この記事内には広告が含まれています。
広告

WordPress を使用したサイトへのセキュリティ対策(その2)

e59144e10caca09ac33c866e0d93ecdb_m

WordPress を使用したサイトへのセキュリティ対策(その2)

前回は、WordPressを使用したサイトへの不正アクセスと、セキュリティ対策として実施していることで記事を書きましたが、プラグインの多用による応答速度の低下、及び、その後の不正ログインの試行、不正アクセスの試行の状況から独断と偏見で判断して、2016年10月5日時点では、必要最小限と思われるセキュリティ対策をしていますので、今後の再構築、再設定の備忘録としてメモしておきます。

Wordpress を使用したサイトへのセキュリティ対策(その1)
2016年5月下旬から、Wordpressを使用して運用しているサイトの内の一つで、ロシア、ポーランドの悪の枢軸(輩)から不正ログイン、不正アクセスの試行を受けていました。 不正ログイン、不正アクセスの状況は、その都度、概要を記事にして報告...
広告

WordPress を使用したサイトへのセキュリティ対策として実施していること(その2)

管理画面へのログイン用パスワード

「管理画面」-「ユーザー」-「あなたのプロフィール」画面を開く。

新しいパスワード」の行で「パスワードを生成する」をクリックすると、24文字(142bits)のパスワードが自動生成される。

私は、6つのサイトの24文字のパスワードを、フリーソフトの KeePass Password Safe で管理中です。

sc20161005-190027-00

ブログ上の表示名

「管理画面」-「ユーザー」-「あなたのプロフィール」画面の「ブログ上の表示名」で、上の行の「ニックネーム」で設定した「ニックネーム」を選択する。

「ユーザー名」は絶対に選択しないこと。

sc20161005-190059-00

「Edit Author Slug」プラグイン(ユーザー名の晒し防止)

Edit Author Slug」プラグインをインストールし有効化する。

設定画面(下図)は初期設定のまま。

sc20161005-191937-00

「管理画面」-「ユーザー」-「あなたのプロフィール」画面へ「Author Slug」の項目が追加表示されるで「Custom」にチェックを入れて、空欄へ「適当な文字列」を入力。

「ユーザー名」や「ニックネーム」は絶対に使用しないこと。


例えば、「適当な文字列」として「baka」と入力して、ブラウザのURL入力欄へ「ブログのURL/?author=1」と入力すると、「ブログのURL/***/author/baka」と表示されて、「Author Slug」への設定した内容が晒される。

「SiteGuard WP Plugin」プラグイン(不正ログイン防止)

SiteGuard WP Plugin」プラグインをインストールし有効化する。

使用している機能は下図の通りです。・・・詳細設定は省略。

sc20161005-195553-00

下図がログイン画面。

sc20160929-185737-00

「WP-Ban」プラグイン(アクセス制限や拒否を設定)

Wp-Ban」プラグインをインストールし有効化する。

設定画面で「Banned IP Range」、「Banned Host Names」などに、アクセスを拒否したいIPアドレス、ホスト名などを設定する。

sc20161010-082442-00

「Banned Host Names」に、「*」は間違っても設定しないこと。
設定した場合は、自分自身もサイトは開かないし、管理画面へのログインも不可能になる。

参考・・・管理画面や編集画面への不正ログイン、不正アクセスを試行する輩は、ロシアポーランド経由が非常に多いです。


Banned Message」には、アクセス拒否された理由などを表示するようにしておけば親切(???)

sc20161010-082657-00

「WP-Ban」プラグインの異常動作

なお、Wp-Ban」については、ある特定のファイルだけがアクセス制限されて閲覧不可能になることがあります。
この現象は私が実際に経験したことであり、素人の私には原因は判りません。

Wp-Ban」を「停止」して「削除」しても治らないので、何らかのファイルに設定値が間違って書き込まれているのではないかと思います。

私は、アクセス制限されたファイルを複製し、「Redirection」プラグインを使って、旧URLから新URLへ「URL転送」しておくようにしておきました。・・・旧ファイルは削除してあります。