WP Cerberによる強力なログインセキュリティ

English version: Strong login security with WP Cerber

悪意のある人物がブルートフォース攻撃を仕掛けることで、数分以内に新しくインストールされた WordPress に侵入できることは周知の事実です。WordPress には攻撃緩和メカニズムが組み込まれておらず、デフォルトのログイン URL はよく知られており、Web サイトの管理者のユーザー名は簡単に発見できるため、侵入が可能です。WP Cerber は、ブルートフォース攻撃を緩和し、ユーザーアカウントを保護するために必要なすべてのツールを提供します。

WP Cerberのログインセキュリティ設定の構成

ログインセキュリティ設定は、メイン設定タブにあります。ここでは、ログイン試行の制限を設定したり、wp-login.php へのアクセスを制限したり、存在しないユーザー名やメールを使用した場合にユーザー名やメールが検出されないようにエラーメッセージを設定したりできます。

ログイン試行回数を制限してブルートフォース攻撃を軽減する

ログイン試行回数を制限するためのデフォルト設定と推奨設定は、スクリーンショットの #1 で強調表示されています。これらの設定は、WP Cerber を有効化したときに設定されました。たとえば、WooCommerce ストアを運営していて、Web サイトに多くの顧客がいる場合は、ログイン試行回数の制限を増やすのが合理的です。

WordPress Login Security – WP Cerber Settings

wp-login.php 認証リクエストの処理

選択 #2 を参照してください。デフォルトでは、WordPress は wp-login.php をウェブサイトのログインページとして使用し、すべてのユーザーログインを処理し、登録フォームとパスワードリセットフォームを提供します。カスタムログイン URLを設定している場合は、wp-login.php を無効にすることをお勧めします。2 つのオプションがあります。wp-login.php へのアクセスを完全にブロックして、誰もファイルにアクセスできないようにするか、ファイルへのアクセスをブロックせずに wp-login.php によるユーザー認証を無効にすることができます。どちらのオプションも選択できます。どちらも、wp-login.php によるユーザー認証を防止します。

最初のオプションを有効にすると、WP Cerber は、Web サイトにそのようなファイルが存在しないかのように、「404 ページが見つかりません」というエラーページをレンダリングして返します。そのため、悪意のある行為者は攻撃する対象がありません。

2 番目のオプションを有効にすると、WP Cerber は正しいユーザー名とパスワードを使用してもユーザー認証を阻止します。つまり、wp-login.php を使用してログインすることはできません。wp-login.php 経由でログインしようとすると、WP Cerber は標準の WordPress 認証プロセスを模倣したデフォルトの不正なパスワードエラーメッセージを表示します。このアプローチを使用すると、WP Cerber は wp-login.php を検出ハニーポットとして使用して、低速のブルートフォース攻撃を検出できます。wp-login.php 経由でログインするすべての試行は、以下のスクリーンショットに示すように、WP Cerber アクティビティログに記録されます。

An attempt to log into WordPress denied (Forbidden URL)

WP Cerber denies attempts to log in via wp-login.php and logs such events with the Forbidden URL label

悪意のある人物が実際のユーザー名や顧客のメールアドレスを発見するのを防ぐ

WordPress によって生成されるデフォルトのログインおよびパスワードリセットエラーメッセージは非常に冗長であり、ハッカーが実際のユーザー名とメールを検出して、ブルートフォース攻撃やソーシャルエンジニアリング攻撃を仕掛けるのに役立ちます。

デフォルトのログインエラーメッセージを無効にする

有効にすると、存在しないユーザー名やメールアドレスでログインしようとしたときに、ログインエラーメッセージに無効なユーザー名やメールアドレスが表示されなくなります。代わりに、WP Cerber は、ユーザーが間違ったパスワードを入力したときに使用されるデフォルトの WordPress エラーメッセージを表示します。これにより、悪意のあるユーザーが有効なユーザー名やメールアドレスを推測するのを防ぐことができます。この方法は、ログインヒントの無効化とも呼ばれます。

WP Cerber のプロフェッショナルバージョンでは、カスタムログインエラーメッセージ設定フィールドを使用して独自のログインエラーメッセージを指定できます。

デフォルトのパスワードリセットエラーメッセージを無効にする

有効にすると、存在しないユーザー名または存在しないメールのパスワードをリセットしようとしたときに、パスワードリセットエラーメッセージに無効なユーザー名とメールが表示されなくなります。代わりに、WP Cerber はパスワードをリセットするデフォルトのプロセスを模倣し、ユーザーが有効な、または存在しないユーザー名とメールを入力するたびに次のメッセージを表示します。