WordPressの初期状態は、セキュリティ的にあまり強いとは言えません。今回は有名なセキュリティ対策プラグイン「SiteGuard WP Plugin」の導入と使い方を説明しながら、セキュリティ対策を行う方法を解説していきます。
【WordPress対応】自分でホームページ・ブログを作成したいWebスクールWEBST8
(※)ご利用のテーマやプラグインの組み合わせによっては競合する場合がありますのでご注意ください。万一の場合に備えて、できるだけ事前にバックアップなどを取得いただくことを推奨します。
セキュリティ対策プラグイン「Site Guard(サイドガード)」とは
SiteGuard WP Pluginは、WordPressにインストールするだけで、セキュリティを向上させることができるシンプルなセキュリティ対策プラグインです。不正ログインの防止やWebページの改ざん、スパムなどを防ぐことができます。
SiteGuard WP Pluginの主な機能
- 不正ログインの防止
- 管理ページ（/wp-admin/）への不正アクセスの防止
- コメントスパムの防止
」でも、セキュリティ対策のプラグインとして、WPSiteGuardを推奨しています。このたび、WordPressへのセキュリティ対策を更に強化するため、従来より行っておりました「WordPressへの攻撃に対する検知と.htaccessを利用した防御機能」を停止し、セキュリティプラグイン『SiteGuard WP Plugin』の推奨を決定いたしました。
WordPressをご利用の方は、サイトの改ざんを防ぐため、ぜひ『SiteGuard WP Plugin』のインストールをお願いいたします。
WordPressへの攻撃に対する検知・防御機能に関して | ロリポップ公式サイトより引用
SiteGuardの導入
SiteGuardのインストール
まずは、Site Guard WP Pluginをインストールしていきます。プラグイン＞新規追加を選択します。
キーワードに「SiteGuard」と入力します。表示されたSiteGuardを今すぐインストールします。
SiteGuardを有効化します。
以上で、SiteGuardの導入は完了です。SiteGuardの設定は、管理メニューのSiteGuard＞ダッシュボードからセキュリティの設定ができます。
SiteGuardは導入しただけで、セキュリティ機能が有効化されます。次回ログインするときは、かな入力の画像認証が追加されています。
(補足)ログイン先のURLについて
http(s)://サイトURL/wp-login.phpで普段アクセスしている方は、SiteGuardを有効化するとログインURLが自動的に変更されるので注意しましょう。
ログインURLはSiteGuard＞ダッシュボードのログインページ変更から確認・変更することができます。
確認を忘れた場合は、WordPress管理者宛にメールでも通知されているはずなのでメールを確認してみましょう。
ただし、http(s)://サイトURL/wp-admin/で普段アクセスしている方は、これまで通りリダイレクトされてログイン画面に入ることはできます(後半で説明)。
SiteGuardの基本的な設定
SiteGuardは有効化するだけで、すでに基本機能が有効化されますので、セキュリティが強化されます。
基本は初期状態のままでも問題ありませんが、ここでは、「ログインアラート」と「更新通知」をOFFにする設定を説明します。
SiteGuard＞ダッシュボードを選択します。
SiteGuardの設定画面が表示されます。
管理メニューのSiteGuard＞ダッシュボードから「ログインアラート」と「更新通知」をそれぞれOFFにしましょう。
ログインアラートをOFFにして保存する
更新通知をOFFにして保存する
- ログインアラート・・・ログインするたびにメールが通知されますが、第三者がログインした時にもすぐに通知されるので、一定のセキュリティ効果があります。
- 更新通知・・・WordPressやプラグイン、テーマの更新版がリリースされたらメール通知されます。
■SiteGuardログインメール通知の例
合わせて読みたいセキュリティ設定
初期状態では、WordPressのログインユーザーIDがブログなどでそのまま表示される場合があります。WordPressのログインユーザーIDをブログから見えないように設定もしておきましょう。詳しくは「WordPressのログインユーザーID表示を隠す方法とセキュリティ設定【author設定】」をご覧ください。
