こんにちは、めもりです。
WordPressブログを使っていて、訳のわからないトラブルに見舞う時はありませんか？
今回はそのトラブルの対処法、第一弾として記事を取り上げました。
目次
不正ログイン通知内容と「Limit Login Attempts Reloaded」
もし、プラグインとして「Limit Login Attempts Reloaded」を導入し有効化している場合、不正ログインに遭うと次のようなメールが届きます。
メール一例
件名: [ブログ名] Failed WordPress login attempt by IP xxx.xxx.xxx.xxx
本文: Hello [ユーザー名],
** failed login attempts (** lockout(s)) from IP xxx.xxx.xxx.xxx
Last user attempted: [ユーザー名]
IP was blocked for 24 hours.
This notification was sent automatically via Limit Login Attempts Reloaded Plugin.
This is installed on your サイトURL WordPress site. Please login to your WordPress dashboard to view more info.
**やxxxは任意の数字が入ります。
「Limit Login Attempts Reloaded」はデフォルトで導入されることはありませんが、レンタルサーバーの仕様でセキュリティー強化のためにWordPressインストール時に自動追加されるケースがあります。
ただし、プラグイン設定でログインの失敗回数などの条件によりメールが送られてくるタイミングが異なります。
Limit Login Attempts Reloaded とは
不正ログイン対策向けのプラグインです。あらかじめ指定した試行制限回数を超えると、特定のインターネットプロトコル (IP) アドレスやユーザー名からの再試行を自動的に防ぎます。そうすることで、サイトへの総当たり攻撃の効力を大幅に弱めます。
このメールが届くということは、当サイトが不正ログインの対象とされている可能性があり、このまま放置しておくと将来的にハッキングされることもあり得ます。
無料版「Limit Login Attempts Reloaded」の機能としては、次のとおりです。
など、ログイン回数を軸に制御させることができます。
有料版だと、上記の項目に対してもう少し細かく設定できるようです。
しかし、ログイン回数制限に特化したプラグインであって、総合的なログイン防御には至りません。
そこで、ログイン手前で制御を行いたい場合は、無料プラグイン「SiteGuard WP Plugin」をお勧めします。
同時に2つのセキュリティープラグインを入れるのはお勧めしません。
機能が被り不具合を起こす可能性があるからです。
- ログイン制限が二重になる
- ロックアウト競合の可能性
SiteGuard WP Plugin について
まずは「SiteGuard WP Plugin」の機能についてです。
このように、ログイン手前でアクセス制御することが可能です。
「Limit Login Attempts Reloaded」はログインページにアクセスすることを許しますが、こちらはログインさせにくくするというのが特徴です。
では、サクッとインストールしていきましょう！
SiteGuard WP Plugin のインストール
WordPress管理画面から
- 「プラグイン」→ 「プラグインを追加」をクリック
- 「SiteGuard WP Plugin」で検索
- 「今すぐインストール」→ 「有効化」
これだけでインストールできます。
ログインURLページの変更
SiteGuard WP Plugin をインストールして有効化すると、ログインページのURLが自動的に変更になります。
- 有効化前: https://サイトURL/wp-login.php
- 有効化後: https://サイトURL/login_xxxxx (xxxxxは5桁の乱数)
通常は有効化前のようにサイトURLされ分かれば、ログインページに行き着くことは容易です。なのでログインユーザー名やパスワードを探られ攻撃の対象となりやすいと言えます。
一方、有効化するとサイトURL以下の乱数5桁で攻撃の機会を大幅に下げることができます。
※この機能は SiteGuard WP Plugin の管理画面からOFFにすることもできます。
有効化後は乱数5桁をメモしておくか、ログインページをブックマークしておくことをお勧めします。
設定は管理画面からいつでも変更可能
SiteGuard WP Plugin の「ダッシュボード」を開くと次のような画面が表示されます。
機能リストの先頭のチェックの色で、有効or無効かを判断できます。インストール時にはデフォルトで有効になっているものが多数あります。必要に応じて適宜ON,OFFを使い分けてください。
このプラグインは日本製で公式サイトには日本語で解説されていますので、詳細はそちらをご覧ください。
知らないうちにセキュリティーの穴を突かれ、ハッキングの餌食にされていることも分からないまま過ごしているかもしれません。セキュリティーにおいては、ブログを公開する前に万全に対策をしておきましょう！