改ざん検知とは

改ざん検知の仕組み

改ざん検知の基本は、正常な状態を記録しておき、現在の状態と見比べることです。ファイルの場合は、ファイルごとに「ハッシュ値」と呼ばれる文字列を計算して保存しておきます。ハッシュ値はファイルの中身から計算され、1文字でも書き換わると別の値になるため、値を比べるだけで変化に気づけます。

たとえるなら、大事な書類の束に封印シールを貼っておくようなものです。中身を一枚ずつ読み直さなくても、シールが破れていれば誰かが開けたとわかります。

改ざん検知は、改ざんそのものを防ぐものではありません。被害に早く気づき、被害が広がる前に対応するための仕組みです。

WordPressサイトでの例

WordPressサイトの改ざん検知には、主に次のような方法があります。

• ファイルの監視：本体・テーマ・プラグインのファイルに、追加・変更・削除がないかを定期的に調べる。wp-content/uploads/ に .php ファイルが追加された、といった変化を知らせる
• 公式のファイルとの照合：WordPress本体や公式ディレクトリのプラグインは、配布されている正常なファイルと見比べて、書き換えられた箇所を見つけられる（WP-CLIというツールの wp core verify-checksums コマンドなど）
• 外部からの監視：サイトを外から定期的に閲覧し、見た目やリンク先、埋め込まれたスクリプトの変化を調べる

不正なコードはファイルだけでなく、データベースに書き込まれることもあります。ファイルの監視と外部からの監視を組み合わせると、見落としを減らせます。

導入状況の確認方法

• 契約しているサーバーに、改ざん検知やウイルスチェックの機能があるか、有効になっているかを確認する
• セキュリティ系のプラグインを使っている場合、ファイルの変更を調べる機能が有効か、通知先のメールアドレスが今も使われているものかを確認する
• 通知のメールが、迷惑メールのフォルダに振り分けられていないか確認する

運用のポイント

• 本体・テーマ・プラグインを更新するとファイルが変わり、通知が出ることがあります。更新した日時と通知を照らし合わせ、身に覚えのない変化だけを調べる
• 通知が来たら放置せず、いつ・どのファイルが変わったかを記録しておく
• 改ざんに気づいたときに正常な状態へ戻せるよう、バックアップを定期的に取っておく
• WordPressの中で動く検知の仕組みは、侵入した攻撃者に無効化されることがあるため、サーバー側や外部からの監視と組み合わせる

改ざんが見つかった場合、表示されている症状だけを直しても、バックドアが残っていれば再び書き換えられます。原因の調査に不安があれば、専門業者に相談することも検討してください。