XMLRPCを利用したWordPressへの不正ログイン対策

今回の要点
問題：怪しいログインログが大量にあって不正アクセスされている
対策：XMLRPCのアクセスを禁止する　⇐の方法を説明します
メリット：ブルートフォースアタックを防ぐ
デメリット：JetPackやスマホアプリ、他のエディタの利用ができない

不正なアクセスログの発見

何気なくログインログを確認したところ、明らかにおかしいログインログがありました。

よく見るとXMLRPCと書いてある。

調べたところ、WordPressをiPhoneアプリやJetPackで利用するのに必要らしい。

このアクセスはAPI経由で実行されていて、手動ではなくプログラムによる不正アクセスでした。

この方法を「ブルートフォースアタック」と言います。

これをそのまま許してしまうと、サーバーへの負荷がかかりすぎて、
しまいにはサーバー会社から警告が来てしまうこともあるらしいです。

以前、セキュリティのためにログインＵＲＬを変更しましたが、この方法はＵＲＬ経由でこないため、この方法だけでは対策になりません。

今回はこのアクセスによるログインをさせないように対策したいと思います。

今回もSiteGuard WP Pluginを利用します。
インストールする方法はこちらから

メニューから、[SiteGuard]⇒[XMLRPC防御]を開くと、設定画面が開きます。

そこで、XMLBPC無効化にチェックを入れて変更を保存します。

これで、XMLRPCを利用したアクセスが禁止されました。

ブルートフォースアタックも怖くない。

ログインＵＲＬ変更は手動でログインページからのアクセスされる場合には有効です。

ですが、XMLRPCによるブルートフォースアタックは対策していませんでした。

ただ、この設定をしてしまうとJetPackやアプリ、ほかのエディタからの利用が出来なくなってしまいます。

セキュリティと利便性はトレードオフの関係にありますが、セキュリティを高めることは必要だと感じていますので私はこれを設定しました。