【wordpress/ハッキング】不正ログイン対策後の経過について

2019年2月28日2021年11月27日

きみひこです。

wp移転後一か月余りで、不正ログインされ、
対策をしたこと2019年02月23日の記事で書きました。

不正ログインへのひとまずの対策として、以下の対策をとりました。

・高度なパスワードの設定
・ログイン試行の可視化のため、ログイン履歴を取るプラグインを導入

その後の状況について今日は書きます。

上記は、プラグイン導入直後の、ログイン試行の履歴です。

履歴を見る限りは数分おきに世界各国から不正なログインを試行されている模様。
怖すぎです。

とくに、24日は早朝から午後１３時ごろまで、
世界各国から数分おきに何百回も試行された形跡がありましたが、
高度なパスワードを設定したおかげか、
現在までパスワードは破られておらず、ログインの成功には至っていません。

午後１３時ごろ以降にはパタッとログイン試行がやみました。
僕はハッキングに関して詳しくないのですが、
プログラムによる自動ログイン試行か、人海戦術でのログイン試行かは
定かではありませんが、
一定期間の繰り返しのログイン試行でのログインが成功しなかったので、
試行を諦めたのだと推測しています。

ただ、とにかくこの状況が怖くて、
新たにセキュリティ対策ツールを導入しました。

SiteGuard WP Pluginというプラグイン。
日本で開発されているセキュリティ対策プラグインだそうで、
評判が良かったので導入しました。

SiteGuard WP Plugin | ソフトウェアWAFのJP-Secure
https://www.jp-secure.com/siteguard_wp_plugin/

wordpressの管理ページやログインページまわりの
セキュリティ強化のためのプラグインです。

このツールでできることは多岐にわたりますが、
代表的な例としては、下記が行えます。

・ログインページのＵＲＬを変更して、ログインページを推測されにくくする。
・ログインページに画像認証を追加して、さまざまなログイン試行を回避する
・ログインエラー時に返すエラーメッセージをすべて同じにして、ユーザー名の存在を調査する攻撃を受けにくくする。
・一定時間の連続的なログイン試行時にロックをかけ、機械的なログイン試行を回避する。

画像認証やログインロックは、最近では当たり前にある機能ですよね。
これらの機能があるだけで、安心感があります。
逆にデフォルトで欲しいほど。

結果的に、24日にログイン試行が途絶えた後に、
ログイン試行が開始された形跡はなく、
現在に至るまで不正ログインはおきていません。

【高度なパスワードの設定】と【有能なセキュリティ対策プラグインの導入】で、
ログイン試行系のハッキングはほぼほぼ回避できたのかなという印象でおります。

状況が変わった場合は何かしら続報を書きたいと思います。

以上。