SiteGuard WP Pluginの使い方と設定方法

SiteGuard WP Pluginとは

近年、WordPressを使っているユーザーの数は右肩上がりに増加しています。
初心者でも手軽にWordPressを使ってサイトを構築できる環境が整ってきたこともあり、ひと昔前よりだいぶ敷居が低くなってきていると感じます。

しかし、それに伴い、WordPressを狙う悪質な攻撃も増えてきているのも事実です。
自分は初心者ではないから、なんて思っていると痛い目に会います。

そこで今回は、最もメジャーな攻撃方法である総当たり攻撃をはじめ、様々な外部からの攻撃に対し絶大な効力を発揮するプラグイン「SiteGuard WP Plugin」をご紹介します。

スポンサードリンク

SiteGuard WP Pluginの特徴

まずは「SiteGuard WP Plugin」の特徴からみていきましょう。

こちらに箇条書きでまとめました。

一つのプラグインで様々な攻撃に対応できるのも、このプラグインの優れた点ですね。

WordPressへの不正ログインを防ぐためには必須のプラグインと言えます。

SiteGuard WP Pluginのインストール

まずは「SiteGuard WP Plugin」をインストールしましょう。
WordPressの管理画面の「プラグイン」ページから「新規追加」をクリックします。

画面右上の検索ボックスに「SiteGuard WP Plugin」と入力して検索します。

検索結果に表示されますので「今すぐインストール」をクリック。

インストール完了したら「有効化」をクリックします。

下の画面のように、

「ログインページURLが変更されました。」
「新しいログインページURLをブックマークしてください。設定変更はこちら」

と表示されます。
ブックマークはこのタイミングで行わなくても大丈夫ですので、まずはWordPress管理画面の左メニューから「SiteGuard」をクリックしてプラグインのダッシュボード画面に移動します。

SiteGuard WP Pluginの設定方法

こちらが「SiteGuard WP Plugin」のダッシュボードです。
緑のチェックマークが付いてる箇所が現在「ON（有効）」になっているセキュリティ対策となります。

各項目を見て行く前に確認しておきたいのが、画面左下にある「ログイン履歴」です。
早速、クリックして見ましょう。

「ログイン履歴」の画面に移動します。この画面では成功／失敗を問わず、ログインしようとしたユーザーを記録してくれています。

早速画面を確認すると、２行目を見ると怪しい履歴が！

画面を見ると「wizard-grade-hacker」というユーザーがログインに失敗したことがわかります。

こんな感じで、不正に管理画面へログインを試みたユーザの履歴を残すことができます。
今回の、このユーザーは自作自演なのですが、サイトのアクセス数が増えてくると普通に起こり得ることなんです。

不正ログイン、不正アクセスと聞くと、どうしても他人事のように聞こえてしまいますが、何も対策をしていないとパスワードなんてすぐに抜かれてしまいます。

そんなリスク減らすための、セキュリティ対策です。
それでは項目ごとに、ひとつずつ見ていきましょう。

管理ページアクセス制限

設定は「ON」にします。

ログインが行われていない接続元IPアドレス（ユーザー）に対して、WordPressの管理画面へアクセスできないようにする機能です。

通常、WordPressの管理画面のURLは「http://ドメイン/wp-admin/」です。
この設定を有効にすることにより、ログインせずにアクセスすると「404エラー」画面を返すようになります。

これによって、悪意のあるユーザーの管理画面への侵入を防ぎ、ファイルへ直接アクセスして行う攻撃も防げます。

「除外パス」に記載したディレクトリやファイルは対象外としますが、特に指定がなければデフォルトのままで問題ないです。

ログインページ変更

設定は「ON」にします。

WordPressのログインページのURLを変更する機能です。

WordPressのログインページのURLは、通常では「http://任意のドメイン/wp-login.php」で共通なのですが、この設定により任意のURLへ変更することができます。これにより、管理画面のログインページを特定しにくくして攻撃を未然に防ぐことが可能です。

ひとつ前で設定した「管理ページアクセス制限」を「OFF」にしてしまうと、ここでログインページのURLを変更した場合でも、「http://任意のドメイン/wp-login.php」にアクセスすると勝手に変更後のURLへリダイレクトされてしまうため、「管理ページアクセス制限」と「ログインページ変更」は両方合わせて「ON」にすることで、初めて効果を発揮することになります。

