2025年3月号：ブログを考える（2025）

2025年3月15日

今月の調査アクティビティ

ブログをどうつくるか考えている．　今月は初めにCloudflareを使ったWordPressをセキュアする試行をした、興味深いデータが得られたので記録しておきたい．

次に、ブログ作成の方法について以下の試行を実施した．

試行パターンは次の3つ
1. Blogger（主に記事の作成）
2. WordPress（セキュアなサーバ構成の試行）
3. Cloudflare Pages + Astro + MicroCMS

また、記事の作成方法についても引き続き調査・検討中だ．

WordPressを使う場合、必然的サーバ立てることになる（サーバ立てなくても可能だけど、ほぼ立てることになる）、サーバはリスクが高いのでWordPressを使う場合は、セキュリティをどうするかがもっと重点になるかと思う．

下記の記事を読んで、オリジンサイトを隠蔽することが可能かと思い試行してみた．

CloudflareからさくらVPSサイトにセキュアトンネルを張りオリジン・サーバへのアクセスを隠蔽する．　これにより、サーバへの直接アクセスさせずに運用させようと考えた．

今回作成した構成は下記のようにした．

WordPressサイトは、利用者が多いこともありセキュリティ構成が手間だ．

したがってセキュリティの構成は攻撃パターンを含めて検討する必要がありアプリケーション・ファイアウォール設定や著名な攻撃パターンの検出をCloudflareに行わせようという考えだ．（多少の有料はイマドキは常識だろう）

さくらVPC側の設定も含めドメイン名をそれぞれのポイントで適格に設定する必要はあるが難しい設定はないと思う．

cloudflaredを導入しセキュアトンネルを作成、http/https通信やssh通信を遮断してしまえばオリジンサーバーを晒すことはなくなる（アプリケーション的にはwp-adminはキャッシュスルーするので別途カスタムルールでアクセス制限設定の必要はある）

数日放置した状態ではスキャンや攻撃はないだろうと思っていたのだが、予想に反しとても多くの攻撃を検出していたことは驚きだ．

サンプルとしてピックアップした日は、日本、シンガポール、アメリカ、UK、アイルランドからであったが、ボットがスキャンして決まりパターンのアクセスをしている様子がチェックされていた．

下記にアタックパターンを例に示してみるが、「スターク・インダストリー」（映画：アイアンマンに登場する企業）やボット名をエージェント名にしている点などスクリプトキディな感じを受ける．

先日もconnpassで構築例を示して講義しているのを見た．WordPressサーバーを直接晒す構成はリスク高いなとは感じた．

実施に構築してみて思ったのだがWordPressサーバは、検出されやすいこともあってアタックされやすいのではないかと思う．

企業の大小にかかわらず、セキュリティ・インシデント・レポートが多い昨今はフロントエンドにはWAFだけでなくDDoSプロテクションを含めて、アクティブ・セキュリティ・ブロッカーを配置することは必要と考える．

WordPressサイトを作った後に出す項目ではないのだが、
ブログをどう作るか考えている．　Zenn/Qiita/Noteに示されるようにブログ記事を作成はMarkdownが良い.

Markdownを使う前提でブログサイトをどのように使うか、どのように作るか検討したい．

既存のブログを利用する点においては、Bloggerがいろいろなことを考えて都合が良いと思っている．

記事作成方法を考える必要があるが、単純には下記のような方法が考えられる：

記事作成のアプローチとしては、StackEditで作成してBloggerへ投入する
StackEditは更新もあり使い方を更新する必要はあるが、手慣れている点で手軽であると思っている．
VSCodeで記事を作成してBloggerへ投入する
VSCodeで記事を作成してBloggerへ投入する（VSCode Blogger機能拡張）、可能性を試行する．
VSCode作成・レンダリングしてBloggerへ転記
VSCodeで作成してレンダリング後に転記する（人的アプローチがめんどくさそうではあるが試行錯誤しているうちはよいかもしれない）

実際にそれぞれ試行して検討することとする．