WP SiteGuardの各種設定の説明
SiteGuardはプラグインを有効化しただけで基本的に効果がありますが、ここでは、各種設定の意味についてもう少し詳しく説明をしていきます。
SiteGuardでは、下記のセキュリティ設定ができます。
| 設定項目 | 意味 |
|---|---|
| 管理ページアクセス制限 | ログインしていない接続元から管理ディレクトリ(/wp-admin/)を守ります。 |
| ログインページ変更 | ログインページ名を変更します。 |
| 画像認証 | ログインページ、コメント投稿に画像認証を追加します。 |
| ログイン詳細エラーメッセージの無効化 | ログインエラー時の詳細なエラーメッセージを単一のあいまいになメッセージにします。 |
| ログインロック | ログイン失敗を繰り返す接続元を一定期間ロックします。 |
| ログインアラート | ログインがあったことを、メールで通知します。 |
| フェールワンス | 正しい入力を行なっても、ログインを一回失敗します。 |
| XMLRPC防御 | XML RPCの悪用を防ぎます。 |
| 更新通知 | WordPress、プラグイン、テーマの更新が必要になった場合に、管理者にメールで通知します。 |
| WAFチューニングサポート | WAF(SiteGuard Lite)の除外ルールを作成します。 |
ログインページ変更機能の特徴
ログインページ変更は通常のログインページ「https://サイトURL/wp-login.php」のアドレスを「https://サイトURL/login_xxxxx(5桁の乱数).php」に変更する機能です。初期状態はONになっています。不正ログインに対するセキュリティ強度を上げるのでONのままにしておきましょう。
ブルートフォース攻撃、リスト攻撃等の、不正にログインを試みる攻撃を受けにくくするための機能です。ログインページ（wp-login.php）の名前を変更します。初期値は、「login_<5桁の乱数>」ですが、お好みの名前に変更することができます。
ログインページ変更について | 公式サイトJP-Secure
また、http(s)://サイトURL/wp-admin/でログイン画面を見せたくない方は、オプションの「管理者ページからログインページへリダイレクトしない」にチェックを入れると、/wp-admin/でログイン画面に移動(リダイレクト)させなくすることができます。
もしチェックを入れる場合は、かならずhttps://サイトURL/login_xxxxx.phpのログイン画面をメモ・ブックマークしておきましょう。
■海外のIPアドレスからアクセスした例(下記はエックスサーバー)
管理ページアクセス制限機能の特徴
管理ページアクセス制限は管理ページをIPアドレスにより制限する機能です。初期状態はOFFになっています。
ONにすることで、記録のない接続元IPアドレスの端末から/wp-admin/にアクセスしたときに404エラーページを表示して不正ログイン攻撃を防ぐことができます。
管理ページ（/wp-admin/以降）に対する攻撃から防御するための機能です。ログインが行われていない接続元IPアドレスに対して、管理ページのアクセスを、404(Not Found)で返します。ログインすると、接続元IPアドレスが記録され、当該ページのアクセスを許可します。24時間以上ログインが行われない接続元IPアドレスは、順次削除されます。この機能を除外するURL（/wp-admin/以降）を指定することができます。
管理ページアクセス制限について | 公式サイトJP-Secure
ただし、WordPressを始めたばかりの方やIPアドレスの意味がわからない・FTPでサーバーの中を触れない方は本機能をONにすると最悪ログインできなくなるので、自信のない方は一旦はOFFのままでも良いと思います。
ログインしている・していない状態にかかわらず、IPアドレスが変わると突然繋がらなくなるので利便性は下がります。
もし、管理ページアクセス制限機能をONにする場合は、ONにする前にログインページ変更のURLを必ずメモしておきましょう。