変更後のURLは、忘れてしまわないようにブックマークなどへ登録しておくことをおすすめします。

もし、URLを変更後に管理画面のURLを忘れてしまった場合でもURLを確認する方法はあります。
ブログが置いてあるサーバーへFTPなどでアクセスし、今回設定を行ったブログのディレクトリ内の.htaccessファイルの中を見れば解りますので、安心してください。

レンタルサーバーをエックスサーバーで運用されている場合は、サーバーパネルにログインし、「.htaccess編集」からも確認することができます。

画像認証

設定は「ON」にします。

ログイン画面に画像認証を設置できます。
設定項目は全てひらがなで設定しましょう。
「ON」にすると、ログイン画面はこのようになります。

ユーザー名とパスワード入力エリアの下に、画像で示された「ひらがな」を入力する項目が増えているはずです。ユーザー名とパスワードの他にもう一つ認証を組み合わせることで、不正ログインを難しくします。

この機能は、ロボットや海外からの攻撃に非常に効果的ですので「ON」にしておきましょう。

ログイン詳細エラーメッセージの無効化

設定は「ON」にします。

ログイン失敗時のエラーメッセージを常に同じものを表示させる設定です。

通常はログインに失敗すると、失敗の原因を詳しく教えてくれるのですが親切すぎるのも困りものです。なぜならば、メッセージからIDとパスワードのどちらが正解しているのか等の情報が分かってしまうからです。

この機能をONにしておくことで、ログイン失敗の原因を隠しておけます。

ログインロック

設定は「ON」にします。

繰り返しログインに失敗したユーザーを一定時間ロックする機能です。

不正アクセスは、主に機械的なプログラムを利用して、１秒間に何十回というスピードで連続的に攻撃してきます。それを一定時間、無効化できます。
時間や回数などの設定項目はお好みで選択してください。デフォルトでも問題ないです。

ログインアラート

設定は「ON」にします。

不正なログインに気づきやすくするための機能です。

この機能を有効化した状態で管理画面にログインすると、登録したアドレス宛てにメールが送信されます。ログインした心当たりがないのにメールを受信した場合は、不正なログインを疑って念の為、パスワードなどの変更を行っておきましょう。

フェールワンス

設定は「OFF」にします。

この機能は、パスワードリスト攻撃を受けにくくするための機能です。

設定を「ON」にしておくと、正しいログイン情報を入力しても、1回目のログインを必ず失敗させます。その後5秒以降、60秒以内に再度正しいログイン情報を入力すると、ログインが成功します。

僕の場合、管理画面にログインする機会が多いため、この機能は「OFF」にしています。
「OFF」でもクリティカルな問題はない機能ではありますが、ログイン時に煩わしさを感じないようであれば、「ON」にしておきましょう。

XMLRPC防御

設定は「ON」にします。

ピンバックによる不正な攻撃を防ぐ機能です。

ピンバックとはブログにリンクが張られたことを通知する機能です。この機能を悪用した攻撃でDDos攻撃というものがあります。大量のアクセスを特定のサイトに送ることで、サーバーへ負担をかけダウンさせてしまう攻撃です。

「XMLRPC無効化」の方を選択すると、他のプラグインに影響を及ぼしてしまう可能性があるため、「ピンバック無効化」を選択しましょう。

今後、WordPressでピンバックを使いたい方は「OFF」にしてても問題ないです。

更新通知

設定は「ON」にします。

WordPress本体・プラグイン・テーマの更新が必要になった場合に、管理者宛にメールで通知してくれる機能です。

セキュリティの基本は、常に最新のバージョンのWordPressを利用することですので「ON」にして、WordPressを常に最新の状態に更新しておきましょう。更新の確認は、24時間毎に実行されます。

WAFチューニングサポート

設定は「OFF」にします。

WAFをWordPressでうまく利用するための設定項目です。

WAFとは「Webアプリケーションファイアーウォール」の略なのですが、大規模サイトなどでよく用いられるセキュリティです。
今回は使用しないので「OFF」にしておきましょう。

以上です。お疲れ様でした！

まとめ

WordPressを狙う攻撃には、他にもシステムやプラグインの脆弱性を狙ったものも存在します。

今回インストールした「SiteGuard WP Plugin」により最低限のセキュリティは担保されましたが、セキュリティ対策でもっとも大事なのは、WordPressやプラグインを常に最新の状態に保つことですので、細めな更新を心がけましょう！

最後まで読んでいただきありがとうございました。
この記事が少しでもお役に立ちましたらシェアしてもらえると嬉しいです。

【こちらの記事もおすすめです！】

これだけでOK！最初に絶対必要なWordPressおすすめプラグイン13選！

2017年6月23日