ワードプレスのセキュリティについて教えて頂きたいことがあります。事業用のホームページを作って1年ほどです。ブログもあります。最近「サイトロックアウト通知」が数回届きました。All In One WP Security & Firewall使って最低限の対策はしています。ログインURLもその都度変更しましたが、変更後も2回「サイトロックアウト通知」が来ました。
質問は以下３点です。
●ログインURLを変更しているにも関わらず、ログイン攻撃を受けるのはなぜ？
●攻撃者が使ったユーザー名はブラックリスト登録しているが、そのユーザー名で再度攻撃されているのはなぜ？ブラックリストが効いていないのか？
補足
IPアドレスを見ると海外からのようですが、サーバー側で海外からのアクセスは遮断する設定をしています。
以上です。ご回答いただければ幸いです。よろしくお願いいたします。
みんなのコメント 6件
ベストアンサー
＞ログインURLを変更しているにも関わらず、ログイン攻撃を受けるのはなぜ？
▶あくまでも可能性ですが、URL に対して総当たり攻撃を受けている可能性があります。
＞攻撃者が使ったユーザー名はブラックリスト登録しているが、そのユーザー名で再度攻撃されているのはなぜ？
▶ユーザー名をブラックリストに入れているのであれば、そのユーザー名を使用する不正ログインは根こそぎシャットアウトされるはずで、現に不正ログインは防げているはずです。
ただブラックリストに入れているとはいえ、IP アドレスごとブロックしない限り、ログインページへのアクセスとログイン名の入力自体は、繰り返しできるものと予想されます。なので IP アドレスが判明しているのであれば、その IP アドレスからのアクセスをサーバー側の設定でブロックすることをオススメします。
このほかプラグインの仕様にもよりますので、詳細を知りたいのであればプラグイン開発元に聞くか、専用フォーラムで質問してみてください。
https://ja.wordpress.org/plugins/all-in-one-wp-security-and-firewall/
＞ブラックリストが効いていないのか？
▶上の回答と同様です。
@j_jetstreamさん、色々アドバイスをありがとうございました。参考にさせていただきます。
質問者からのお礼コメント
@j_jetstreamさん、素早い回答とアドバイスをありがとうざいました。
@j_jetstreamさん、早速のご回答ありがとうございます。
追加で2点質問させてください。
＞▶あくまでも可能性ですが、URL に対して総当たり攻撃を受けている可能性があります。
質問１：これは「サイトのURLに対して」ということですか？つまり、「https://○○.com」に対してということですか？
そうではなく、ログインURL自体を総当たりしている？
ログインURLはわりと複雑にしています。攻撃によく使われる文字を入れてもログイン画面は表示されませんが、そこを総当たりしているということですか？
次に、以前の不正なIPアドレスもブラックリストに入れています。
ユーザー名もニックネームで、他の予想されるユーザー名とともに、予めブラックリストに入れていますが、
質問２：今回、IPアドレスは初めての数字でしたが、すでにブラックリストに入れているユーザー名が使われました。これはIPアドレスが初めてのものだから？
質問３：IPアドレスのブラックリスト入りは、サーバー側でも設定した方が良いということですか？
分かりにくい質問でしたら申し訳ありません。お忙しいところ恐縮ですが、ご回答いただければ幸いです。よろしくお願いいたします。
＞質問１：これは「サイトのURLに対して」ということですか？つまり、「https://○○.com」に対してということですか？
そうではなく、ログインURL自体を総当たりしている？
ログインURLはわりと複雑にしています。攻撃によく使われる文字を入れてもログイン画面は表示されませんが、そこを総当たりしているということですか？
▶可能性があるとすれば、https://○○.com/xxx ですね。
xxx の部分はランダムです。なので総当たり攻撃なわけです。
＞質問２：今回、IPアドレスは初めての数字でしたが、すでにブラックリストに入れているユーザー名が使われました。これはIPアドレスが初めてのものだから？
▶わかりません。プラグインの設定のことであれば、開発元に問い合わせてみてください。
＞質問３：IPアドレスのブラックリスト入りは、サーバー側でも設定した方が良いということですか？
▶はい。サイトサイドでブロックするよりも、サーバーサイドでブロックするほうが確実です。
@j_jetstreamさん、早速のご回答ありがとうございます。
＞▶可能性があるとすれば、https://○○.com/xxx ですね。
xxx の部分はランダムです。なので総当たり攻撃なわけです。
そうですか、そのランダムな部分が総当たり攻撃で合致してしまったということですね。
サーバー側でもブロックするようにします。
プラグイン開発元の情報も教えて下さり恐縮です。
お忙しいところ素早いご回答をありがとうございました！
また困ったときにはお世話になるかもしれませんが、その際もよろしくお願いいたします。
IP アドレスのブロックも結局、プラグインだろうがサーバー側だろうが .htaccess ファイルにブロックする IP アドレスが記述されるだけかとは思うのですが、プラグインは脆弱性の穴を突かれる可能性もあるので、サーバー側で設定するほうが結果的には良いはず、という感じです。
そういうこともあるので、私個人の意見としては、まずはサーバー側でしっかりとセキュリティ設定を行いつつ、WordPress プラグインを用いてログイン画面を隠したり二段階認証を導入したり BASIC 認証を導入したりなど、補足的に行うのが良いと思っています。
個人的には、ディレクトリ単位でのアクセス制限を行うことができる BASIC 認証を wp-admin ディレクトリに導入するセキュリティ設定がオススメですが、若干設定のハードルは高めとなります。
あなたの経験や知識を共有しませんか？
ほかのユーザーの相談に、コメントで参加してみましょう。
ログインしてコメントするはじめての方は無料登録