWooCommerceサイトの場合、WordPressを開き、次にSecurityを開きます。静的、PHP、Node.js、Python、またはRubyサイトの場合、Advancedを開き、次にSecurityを開きます。

どちらのルートでも/websites/<site-id>/securityに移動します。

保護機能サマリー

最上部に、アクティブな保護機能の数が1行で表示され、各チェックごとにピルが表示されます。チェック項目は、証明書、マルウェアステータス、ログイン保護、および脆弱性であり、各ピルは健全な場合は緑色、注意が必要な場合は琥珀色になります。

ひとめで確認するテストとして使用してください。すべてのピルが緑色の場合、このページで対応する必要はありません。

SSL証明書

証明書カードには、残り日数、件名、発行者、有効期限、および証明書がカバーするすべてのドメインが表示されます。残り日数ピルは、有効期限が近づくにつれて琥珀色になり、その後赤色になります。

証明書は自動的に更新されます。Renew nowボタンは、通常はDNSが変更されたか、証明書上のドメインがサイトに解決されなくなったため、自動更新が失敗した場合のためにあります。

2つの強化スイッチが下にあります:

HSTSは、ブラウザーにドメインに対して常にHTTPSを使用するよう指示します。これはダウングレード攻撃とストリッピング攻撃から保護します。

OCSP staplingにより、サーバーが証明書の取り消しステータス自体を提供することで、TLSハンドシェイクがより高速で、より安全になります。これをオンのままにすることに欠点はありません。

証明書全般については、SSL Certificatesを参照してください。

マルウェアスキャン

スキャンは毎晩自動的に実行されます。カードには、最新のスキャンの結果、スキャン履歴、およびオンデマンド実行用のScan nowボタンが表示されます。このボタンは、スキャンが完了するまでポーリングします。

サイトがクリーンな場合、スキャンされたファイル数と完了時間がカードに表示されます。

ファイルが感染している場合、それぞれがパスと脅威名とともに赤い背景にリストアップされます。一部はAuto-quarantinedというラベルが付けられています。これは、ファイルが既に無効化されていることを意味します。その他については、Quarantineボタンでファイルを移動します。

マルウェアの検出は、何かが侵入したことを意味します。ファイルをクリーニングすることは仕事の半分に過ぎません。パスワードを変更し、すべてを更新し、攻撃者がどのように侵入したかを解明してください。そうしないと、来週また戻ってくることになります。

自動隔離はManaged WordPressに含まれるプランの特典です。他のプランでは、検出は引き続き実行され、手動で隔離します。

脆弱性スキャン

脆弱性カードには、WordPress コア、テーマ、およびプラグイン内の既知のセキュリティ問題がリストアップされます。これらはCVEデータベースに対して毎日チェックされます。

各検出結果には、重大度ピル、コンポーネントとそのバージョン、CVE識別子(ある場合)、タイトル、修正されたバージョン、および最初に確認された時期が表示されます。Dismissボタンでは、評価して受け入れた検出結果を非表示にすることができます。

カードヘッダーのresolvedを切り替えて、修正済みの問題を確認してください。各問題には解決された日付が表示されます。

Fixed in行が実行可能な部分です。更新するべき正確なバージョンが示されます。ほとんどの検出結果は、コンポーネントを更新することで解決されます。WordPress Updatesを参照してください。

ログインブルートフォース保護

このカードはWordPressログインへのサインイン試行を監視し、繰り返し失敗するソースをブロックします。10分以内に5回以上のサインイン失敗がしたアドレスは、1時間自動的にブロックされます。

5つのカウンターに、現在ブロックされているアドレス、ウォッチ中だがまだブロックされていないアドレス、サービスが最後に再起動してからブロックされた総数、失敗した試行の総数、および最近のログイン要求が表示されます。現在ブロックされているアドレスは下にリストアップされています。

ここの数が多いことは普通であり、何か問題があることの兆候ではありません。すべてのパブリックWordPressサイトは常にプローブされています。重要なのは、ブロック数が増加していることです。これは保護機能が機能していることを意味します。

ログイン強化はManaged WordPressに含まれるプランの特典です。利用できない場合、カードは表示されません。

国別IPフィルタリング

サマリーカードに、国フィルタリングがアクティブかどうか、およびいくつかの国がブロックされているか許可されているかが表示されます。Configureをクリックして、完全な国ピッカーを開きます。

国フィルタリングは粗いフィルターであり、境界ではありません。VPN上の誰もが別の場所に見えます。許可のみモードの周辺の安全ガードを含む完全なガイドは、Country Blocking for a Siteにあります。

ホットリンク保護

ホットリンク保護は、他のウェブサイトが画像とメディアを直接埋め込むのを阻止します。そうしないと、誰かのページを提供するために帯域幅が消費されます。

Turn onでオンにします。直接アクセス、検索エンジン、および独自ページは通常どおり機能し続けます。

オンになったら、許可されたドメインを追加できます。1回に1つずつ、example.comまたは*.example.comの形式で追加します。独自のドメインは常に自動的に許可されるため、リストは正当にメディアを埋め込むパートナーサイト専用です。横にある小さなXでエントリを削除します。

IPブロックリスト

ブロックリストは、特定のアドレスまたはCIDR範囲を完全に拒否します。

1. IPアドレスまたはCIDR範囲を入力します。
2. 理由を追加します(オプション)。将来の自分がなぜそこにあるのか知っているために、追加する価値があります。
3. Blockをクリックします。

各エントリは、その理由とそれを削除するためのゴミ箱アイコンとともにリストアップされます。

これは正確なツールです。問題を引き起こしているアドレスが正確にわかっている場合、国全体をブロックするのではなく、ここでブロックしてください。

PCI-DSS強化

管理されたWooCommerceストアでは、追加のカードがSAQ-A適格性を目的とした強化を提供します。4つのチェックが表示され、各チェックが現在適用されているかどうかが表示されます:

• WordPressファイルエディタが無効になっています。
• 管理からのファイル変更が防止されています。
• 管理セッションにSSLが強制されています。
• XML-RPCがWebサーバーでブロックされています。

Apply all hardeningでそれらをオンに、Remove hardeningで逆にします。

これらの設定を適用することはPCI-DSS SAQ-Aに向けた便利なステップですが、認証ではありません。支払いフローと独自の慣行で、実際の適格性が決まります。

実用的なルーチン

• 毎週: 保護機能サマリーをひとめ見てください。ピルが琥珀色の場合のみ対応してください。
• 脆弱性が出現したら: 名前付きコンポーネントをFixed inの下にリストアップされたバージョンに更新します。
• リスクのある変更の前に: バックアップを取ってください。
• 証明書警告が表示されたら: DNSがまだサイトを指しているか確認してから、Renew nowを使用します。
• 疑わしい侵害の後: 手動マルウェアスキャンを実行し、すべてのパスワードを変更し、すべてを更新します。

関連ページ

• Password-Protecting a Site。真のアクセス境界のため。
• Country Blocking for a Site。地理ベースのフィルタリング用。
• Two-Factor Authentication。Kapsuleアカウント自体用。
• Taking a Backup。このページで何かを変更する前。