初心者ガンプラー攻撃の媒体としてウェブサイトが使われる原因のひとつがFTP経由です。CMSの場合はもうひとつ大きな危険があります。ログインID(ユーザー名)とパスワードを盗むブルートフォースアタックで管理画面にログインされてしまうと、やりたい放題なのです。普及率の高いWordPressはとくに狙われやすいといえます。「すべてのWEBサイトオーナーのガンブラー攻撃対策」ではFTP関連のセキュリティについて書きましたが、WordPressのダッシュボードの乗っ取りはまた別の問題です。実際にログインパスワードを解析されるという被害はかなり多いのです。管理画面へのアクセス自体をIP制限するブルートフォースアタック(総当たり攻撃)といわれる不正ログインの手法では辞書ツールなどを使って、文字通り理論的にありうるパターンを総当たりでログインを試みます。プログラムやツールなどを使い、回数制限なしにアタックしてきますので、非常にやっかいです。単純な文字列を使わないブルートフォースアタックによる攻撃ではログインユーザー名がadminの場合には目をつけられてしまうと時間の問題でログインされてしまう可能性が高いといえます。基本中の基本ですが、ログインIDにadminは使わない。パスワードは憶測されにくい複雑なものを使用します。ここでひとつ落とし穴があります。それは、ユーザー名を変更してもWordPressでは簡単にユーザー名を知ることができるということです。データでは、大文字・小文字の区別なし=英字26文字だけの4桁のパスワードは3秒で解析されるとしています。単純ではないパスワードがいかに重要か理解できると思います。あり+数字=62文字で8桁のパスワードを作成すれば、実用上はかなり強固であるといえます。Attempts」では特定IPアドレスから誤ったログイン情報が連続して送信れた場合に一定時間遮断することができます。英語のプラグインですが、複雑な設定は必要ありませんので、とくに問題はないと思われます。Attemptsの設定について簡単に解説するとデフォルトでは以下のような設定となっています。以下は手持ちのサイトの最近のログですが、wp-login.phpを探している様子が伺えます。ブルートフォース仕掛ける気満々です。このサイトは自前のプログラムでログインURLを変更しているため、ログイン画面には到達できていませんが、ありそうなディレクトリ名に順にトレースしています。IPも違いますし、アタック時間も微妙にずらされていてなかなか狡猾です。146.83.221.146管理画面へのアクセス自体をIP制限するもっとも効果が高いと思われる対策がガンプラーウイルスにおけるFTP対策でも推奨する接続IPによるログイン制限です。.htaccessを使いホワイトリスト方式で自分のIPアドレスからしかアクセスできないようにします。WordPressやプラグインの微弱性などをつかれるおそれもありますから、IPによる制限は考えられる最善の対策だと思われます。ログインページであるwp-login.phpを指定IPアドレス以外からのアクセスを禁止します。WordPressがインストールされた第一階層の.htaccessに以下を追加します。親であるwp-adminディレクトリ自体を制限する方がより安全度は高いです。自身が接続するIPアドレス</Files>これで指定したIPアドレス以外から、ログインページへのアクセスは403errorとなります。事実上ブルートフォースアタックは不可能です。※Apacheサーバ以外ではIP制限は別の手法となります。IPアドレスによる制限はID・アカウントの流出によるサイト改ざんの最終防衛ともいえます。ガンプラーウィルスなどでボット化されてしまうとIP制限も無意味ですので、やはりお使いのパソコン自体のセキュリティ対策が基本です。この場合は外出先の接続環境ではIPが異なるため、当然管理画面にはアクセスできなくなります。VPN環境を構築している場合は許可IPアドレスを経由させることもできます。→VPN経由でインターネットにアクセスするまた、固定IPではない環境で接続IPが変更になると、自身もアクセスできなくなってしまいます。VPSなどでしたら、SSH接続より、レンタルサーバでは.ftpaccessでの対処と同様にブラウザよりアクセスできるファイルマネージャーより指定IPアドレスを変更ください。コメントをキャンセルメールアドレスが公開されることはありません。WordPressでは子テーマという機能があります。WordPressではコンテンツの更新情報を知らせるために標準でRSSを出力します。introductionウェブサービスの構築・集客コンサルティングをやっているR3098です。このサイトではWordPressの初級・中級ユーザーや集客に悩むウェブサイトオーナーに向けた情報を発信しています。