XMLRPCを利用したWordPressへの不正ログイン対策

WordPress

今回の要点
問題:怪しいログインログが大量にあって不正アクセスされている
対策XMLRPCのアクセスを禁止する ⇐の方法を説明します
メリット:ブルートフォースアタックを防ぐ
デメリット:JetPackやスマホアプリ、他のエディタの利用ができない

スポンサーリンク

不正なアクセスログの発見

何気なくログインログを確認したところ、明らかにおかしいログインログがありました。

よく見るとXMLRPCと書いてある。

調べたところ、WordPressをiPhoneアプリやJetPackで利用するのに必要らしい。

このアクセスはAPI経由で実行されていて、手動ではなくプログラムによる不正アクセスでした。

この方法を「ブルートフォースアタック」と言います。

これをそのまま許してしまうと、サーバーへの負荷がかかりすぎて、
しまいにはサーバー会社から警告が来てしまうこともあるらしいです。

以前、セキュリティのためにログインURLを変更しましたが、この方法はURL経由でこないため、この方法だけでは対策になりません。

今回はこのアクセスによるログインをさせないように対策したいと思います。

スポンサーリンク

XMLRPCを無効化

インストール

今回もSiteGuard WP Pluginを利用します。
インストールする方法はこちらから

無効化設定

メニューから、[SiteGuard]⇒[XMLRPC防御]を開くと、設定画面が開きます。

そこで、XMLBPC無効化にチェックを入れて変更を保存します。

これで、XMLRPCを利用したアクセスが禁止されました。

ブルートフォースアタックも怖くない。

スポンサーリンク

まとめ

ログインURL変更は手動でログインページからのアクセスされる場合には有効です。

ですが、XMLRPCによるブルートフォースアタックは対策していませんでした

ただ、この設定をしてしまうとJetPackやアプリ、ほかのエディタからの利用が出来なくなってしまいます。

セキュリティと利便性はトレードオフの関係にありますが、セキュリティを高めることは必要だと感じていますので私はこれを設定しました。

コメント

タイトルとURLをコピーしました