Wordfence vs. Kakapo Security：どちらの保護が合うか？
セキュリティプラグインの評価は、2つの日に決まります。何かを防いだ日と、判断を誤った日です。1つ目の日は、どの製品説明にも書かれています。2つ目の日はどこにも書かれていませんが、半年後にそのプラグインがまだ有効になっているかどうかを決めるのは、こちらの日です。この比較では、その両方の観点から Wordfence と Kakapo Security を整理します。
短い答え
Wordfence は WordPress で最もよく知られたセキュリティプラグインで、無料版、独自のファイアウォール、そして開発元のシグネチャと照合するマルウェアスキャナーを備えています。その強みの一部は、はっきりと自分のインストールの外にあります。シグネチャと脅威情報は提供元から届くからです。
Kakapo Security は別の道を取ります。パターン型ファイアウォール、スキャン、api.wordpress.org のチェックサムとのコアファイル照合、そして一連のログインロック機能を備え、そのすべてがあなたのサーバー上で、外部サービスに問い合わせることなく動作します。その代わり、継続的に更新されるシグネチャデータベースや、レピュテーションに基づく IP フィルターはありません。
まとめると、継続的に更新される脅威データベースと、無料で始められることを求めるなら、Wordfence が適しています。何を探しているのかを正確に把握したい、セキュリティサービスにデータを渡したくない、いずれにしても他の Kakapo プラグインを使っている、という場合は、Kakapo Security のほうが合ったツールです。
どちらにもできること
- ログイン失敗の回数を制限し、IP アドレスをブロックする
- ログイン時の二要素認証
- ファイルの変更をチェックし、WordPress コアをオリジナルと照合する
- wp-content 内の疑わしいパターンのスキャン
- 何を防いだか、誰がログインしたかのログ
- 異常に気づいたときの通知
このレベルでは、両者に大きな差はありません。違いは、スキャンの基になる知識が「どこから」来るのかにあります。
両者の違い
| 問い | Wordfence | Kakapo Security |
|---|---|---|
| 無料版 | はい、有料プランあり | いいえ、すべてに1つのライセンス |
| 検出の根拠 | 開発元のシグネチャと脅威情報 | ソースコードに40のファイアウォールパターンと22のスキャンパターン、読んで確認可能 |
| レピュテーションに基づく IP ブロック | はい、クラウドから | いいえ |
| 二要素認証 | Authenticator アプリ（TOTP） | メールのコードのみ、TOTP なし |
| コアファイルのチェック | はい | はい、api.wordpress.org のチェックサムと照合 |
| 検出結果の承認 | 可能 | はい、ファイルのチェックサムに紐付け。変更のたびに承認し直しが必要 |
| 脆弱性照合 | 独自のデータベースで | 自分で登録した情報源がある場合のみ、初期状態ではオフ |
| 改ざん防止のログチェーン | — | はい、wp-config.php の値を使った HMAC |
| サーバーの外に出るものはあるか？ | シグネチャとレピュテーションの問い合わせ | いいえ、すべてローカル |
| バンドルの一部 | 単独のプラグイン | 1つのログインで9つのプラグイン |
数週間たって初めて気づく違い：誤検知
何かを見つけるスキャンは、誤ったものも見つけます。毎週3つの無害なファイルを報告するプラグインは、3回目以降は読まれなくなり、やがて本物の検出結果も一緒に見過ごされます。この問題への向き合い方のほうが、パターンの数よりもツールの差をはっきり分けます。
そのために Kakapo Security は、配布されるソースコードに、計測の結果不採用とした手法の一覧を載せ、不採用の原因になった誤検知の件数も併記しています。\xNN シーケンスの高い密度（正規のファイル23件）、2つの断片に分割された関数名（2件、広く使われているライブラリが原因）、非常に長い行（429件）、印刷できない文字（179件）、閉じられていないバッククォート（49件）です。この一覧は開発者向け Wiki ではなく、管理画面に表示されます。
概要表示がずっと赤のままのセキュリティプラグインは、もう何も守っていません。通知をクリックして消す癖をつけさせるだけです。2週間運用したら、通知のうち何件が本物だったかを確認してください。
Kakapo Security が明確に「しない」こと
これは誠実な比較には欠かせません。選択を左右するからです。
- Authenticator アプリによる二要素認証はありません。コードはメールで届きます。TOTP が必要なら、追加のプラグインが必要です。
- 継続的に更新されるシグネチャデータベースはありません。スキャンが探すのはパターンであって、名前の付いた既知のマルウェアではありません。
- 初期状態では脆弱性照合はありません。情報源のアドレスは入力できますが、情報源は同梱されていません。
- ウェブサイトの手前に置くクラウドファイアウォールはありません。ルールは PHP で動作するため、WordPress が起動し始めてから初めて働きます。
この4つのうち1つでも必要なら、ほかが合っているというだけで乗り換えるべきではありません。
データの保存場所
セキュリティプラグインは、ほかのどのプラグインよりも多くのものをウェブサイトから目にします。ユーザー名付きのログイン試行、訪問者の IP アドレス、ファイル一覧、データベースの内容です。そのため、そのうち何がどこへ送られるのかという問いは、些細なことではなく、委託処理の一部です。
Kakapo Security は、検出のために外部へ何も問い合わせません。ファイアウォールのパターン、スキャンパターン、チェックのロジックはプラグイン内にあり、外部との通信は、あなた自身が設定したものだけです。api.wordpress.org からの WordPress コアのチェックサムと、登録した場合に限り、独自の脆弱性情報源です。開発元のサービスを経由することはありません。
Wordfence のほうが適している場合
- 予算をかけずに始めたい
- 自分で手をかけずに、継続的に更新されるシグネチャと脆弱性のデータベースを使いたい
- Authenticator アプリによる二要素認証が必要
- 共有の情報源をもとに、既知の攻撃者のアドレスをブロックしたい
Kakapo Security のほうが適している場合
- 何を探しているのかを読んで確かめたい。どのパターンもソースコードに記述されている
- セキュリティサービスには、メタデータも含めて何も送りたくない
- 後から変更されたことが見て分かるログが必要
- 複数のサイトを管理していて、1つのライセンスで運用したい
- いずれにしても Consent、Backup、またはその他の構成要素を使っている
乗り換え：やるべきこと
- 旧プラグインでどのルールが有効になっていたかを書き留めます。特にブロックリストと例外です。
- Kakapo Security をインストールし、ライセンスキーを入力します。
- まずファイアウォールを「監視」（ドイツ語：„Beobachten“）にして、1週間そのまま動かします。
- ファイアウォールのログに目を通します。訪問者の実際のアクセスが記録されていたら、そのルールは範囲が広すぎます。
- そのあとで初めて、「ブロック」（ドイツ語：„Blockieren“）に切り替えます。
- サイトが確実にクリーンだと分かっているうちに、ファイルの状態を一度記録します。
- 旧プラグインは削除せず、無効にしておきます。期間は2週間です。
2つのファイアウォールを同時に有効にしても、安全性は2倍にならず、不具合の原因が2倍になるだけです。一方は報告のみ、もう一方がブロックするようにしてください。そうしないと、どちらが何を拒否したのか、決して分かりません。