WordCamp Kansai 2024 への参加で、三ノ宮に訪れてから2年ぶりに三ノ宮にきました。

今回は、コワーキングスペース DEP. が会場です。
３時間ほど早めにきて、北野天満神社や生田神社を観光してきました。その様子は、末尾に紹介しています。今回は、ログイン周りのセキュリティということでかなりの人数が参加されていました。

プログラム：https://www.meetup.com/ja-jp/kansai-wordpress-meetup/events/312780297/?eventOrigin=group_upcoming_events

WordPress に関する説明（パブリッシングの民主化などなど）、そして自己紹介のあと、２つのセッションあり。

自己紹介で皆さんの参加理由がいろいろあって面白い

クラウド認証を使えるようになってみたい
統合型セキュリティプラグインをどのようなものをつかっているのか
不正アクセスされた経験があるので、勉強したい
ログイン系についてよくわからないので学びたい
台湾きた。日本語でどのように皆が WordPress を学んでいるのか知りたい。あるいは勉強したい。
ブルートフォースアタックに関して、どの程度のパラメーター調整がよいのか知りたい

「ログイン周りのセキュリティ」について考える会

自己紹介の中で質疑応答

1. バックアップしたデータが大量にあるが、どこまで残すべきか

どこまで戻さないといけないのかが大事である。

2. 不正アクセスされたらどうしたらいいのか

不正アクセスのレベルによる。
WordPress のログインなのか、FTPのアクセスなのか、サーバーの管理画面へのログインなのか。FTPやサーバー管理画面のログインの場合には、何でもされているかもしれない。

3. シングルサインオンはどうしたらいいか

＊Login for Google Appsの設定方法は、下記がわかりやすいと思います。

WordPress管理画面にGoogleアカウントでログインをできるようにする方法 |
https://weblabo.oscasierra.net/wordpress-google-apps-login/

そうした物を使う。さらにログイン画面にIPアドレス制限ができるなら、望ましい。

それが無理なら、自社ネットワークのみ IPアドレス制限をして、それ以外はBASIC認証でまずログインページを制限した上で、Google認証などをつかうとセキュリティがかなり高まる。

4. ゼロトラストセキュリティ - CloudFlare によるアクセス制限をする

#この記事をかいていて、聞き飛ばしてしまったのでこれかどうかはわからない。とりあえず関連しそうなデータをのせておく。

サイトや特定のURLに対して指定したIPアドレスを許可しそれ以外をブロックするゾーンロックダウン | Cloudflare（クラウドフレア）代理店　株式会社ドーモ　Cloudflare導入実績国内NO.1パートナー

https://cloudflare.domore.co.jp/knowledge/accessed-from-specified-ipaddress/

5. セキュリティプラグイン SiteGuard WP Plugin はどうですか

ブルートフォースでブロックする頻度が高すぎると、誰かのミスで困ることになる

6. 複雑な攻撃があったらどうするのか

国内IP制限をしていても、国内からの不正アクセスが最近増えているのではないか。
→とはいえ攻撃の母数を減らすことはできるで意味はある。ただし国内IP制限を個人でするのはIPアドレスの範囲を更新していくのが面倒すぎる。そこはレンタルサーバーなど利用するサーバー側でそうしたサービスを提供しているものを選択するほうがいいでしょう

＊歓談タイムで、Xサーバーを使っている人がいるので、WAFを有効にするという手法も紹介しておいた

ログイン画面のセキュリティ

パスワードについては、15桁以上のパスワードを使ってほしい

パスワード15桁以上の根拠

＊NIST・アメリカ国立標準技術研究所の新パスワードのガイドライン
　参考：NIST の最新ガイドラインに見る「認証とパスワード」の新常識（cybertrust）

1. 入口を減らす

物理的な到達を拒否する

IP制限

最もシンプルで強力
https://www.myip.com/ などで自分のアクセスするIPアドレスを調べる。

ただし IPアドレスは動的であることに注意

#IPアドレスから利用しているネットワークのある程度の範囲を調べることも利便性は高い
国内なら、JPNICのIPアドレス調査が使える
https://www.nic.ad.jp/ja/whois/ja-gateway.html

BASIC認証

パスワードで制限する
admin-ajax.php を除外する必要があるなど、設定が複雑

こちらについては BASIC認証やサーバーへのログインができる技術者がやるべきところ。

/wp-admin と /wp-login.php の２つに制限を掛ける必要がある。
かつ /wp-admin/admin-ajax.php はBASIC認証対象外にする必要がある

こうした複雑なことが難しいなら、WAF（Web Application Firewall）という機能がサーバー上で用意されていると、ある程度ブラックリストIPアドレスをブロックしたり、不正はURLアクセスなどをブロックしてくれる可能性が高い。ただし場合によっては WordPress の編集を阻害して保存できなくなる可能性がある。 WAFを使うなら、WAFをオンにして WordPress 上で編集して保存できるか確認する必要がある。

URLを変えてログインを守る（非推奨）

プラグインで変更すると、URLを忘れると、どうしていいかわからない状態になる可能性がある。.htaccess を書き換えるタイプだと、それをもとに戻す知識が必要。そうでなく別PHPファイルで操作するのなら、そこがセキュリティ脆弱性につながる問題もある。

.htaccess は Apache というWebサーバーシステムを使っている限定となる。
nginx だと使えない点に注意

xmlrpc.php 廃止

これを通じて他のアプリから WordPress を制御するツール。以前は設定で無効化できたら、現在はできなくなっている。

Disable XML RPC などのプラグインで止めるほうが簡単。

＊もちろん、サイト構成でこの機能を使っている場合には注意