Limit Login Attemptsで不正ログインを防止してみよう

ブルートフォースアタック

ワードプレスで構築しているサイトにブルートフォースアタック(総当たり攻撃)を仕掛けるのが流行っていたのをご存知でしょうか。
私の持っているサイトのうち、一つが非常に遅くなっていました。サーバーHPを見ると、「そのサーバーにあるWPサイトが攻撃されているので、防衛しています」だそうです。

Limit Login Attempts

こちらもプラグインで防御してみましょうか。
使っているのは、Limit Login Attemptsです。

導入

いつも通り、「プラグイン」から「新規追加」で探して下さい。
導入すると「設定」に入っています。
設定画面を見てみましょう。

Limit Login Attempts

と、これが私の設定画面です。しかも生。

日本語翻訳は

翻訳もくもく会 @ Co-Edo(コエド)でいろいろ翻訳しました(高野直子さん)
Limit Login Attemptsの日本語化をしてみた(Webデザイン日々独学さん)
で見ることができます。

 

攻撃

さて、これが今回一番有用な情報なのではないかと思うのですが、どういう攻撃を仕掛けているのか、です。
攻撃
画像だけではなく、テキストでも晒したろ。

146.0.79.23 admin (3 lockouts), welcome (1 lockout), also (1 lockout), statusreviews (1 lockout)
72.233.119.245 username (8 lockouts)
72.232.113.70 username (8 lockouts)
66.155.8.206 username (4 lockouts)
65.202.199.3 Admin (1 lockout)
85.233.90.81 Admin (1 lockout)

どういうことかというと、攻撃はよく言われるような、Adminだけではないのですよ。usernameとかあります。つまり、固有名詞ではなく、一般的に使われているようなものが狙われやすい、と思って良いでしょう。そのうち、Guestとかありそうです。

防御

botなのでIPアドレスで一つずつ排除しても意味がないとも言われますが、たくさん攻撃が加えられたIPアドレスに関しては排除しても良いのでは?と思います。
私が使うのはWP-Banです。

WP-Banで嫌なお客さんをお断りしよう

サブディレクトリ式のマルチサイトでの動き方

Limit Login Attempts、WP-Ban、ともに、全て一つずつ設定する必要があります。これはちょっと面倒ですが、仕方がありません。

Related posts