本機能を有効化すると、http(s)://サイトのURL/wp-admin/での管理者ページログインはできなくなります。代わりに、https(s)://サイトのURL/login_xxxxxでログインする必要があります。
このURLを忘れるとログインできなくなり、復旧にはFTPで.htaccessを確認したり、SiteGuardを無効化したりする必要があるため、少し手間がかかります。
また、ブラウザによってはキャッシュ機能によって、https(s)://サイトのURL/login_xxxxxでログインした後で403エラーが表示される場合がありますが、その場合は、キャッシュをクリアして読み込みしましょう。
画像認証機能の特徴
画像認証は、ログインやコメントフォームに画像認証を設ける機能です。ひらがなと英数字を選ぶことができます。初期状態はONになっています。不正ログインに対するセキュリティ強度を上げるのでONのままにしておきましょう。
ブルートフォース攻撃、リスト攻撃等の、不正にログインを試みる攻撃や、コメントスパムを受けにくくするための機能です。画像認証の文字は、ひらがなと英数字が選択できます。
■ログインフォームの例。かな文字が表示されている。
ログイン詳細エラーメッセージの無効化機能の特徴
ログイン失敗時のエラーメッセージを曖昧にする機能です。初期状態はONになっています。不正ログインを防ぐセキュリティ機能を上げる効果がありますのでONのままにしておきましょう。
ユーザー名の存在を調査する攻撃を受けにくくするための機能です。ログインに関するエラーメッセージがすべて同じ内容になります。ユーザー名、パスワード、画像認証のどれを間違えても同じエラーメッセージを表示します。
WordPress初期状態では、ログイン時にユーザーIDが間違っていたらユーザーIDが違う・パスワードが間違っていたらパスワードが違うと親切にエラーメッセージを表示させてしまいますが、不正ログインのヒントにもなってしまいます。ログイン詳細エラーメッセージの無効化をONにすることでエラーメッセージからログイン情報を把握できなくなります。
■SiteGuard有効化前 ログインエラーメッセージが詳細で類推できてしまう
■SiteGuard有効化後 ログインエラーメッセージが曖昧になっている
ログイン詳細エラーメッセージの無効化について | 公式サイトJP-Secure
ログインロック機能の特徴
ログインロックは、短時間にログイン試行を繰り返す端末に対して、IPアドレスを元にログインロックする機能です。初期状態はONです。不正ログインを防ぐセキュリティ機能を上げる効果がありますのでONのままにしておきましょう。
ブルートフォース攻撃、リスト攻撃等の、不正にログインを試みる攻撃を受けにくくするための機能です。特に、機械的な攻撃から防御するための機能です。ログインの失敗が指定期間中に指定回数に達した接続元IPアドレスを指定時間ブロックします。ユーザーアカウント毎のロックは行いません。
ログインアラート機能の特徴
ログインアラートは、WordPressにログインがあるたびにログインユーザー(通常は管理者)にメールが送信されます。初期状態はONになっていますが、メール通知されるのが嫌な方はOFFにしてもよいかもしれません。
不正なログインに気づきやすくするための機能です。ログインすると、ログインユーザーにメールが送信されます。ログインした心当たりがないのにメールを受信した場合は、不正なログインを疑ってください。サブジェクトとメール本文には、次の変数が使用できます。（サイト名：%SITENAME%、ユーザ名：%USERNAME%、日付：%DATE%、時刻：%TIME%、IPアドレス：%IPADDRESS%、ユーザーエージェント：%USERAGENT%、リファラー：%REFERER%）XML-RPCによるアクセスは通知されません。
フェールワンス機能の特徴
フェールワンスは正しいログインをしても一度ログイン失敗にする「Fail Once(一回失敗)」機能です。初期状態はOFFですが、セキュリティをあげたい方はONにしても良いと思います。
リスト攻撃を受けにくくするための機能です。正しいログイン情報を入力しても、１回だけログインが失敗します。5秒以降、60秒以内に再度正しいログイン情報を入力すると、ログインが成功します。
XMLRPC防御機能の特徴
XMLRPC防御は、ピンバック機能(リンク元がリンク先に通知する機能)の無効化、または、XMLRPC（ xmlrpc.php ）を無効化する機能です。初期状態ではONになっています。通常は、ONのままで良いでしょう。
