All-In-One Security vs. Kakapo Security：スコアか、根拠か？
All-In-One Security は、スコア制を採用した人気の無料セキュリティプラグインです。対策を1つ有効にするたびに、セキュリティスコアが上がります。これはやる気を引き出しますが、効果をよく知らないスイッチまで切り替えたくなる誘惑にもなります。
短い答え
AIOS はログイン保護、堅牢化、シンプルなファイアウォール、ファイルの変更をカバーし、無料で手軽に使えます。スコアは進み具合を目に見える形にしますが、どの対策がどれだけ効果をもたらすかについては何も教えてくれません。
Kakapo Security はスコアを使わず、読んで確かめられることを重視しています。40のファイアウォールパターンと22のスキャンパターンが配布されるソースコードに記述されており、さらに、計測の結果、誤検知が多すぎた手法の一覧も含まれています。操作ログはチェーン化され、wp-config.php にある値を使って計算されています。
両者の違い
| 問い | All-In-One Security | Kakapo Security |
|---|---|---|
| 価格 | 無料、Premium プランあり | 有料プラグイン、1つのライセンスで9つ |
| スコア制 | はい | いいえ、意図的に |
| 堅牢化のスイッチ | 多数 | 効果のあるものを、理由付きで |
| ファイアウォール | シンプルなルール | 40パターン、読んで確認可能、セルフテスト付き |
| wp-content のスキャン | 限定的 | 22パターン、不採用の手法も文書化 |
| コアファイルとオリジナルの照合 | 要確認 | はい、api.wordpress.org と照合 |
| 二要素認証 | プランによる | メールのコードのみ、TOTP なし |
| 改ざん防止のログチェーン | — | はい |
| ログイン可能時間帯と国別ブロック | プランによる | 標準搭載 |
なぜスコアを使わないのか
スコアは、対策を足し算できることを前提にしています。しかし、実際にはそうはいきません。速やかなアップデートと二要素認証を合わせたほうが、十数個の小さな堅牢化スイッチよりも効果があります。それなのに、スコア制ではどれも同じ重みで数えられます。
さらに悪いのは、もう1つの影響です。100点を目指して最適化すると、自分のサイトで副作用を起こすものまで有効にしてしまいます。1点を稼ぐ代わりにページビルダーを壊すスイッチは、割に合いません。
スコア付きのツールを使っているなら、効果を一文で説明できないものは有効にしないでください。スコアは目標ではありません。
All-In-One Security のほうが適している場合
- 無料で始めたい
- 進み具合が見える、案内付きの設定が好み
- ログイン保護と基本的な堅牢化だけで足りる
Kakapo Security のほうが適している場合
- 何を探しているのかを、自分で読んで確かめたい
- 後から変更されたことが見て分かるログが必要
- セキュリティサービスに何も送りたくない
- 複数のサイトを1つのライセンスで管理している
乗り換え：やるべきこと
- ログイン URL を変更している場合は、それを書き留めます。そうしないと、自分自身を締め出してしまいます。
- .htaccess にどのルールが書き込まれたかを確認します。セキュリティプラグインは、そこにブロックを残しがちです。
- Kakapo Security をインストールし、ライセンスキーを入力します。
- まずファイアウォールを「監視」（ドイツ語：„Beobachten“）にして、1週間そのまま動かします。
- サイトが確実にクリーンだと分かっているうちに、ファイルの状態を記録します。
- 旧プラグインを停止してから、「ブロック」（ドイツ語：„Blockieren“）に切り替えます。
どちらにも代わりが務まらないもの
セキュリティプラグインは防御の一層であって、屋根そのものではありません。3つのことは引き続きあなたの役目であり、実際には、どんなファイアウォールの設定よりも多くのインシデントを防ぎます。
- アップデート。 侵入に成功した事例の大多数は、とうにアップデートが出ていた脆弱性を突いています。
- バックアップ。 インシデントの後に意味を持つのはバックアップだけです。そして、攻撃を受けたわけではなく、自分でいじって何かを壊してしまっただけのときにも役立つのも、バックアップだけです。
- 整理されたアクセス権。 もう誰も必要としていないアクセス権は、どれも、もう誰も見張っていない扉です。
この3つには、お金も特別な知識も要りません。これらが整っていれば、セキュリティプラグインで得られるものは大きくなります。整っていなければ、プラグインで手に入るのは主に安心感です。
Kakapo Security があえて何もしない領域
期待とのずれがないよう、限界をはっきり書いておきます。二要素認証のログインはコードをメールで送り、Authenticator アプリには対応していません。悪意のあるコードを対象とした、継続的に更新されるシグネチャデータベースはありません。スキャンが探すのはパターンであって、名前の付いた既知のマルウェアではありません。また、脆弱性照合は情報源のアドレスを受け付けますが、初期状態では情報源が含まれていません。さらに、ファイアウォールは WordPress の手前ではなく WordPress の中で動作します。サーバーに過負荷をかける攻撃は、どの PHP プラグインであっても防げません。
その代わりに行うことは、範囲が明確で、検証も可能です。パターンを検出して拒否する、コアファイルを api.wordpress.org のチェックサムと照合する、ファイルの変更に気づく、そしてすべての判定を、後から気づかれずに変更することのできないチェーンに記録する、の4つです。この4点が必要な人には適しています。シグネチャデータベースを求めている人には適していません。
どのセキュリティプラグインでも、ファイアウォールがどこに位置しているかを確認してください。サーバーの手前にあれば過負荷に強く、WordPress の中にあれば WordPress 自体へのリクエストをより正確に判断できます。両方を同時に得られるのは、ホスティング事業者が協力してくれる場合だけです。