wordpress 不正アクセス対策 その後

不正アクセス対策として下記のプラグインを使っている。

1）Crazy Bone（狂骨）
ログインを試みた時に使われたIPアドレス、ユーザー名、パスワードの履歴が残る。

2）WP-Ban

1）のログをもとにIPアドレスを指定してアクセス禁止を測る。弾かれたアドレスは履歴が残り、似たようなアドレスが多ければ記号「000.0.＊.＊」など、一括して禁止を指定する記号も使える。

3）Limit Login Attempts

その名の通り、数度入力内容を間違えると一定時間の間はログイン出来ないようにする機能。複雑なパスワードを間違えた時はへこむ。

4）Google Authenticator

3）に加え、スマホアプリAuthenticatorより提供される文字列の入力画面が追加されるプラグイン。文字列は数十秒ごとに更新されるため、セキュリティ強化に繋がる。

5）Admin Renamer extended

本来ならば変えられないユーザー名を変更できるプラグイン。

例えばユーザー名を初期値adminのまま使用している場合、同じ管理者の権限を持つ新しいユーザーを追加して、当然名前も別のものにする…という形で、adminをユーザー名として大量に行われている不正アクセスに対抗することができる。ただし、adminユーザーを削除してもユーザーID的なものは上書きされずに残る。永久欠番みたいなものか。従って、データ上では新規ユーザーは２人目のユーザーになるらしい。だから、元のadminをリネームするにはこのプラグインがあるよ、という記事を読んだので導入し、使用した。この理由には、投稿などのデータを別ユーザーに引き継ぐのが完全でない場合もあるから…ということが、先述の記事にあった。

さて、あれから二ヶ月。

ログから気づいたことをメモ。

＊9万のIPアドレスを利用して攻撃を仕掛けてくるわけなので、IPアドレスを弾くのはその場しのぎかと思ったが、禁止アドレスに追加してしばらくするとアクセス数は減った。が、ゼロではない。Authenticatorが付いてログインを突破する敷居が高くなったとしても、攻撃を辞めるわけではないみたい。

＊リネームしたユーザー名でログインを試みた痕があった。4）が仇になったと思われる。これは、新規ユーザーを作った方がいい。

＊時々、サイトの内容に関係あるパスワードを試行している痕があった。パソコンで英数字を組み合わせて総当りすると聞いていたけど、このサイトが扱うテーマに詳しい人もいたずらしてるのではなかろうか。

結局、こちら側のガードが固くなっただけで、あちら側は基本的に攻撃を辞めるつもりはないらしい。

今朝の産経一面によれば、政府がサイバー攻撃端末の駆除に乗り出すとのこと。確かに、一般庶民ではこれ以上対処しきれない。何か少しでも解決するといいな。