WordPressのXML RPCとは
WordPressのXML RPCとは、WordPressの管理画面からではなく、プログラムなどでWordPressの外側からWordPressをコントロールするための機能です。XMLといわれるデータ形式で通信します。
例. 外側のプログラムから、投稿を作成したり削除したり、など
Pingback機能を無効化する、あるいは、XMLRPC全体（ xmlrpc.php ）を無効化し、悪用を防止します。XMLRPC全体を無効化すると、XMLRPCを使用したプラグインやアプリの使用ができなくなります。支障がある場合には、本機能を使わないでください。
更新通知機能の特徴
更新通知とは、WordPress本体、プラグイン、テーマの新しいバージョンがリリースされたときに管理者にメール通知する機能です。初期状態ではONになっていますが、メールがたくさん通知されるのを避けたい人はOFFにしても良いでしょう。
セキュリティの基本は、常に最新のバージョンを使用することです。WordPress、プラグイン、テーマの更新が必要になった場合に、管理者にメールで通知します。更新の確認は、24時間毎に実行されます。
WAFチューニングサポート機能の特徴
WAFチューニングサポートとは、WAF(Web Application FireWall)の除外設定をする機能です。必要なとき以外は初期状態のまま何も設定しなくてもOKです。
WebサーバーにJP-Secure製のWAF ( SiteGuard Lite ) が導入されている場合に、WordPress内での誤検知（正常なアクセスなのに、403エラーが発生する等）を回避するためのルールを作成する機能です。WAFは、Webサーバーに対する外部からの攻撃を防ぎますが、WordPressの機能や、プラグインの機能によっては、WAFが攻撃でないのに攻撃と判断して、その機能をブロックする場合があります。除外ルールを作成することで、特定の機能での誤検知を防ぎつつ、全体としてのWAFの防御機能を活かすことができます。
WAFチューニングサポートについて | 公式サイトJP-Secure
詳細設定機能の特徴
詳細設定は、IPアドレスの取得方法を設定する機能です。通常は何も設定しなくてもOKです。
IPアドレスの取得方法を設定します。通常はリモートアドレスを選択してください。Webサーバーの前段にプロキシーサーバーや、ロードバランサーが存在して、リモートアドレスでクライアントのIPアドレスが取得できない場合は、X-Forwarded-ForからIPアドレスを取得できます。レベルは、X-Forwarded-Forの値の右端から何番目かを表します。
ログイン履歴機能の特徴
ログイン履歴は、ログインした履歴を一覧で閲覧する機能です。不正ログインを機にする場合にログイン履歴を閲覧できます。通常は何もしなくて構いません。
ログインの履歴が参照できます。怪しい履歴がないか確認しましょう。履歴は、最大10,000件記錄され、10,000件を超えると古いものから削除されます。
まとめ
まとめです。今回は、セキュリティ対策プラグイン「SiteGuard WP Plugin」の使い方について説明しました。
セキュリティの設定は奥が深く、難易度が上がるためここでは簡単にできる設定のみ紹介しましたが、用途や重要度に応じてもっと厳しく設定する必要がある場合もあります。
まずは、パスワードを複雑にする(記号や大文字・小文字など入れて8桁以上・類推されにくいものにするなど)など、基本的なところも絶対に意識しておきましょう。
今回は以上になります。最後までご覧いただきありがとうございました。
合わせて読みたいセキュリティ設定
初期状態では、WordPressのログインユーザーIDがブログなどでそのまま表示される場合があります。WordPressのログインユーザーIDをブログから見えないように設定もしておきましょう。詳しくは「WordPressのログインユーザーID表示を隠す方法とセキュリティ設定【author設定】」をご覧ください。
個別指導形式のスクールでは、自分の知りたいことをピンポイントで学習・達成でき、自分で更新もできるというメリットもあります。
教室の無料事前相談もしておりますので、まずはお気軽にご登録ください。
【WordPress対応】自分でホームページ・ブログを作成したいWebスクールWEBST8
