SiteGuard WP Pluginの機能解説と注意点

「SiteGuard WP Pluginってどんなプラグイン？」
「公式サイトを読んでみたけど良く分かりません（＞＜）」

という方のために、元・情報処理安全確保支援士の私がなるべく分かりやすく解説します。
皆さまの安全なブログ運営のお役に立てれば幸いです。

ダッシュボード

SiteGuard WP Plugin のメイン画面です。
公式サイトへのリンクと、各機能の設定ページへのリンクがあります。

順番に説明していきます。

管理ページアクセス制限

機能の解説

攻撃者は、あなたのサイトのURLを直接叩いて色んな悪さをしようとします。
この機能をONにすると、大事な機能が詰まった管理ページを直接叩けなくなります。
つまり、ログインしなければ何もできないということです。

実はWordPressを常に最新バージョンに保っていれば、あまり問題ありません。
この機能が真価を発揮するのは、未知の脆弱性に対してだからです。

注意点

ログインページ変更

機能の解説

ログインページが攻撃者から見つかりにくくなります。
これはWordPressを運用する上で最も効果のあるセキュリティ対策です。

非常に危険です！実際にパスワードを破られて侵入されるのは、
ほとんどのケースがデフォルトのログインページからです。
ほぼ確実に無差別攻撃の対象になると考えた方が良いです。

注意点

画像認証

機能の解説

ログインやコメントの際、下の画像のような入力項目を追加します。

ひらがな	英数字	無効

これにより、プログラムによる不正ログインやスパムコメントを受けにくくなります。

普通に危険です。単純な攻撃を受けるか受けないかの違いは大きいです。

ログイン詳細エラーメッセージの無効化

機能の解説

ログインページで入力を間違えたときに、表示されるメッセージを以下のように変更します。

	ON の場合	OFF の場合
ユーザー名 を間違えたとき	入力内容を確認の上、もう一度送信してください。	不明なユーザー名です。再確認するかメールアドレスによる指定をお試しください。
パスワード を間違えたとき	入力内容を確認の上、もう一度送信してください。	ユーザー名〇〇のパスワードが間違っています。
画像認証 を間違えたとき	入力内容を確認の上、もう一度送信してください。	画像認証が間違っています。

攻撃者に余計なヒントを与えるのはやはり危険ではないでしょうか。

ログインロック

機能の解説

短時間に何度もログインを試してくるIPアドレスを一定時間ブロックします。

一番きつい設定だと、30秒間に3回試行されたら5分間ロック。
一番ゆるい設定だと、1秒間に100回試行されたら30秒間ロック。
それぞれが 1時間に試行される回数は、およそ 33回 と 11,613回です。

OFFにするということは、それ以上の試行をも許可する事になります。

ログインアラート

機能の解説

送信されるメールの件名と本文は、あらかじめ編集できます。
その内容には、「いつ」「どのサイト」に「どのユーザー」がログインしたか、またログイン時の「IPアドレス」「リファラー（参照元ページ情報）」「ユーザーエージェント（OSやブラウザの情報）」も含めることができます。

この機能のON/OFFによって不正ログインに遭う確率は変わりませんが、
万一のときリアルタイムに検知できないため、被害は広がりやすいでしょう。

フェールワンス

機能の解説

ログインページに、正しいユーザー名とパスワード（と画像認証）を入力しても、ログイン失敗とする機能です。
ログインに成功するには、5秒後～60秒後までの間に再度、正しい情報入力する必要があります。

ここまでくるとOFFなのが普通で、ONにしておいたらより安全というレベルです。

XMLRPC防御

機能の解説

XMLRPCは、外部から記事投稿や画像のアップロードなどを行う際に利用される仕組みです。
便利な反面、これを悪用したサイバー攻撃も多いためできれば無効にしたいところです。
次の２種類の無効化が選択できます。

かなり危険です！
第三者のサイトへのDDoS攻撃が行われるとあなたのサイトが加害者になってしまいます。
ピンバック機能だけでも無効化にしましょう。

注意点

更新通知

機能の解説

WordPress、プラグイン、テーマの更新が必要かをチェックします。
そして最新バージョンに更新が必要な場合、管理者にメールを送信します。

とっても危険です。常に最新のバージョンを使用するようにしましょう。
頻繁に手動で更新チェックしている場合でも、ONにしておいた方が良いです。

WAFチューニングサポート

機能の解説

WebサーバーにJP-Secure製のWAF ( SiteGuard Lite )が導入されている場合、
誤検知を回避するためのルールを設定するための機能です。
SiteGuard Liteが導入されていなければOFFです。

問題ありません。導入されているのにOFFにしてしまい誤検知によるエラーが発生したところで、それによって危険に晒されるということではないためです。

詳細設定

機能の解説

通常は「リモートアドレス」を選択します。
プロキシサーバーや負荷分散装置（ロードバランサー）を経由していてIPアドレスが取得できない場合のみ、X-Forwarded-For（レベル1~3）のいずれかを選択します。

まとめ

今回はSiteGuard WP Pluginの説明をさせていただきました。いかがだったでしょうか？

これさえ導入すれば万全ということではありませんが、不正ログイン・不正アクセスに対してはかなり効果があるのではないかと思います。

もちろん、WordPress最新バージョンを保つなどの基本的な対策もしっかりと行い、安全にサイトを運用したいものですね。