WordPressの不正ログイン対策７つと誤った対策方法について

１、ユーザー情報の取得

まずは、管理画面にログインするために必要なユーザー情報取得を目指します。
ユーザー情報を取得する方法はいくつかありますが、以下の方法が代表的です。

２、パスワードを特定する

ユーザー名が取得できれば、続いて対応するパスワードの特定です。
パスワードを特定するためには、いくつかの手法があります。

対策方法１：管理画面にアクセス制限をかける

「①ログイン画面にアクセスさせない」方法として、最も有効なのはIPアドレスによるアクセス制限をかける方法です。
アクセス制限は「.htaccess」ファイルにコードを追加することで簡単に実行することができます。（.htaccessは不可視ファイルと呼ばれる通常の設定では表示されないファイルですので、ファイルが見つからない場合は使用中のツールの設定を確認してください。）

1. wp-login.phpと同階層にある「.htaccess」の先頭に以下のコードを追記
   ※他の記述に影響しない場所ならどこに記述しても良い
   
   <Files wp-login.php> Order deny,allow Deny from all Allow from 123.123.123.123 </Files>

   1 2 3 4 5

   <Files wp-login.php> Order deny,allow Deny from all Allow from 123.123.123.123 </Files>

2. 「123.123.123.123」の部分をアクセスを許可したいIPに変更
   ※複数のIPを許可したい場合は、「Allow from 123.123.123.123」の行を追加していく。
3. 「/wp-admin/」配下に「.htaccess」ファイルを新規に作成
4. 作成した「.htaccess」に以下のコードを記述
   
   Order deny,allow Deny from all Allow from 123.123.123.123 <FilesMatch "(admin-ajax.php)$"> Satisfy Any Order allow,deny Allow from all Deny from none </FilesMatch>

   1 2 3 4 5 6 7 8 9

   Order deny,allow Deny from all Allow from 123.123.123.123 <FilesMatch "(admin-ajax.php)$">     Satisfy Any     Order allow,deny     Allow from all     Deny from none </FilesMatch>

   
   ※adamin-ajax.phpは管理画面以外でも利用されるので、認証がかからないように記述されています。
5. 「123.123.123.123」の部分をアクセスを許可したいIPに変更
   ※複数のIPを許可したい場合は、「Allow from 123.123.123.123」の行を追加していく。

これだけで、管理画面にIPによるアクセス制限をかけることができました。

注意点として、携帯型のwifiやモバイルからアクセスする場合、IPが変動するため、この方法は使えません。他の方法での対策を行ってください。

対策方法２：ユーザー情報を保護する

上記の不正ログインの攻撃手順で解説したように、攻撃者が最初に狙うのはユーザー名です。そこで、ユーザー情報を隠すことが、「②認証を突破させない」最初の対策になります。

対策方法３：パスワードは予測できない複雑なものを設定する

「②認証を突破させない」方法として、最も基本的でありながら見逃されがちなのがこの項目。ここが甘いとブルートフォースアタックや辞書攻撃で簡単に突破されてしまいます。改めて、下記の3原則を確認しておきましょう。

• パスワードは使い回さない
• 英語、数字、記号等を組み合わせた複雑なものにする
• 名前、サイト名、誕生日等、予測されやすい文字列は避ける

対策方法４：SiteGuardプラグインを使用する

「②認証を突破させない」方法として、「SiteGuard WP Plugin」を使用する対策方法があります。SiteGuardプラグインを使用すれば、ログイン画面にセキュリティ対策を施すことが可能です。プログラムによる自動攻撃に対しては特に効果的です。

• ログインページURLの変更
• ログイン時の画像認証の追加
• 複数回アクセスに失敗したユーザーをブロックする
• ログインの通知

SiteGuard WP Pluginの使い方・設定方法はこちら

対策方法５：バックアップを定期的に取っておく

「③万が一入られた場合への備え」として、不正改ざんでサイトに不具合が出た場合、すぐに正常な状態に戻せるよう、定期的にバックアップをとっておくことをオススメします。WordPressでは、『UpdraftPlus WordPress Backup Plugin』などのバックアップに関するプラグインが多数出ていますので、スケジュールを組んで自動でバックアップする設定をしておくと良いでしょう。

『UpdraftPlus』の使い方はこちら

対策方法６：管理画面からテーマファイルを編集できないようにする

攻撃者の多くは「header.php」や「footer.php」といったテーマファイルに悪意のあるコードを仕掛けることを目的としています。そこで、「③万が一入られた場合への備え」として、万一、管理画面に侵入された場合でもテーマファイルを改ざんできないようにしておくことをオススメします。

下記コードをwp-config.phpに追記するだけで、簡単にテーマ編集の項目を削除することができます。

対策方法７：SQL命令文で使用される特殊文字へのバリデーション・エスケープ

さらに専門度が高くなりますが、一番確実な方法です。
SQLインジェクションで使用されるSQL命令文では、「’」「;」といった特殊文字が使用されます。そこで、これらの特殊文字が使用された場合にエラーが出るようにしたり（バリデーション）、送信された場合は別の文字に自動変換させる（エスケープ）といった方法が有効です。

SQLインジェクションについては、以下の記事も参考にしてみてください。
SQLインジェクションについて、詳しくはこちら

管理画面へのBASIC認証をかける場合はSSL対応を

BASIC認証の設定については、IPによるアクセス制限が難しい場合の代替手段としても紹介されます。
ただ、ID・パスワードといったログイン情報が傍受されてしまうので危険だと紹介される場合もあり、混乱される方もいらっしゃるかもしれません。

実際、BASIC認証からID・パスワードが漏洩することは起こりえます。
これは通信保護がかかっていない環境で通信内容を傍受されてしまうリスクがあることに起因します。通信内容を保護するためのSSL化を行うことによって、ある程度防ぐことができます。

そのため、BASIC認証については、SSL化されていないサイトではリスクがある。
SSL化されている場合は効果があると言えます。

ただし、SSL化されているサイトの場合も、以下のようなBASIC認証の特徴について、よく理解した上で利用する必要があります。

データベースの接頭辞の変更はハッキング対策にならない

こちらはSQLインジェクションへの対策として紹介される方法です。