28項目のチェック。
潜む情報漏洩を全て洗い出す。
すべてのREST APIエンドポイントをセキュリティリスク視点でスキャン。ユーザー列挙・設定の露出・未認証アクセスを深刻度別に分類し、攻撃者より先に発見します。
なぜREST API診断が必要なのか？
標準的なWordPressインストールは、認証なしでREST APIを通じてユーザーデータ・サイト構造・設定情報を公開しています。ワンクリックスキャンで28のセキュリティチェック全リスクを洗い出します。
/wp-json/wp/v2/usersへのアクセスでユーザー名やメールアドレスが露出する可能性があります。
多くのエンドポイントがログインなしでアクセス可能で、外部からの情報収集を許します。
露出したプラグイン情報やサイト設定が標的型攻撃の足がかりに利用される可能性があります。
公開されたエンドポイントを即座に検出し、適切な対策を提案します。
診断対象
WordPressは初期状態で数多くのREST APIエンドポイントを公開しています。SentinelSecurityはそのうち28を検査し、専門用語ではなく「サイトに対する実際のリスク」でグループ化して結果を提示します。
28項目／5つのリスクカテゴリ別に診断
初期状態では、誰でもREST API経由でユーザー名一覧の取得、一部設定の閲覧、さらにはファイルアップロードまで実行可能。実際にサイトが侵害される原因となる3つの最重要チェックです。
すべての著者のユーザー名を返します — ブルートフォース攻撃のほぼすべてがここから始まります。
管理者だけが閲覧すべきサイト全体の設定情報を露出させます。
ファイルアップロードが認証ユーザー限定になっているか確認。さもなくば攻撃者にマルウェア投入を許します。
明らかな穴を塞いだ後、攻撃者はより巧妙な穴を狙います：レート制限の不在、非公開のはずの下書き投稿、権限チェックが甘いプラグイン独自のエンドポイントなどです。
ログインユーザーの情報が匿名訪問者に漏れていないかを検証します。
スロットリングがないと、攻撃者一人でもパスワード総当たりやDoS目的でAPIを叩き続けられます。
匿名コメント投稿は、スパムや悪意あるリンクの常套侵入経路です。
有効なテーマとプラグインの露出は、攻撃者に即席のCVE攻撃リストを提供します。
未公開の下書きが匿名ユーザーから読み取られないことを確認します。
多くのプラグインは脆弱なpermission_callbackでエンドポイントを公開しています。リスクの高いものを特定します。
有効なnonceがないと、APIがCSRFやリプレイ攻撃を受け入れてしまう恐れがあります。
これらの項目は直ちに深刻な被害をもたらすわけではありませんが、バージョン情報・著者のEXIF GPS・投稿リビジョンなど、攻撃の足がかりとなる情報を少しずつ漏らします。SentinelSecurityは分かりやすい言葉でそれらを可視化します。
本番環境では無効にすべき。認証情報がリクエストごとにbase64で送信されてしまいます。
ログインを必須にすべきエンドポイントの中で、依然として誰でも読めるものを抽出します。
ワイルドカード指定のAccess-Control-Allow-Originは、任意の外部サイトにAPI読み取りを許してしまいます。
メディアライブラリにアップした写真から、GPS座標やカメラのシリアル番号が漏洩する可能性があります。
APIディスカバリのレスポンスで返却され、脆弱性スキャンを容易にしてしまいます。
投稿IDの列挙に悪用され、非公開設定し忘れたコンテンツを発見されてしまう可能性があります。
記事の古い下書きが、削除したつもりの文章を再浮上させてしまう恐れがあります。
プラグイン提供のフィルタが、ユーザー入力を直接SQLに渡してしまうことがあります。そのパターンを検出します。
影響度は低いものの、ペネトレーションテストの報告書には頻出します。積極利用していなければ、無効化することで攻撃面から完全に取り除けます。
他サイトへの投稿埋め込みに使われます。埋め込みを使用しない場合は無効化を推奨します。
現在はもっぱら攻撃者の増幅型ブルートフォースで使われるレガシーAPIです。
ネームスペース・投稿タイプ・タクソノミー・JWTプラグインなど、API表面を地図化する8つの情報チェック。脆弱性そのものではないものの、他の報告内容を読み解くための必須の文脈です。
そもそもREST APIが有効か、どのプレフィックスで応答するかを検査します。
ホームページのHTMLヘッダ内でAPI URLを宣伝していないか検出します。
アプリ別トークン機能（WP 5.6以降）の有効状態を報告します。
代表的なJWT認証プラグインとそのバージョンを特定します。
APIが公開するすべてのカスタム投稿タイプ・タクソノミー・プラグインネームスペースを一覧化します。
次のステップ
REST API診断で問題が見つかったら、API保護機能で対策。ユーザー列挙防止、レート制限など、データ漏洩を防止します。
その他の機能
SentinelSecurityは、脆弱性スキャンからファイル監視、メール通知まで、WordPressサイトのあらゆるセキュリティをカバーします。
WordPressログインを多層で守る。IPロックアウト・2FA・CAPTCHAで攻撃者を入口で阻止。
詳しく見るセキュリティヘッダーの設定を診断し、不足・誤設定を修正するための具体的な提案を提供します。
詳しく見るREST APIのレート制限とユーザー列挙対策で、API経由の情報漏洩と不正利用をブロック。
詳しく見るWordPressの設定・バージョン・ファイルパーミッションをセキュリティリスクの角度でチェック。 ワンクリックでリスクスコアを表示します。
詳しく見るWordPressの各ディレクトリにおけるファイルの追加・変更・削除を検知。不正な改ざんをすぐにアラートでお知らせします。
詳しく見るCSP、HSTS等のセキュリティヘッダーをGUIで簡単設定。スマートスキャンで最適設定を自動生成。
詳しく見るログイン・ファイル変更・脆弱性検知など、7種類のセキュリティ通知を完全カスタマイズ。ホワイトラベル対応。
詳しく見る