編集部ソフトバンク・au・ドコモの方は、公式のオンラインショップを利用すれば頭金不要で通常のショップよりお得に購入できます。au公式ショップを見るbitWave編集部です。今回は(再度)ワードプレスで急増している不正ログイン防止対策方法とプラグインについてまとめてみました。注意:ここに挙げたプラグインは同時に使用すると著しい不具合を起こす可能性があります。目的に応じて選択してください。ワードプレス不正ログインの手法と防止方法ワードプレス不正ログインの手法はとても原始的です。使われるアカウント名を使ってボットがログイン成功するまでひたすら試行を繰り返すブルートフォースアタック(総当り攻撃)と呼ばれる手法です。攻撃を受けやすいユーザ名を変更するログインの試行回数と復帰までの時間を制限するワンタイムパスワードやオース認証を導入する不正なログインIPアドレスを自動でブロックする(ブラックリスト)海外からログイン画面へのアクセスを禁止するログイン失敗が繰り返されたら(オーナーに)警告する固定のIP以外のアクセスを禁止する(ホワイトリスト)標的になりやすいファイルのアクセス権を変える定期的にスキャンを行うワードプレス本体やプラグインの更新を定期的に行う有効と思われる幾つかを選択して実行する事をお勧めします。1.攻撃を受けやすいユーザ名を変更する|攻撃の初期対策ユーザ名は決め打ちなので、まず、決め打ちされているユーザ名を使わないようにしましょう。Archiveなどに、キャッシュが残っていると対策になっていないので、ご注意を。2.ログインの試行回数と復帰までの時間を制限するログイン失敗をした場合、少ない回数でロックアウト(ログイン画面に入れなくする)し、ロックアウト復帰(再度ログインを試行できる)までの時間を長くすれば安全性が高まります。SecurityはOptionsでこの回数をコントロールできます。Attempts」などがあります。3.ワンタイムパスワードやオース認証を導入するログイン項目を1つ増やすだけでも、不正ログイン対策には高い効果があります。組み合わせの回数が増えるので数十万のアクセスでは突破が困難になります。LoginはGoogleのOAuth2認証によるログインを可能にするものです。通常のログインよりも機密性が高くなります。APIキーを取得してセットする必要があるので、難易度は高めです。Authenticatorを使ってワンタイムパスワードによる2段階認証を実現するプラグインです。Appsにも利用していますが、かなり堅牢になると思います。面倒なログインにもなりますが。4.不正なログインIPアドレスを自動でブロックする(ブラックリスト)まず、不正なログイン試行があるか、ログを取得してトラッキングできる機能が必要です。そのIPを自動的にロックする機能が必要となります。Securityはリアルタイムのログ機能とロック機能が充実しています。Firewall、Jetpackも同様の機能があります。参考になるサイト:WordPressのセキュリティ対策プラグイン15選5.海外からログイン画面へのアクセスを禁止する無償版でこの機能を持っているのは、ほとんどないと思います。Securityの有償版では海外IPからのログインをブロック可能になります。海外から頻繁にログインすることが無いのであれば、日本以外をブロックするだけなので簡単です。6.ログイン失敗が繰り返されたら(オーナーに)警告する不正アクセスと検知した場合や、ワードプレスがアップデートされた時、メールにて警告されれば検知が早くなります。Firewallなどは総合セキュリティプラグインはアラート機能が付いています。ある日突然、大量に来るので「うざったく」も感じますが、対策をしていって、アラートメールが来る件数を減らしていくことが指標にもなるので、あえて全て受信するようにしています。7.固定のIP以外のアクセスを禁止する(ホワイトリスト)アクセスするIPが企業などで固定IPである場合は、この機能でログインを限定することができます。上記の総合セキュリティプラグインは、その機能を有しています。それ以外ではJetpackが同様の機能を持っています。ファイルパーミションの項を一読ください。安全にするも読んでください。現在のワードプレスパッケージはwp-config.phpは400または440(読み取りのみ)になっていますが、古いパッケージの一部に権限が異なる時期がありました。古くから使っている方は「権限:ファイルのパーミッション」を確認することを強くお勧めします。Firewallなどは基本で機能がありますが、無償版ではスキャンに制限があるものもあるので各サイトをご確認ください。Checkerはテーマの脆弱性をチェックします。不正にログインされた場合、攻撃者は痕跡を残さ無いようにしつつファイルに不正なコードを混入させます。2次被害を出さ無いためにもファイルスキャンを定期的に行う事も重要です。10.ワードプレス本体やプラグインの更新を定期的に行う脆弱性を残したまま放置するのは危険です。更新を確実に行うようにしてください。攻撃の目的は、あなたのサイトにウイルスを仕込み、閲覧したユーザに感染、あるいはPCをハッキングする事です。あなたのサイトは被害者であると同時に攻撃者側になります。アクセスがある一定数を超えると自動的に攻撃してくるので注意しましょう。ソフトバンク・au・ドコモの方は、公式のオンラインショップを利用すれば頭金不要で通常のショップよりお得に購入できます。au公式ショップを見る【週刊bitWave】(メルマガ)始めました!登録はこちらからメールアドレスを入力してお申込みください。【週刊bitWave】の更新情報の配信にのみ使用します。個人情報の取扱いに関しては、「プライバシーポリシー」をご確認ください。解除はいつでもこちらから行うことが可能です。スマホで写真を撮る機会がある人も多いかもしれません。proを立ち上げるとapacheの起動でエラーとなって困ってしまいました。スマホで手軽に使えるメッセージアプリの1つに「LINE」があります。スマホで写真を撮る機会がある人も多いかもしれません。proを立ち上げるとapacheの起動でエラーとなって困ってしまいました。スマホで手軽に使えるメッセージアプリの1つに「LINE」があります。