WordPressのサイトには、毎日のように不正なアクセスが来ています。ログイン画面を総当たりで試されたり、古いプラグインの弱点を狙われたり。
Wordfenceを入れると、それが見えるようになります。いつ・どこから・何をされたのかが記録に残り、あやしいものは自動で止めてくれます。
Wordfenceは無料版で十分使えるので、まずはご自身のWordPressサイトの現状を知るためにも導入を試してみてください。
止めることと同じくらい、気づけることが大事
セキュリティ対策というと「攻撃を止める」ほうに目が向きます。もちろん大事なのですが、同じくらい大事なのが何かあった時に気づけることです。
サイトが改ざんされても、見た目が変わらないことがよくあります。見えないところにファイルを置かれて、しばらく経ってから迷惑メールの踏み台に使われていた、というような形です。管理画面を開いても、普段と何も変わって見えません。
気づくのが遅れるほど、元に戻すのが大変になります。バックアップを遡っても、どこまで戻せば安全なのかが分からなくなるためです。
なので、見張りを立てて、監視できる仕組みが重要になってきます。
Wordfenceでできること
Wordfenceは、大きく4つの機能を持っています。
| 機能 | 何をしてくれるか |
|---|---|
| ファイアウォール | あやしいアクセスを手前で止める |
| スキャン | ファイルの改ざん・古いプラグイン・脆弱性を見つける |
| ブルートフォース保護 | ログインの総当たりを止める |
| ライブトラフィック | 今サイトに来ているアクセスを見る |
このうち「スキャン」と「ライブトラフィック」が、気づくための機能です。止めるだけのプラグインはほかにもありますが、起きたことを記録して見せてくれるところがWordfenceの良いところだと思っています。
では、入れるところから順に見ていきましょう。
インストールとライセンスの取得
プラグインを入れて有効にすると、このポップアップが出ます。「WORDFENCE ライセンスを入手」を押します。
プランの一覧が開きます。一番左の「Free」の下にある「Get a Free License」を押します。
無料版と有料版を選ぶ画面になります。ここで「I’m OK waiting 30 days for protection from new threats」という下のリンクを選びます。
ボタンのほうを押すと有料版に進んでしまうので、気をつけてください。無料版はリンクのほうです。
メールアドレスを入れる
メールアドレスを入れて「Register」を押します。
メールマガジンの「Would you like WordPress security and vulnerability alerts sent to you via email?」は「No」にしています。別のところで情報は追えているので、メールを増やさないためです。必要であれば「Yes」にしておきましょう。
届いたメールから、ライセンスを入れる
登録すると、ライセンスキーがメールで届きます。
届いたメールの「Install My License Automatically」を押します。
押すと管理画面が開いて、メールアドレスとライセンスキーが自動で入っています。「ライセンスインストール」を押すだけです。
このボタンは24時間だけ有効で、しかもライセンスを申し込んだブラウザでしか使えません。別のパソコンで開くと手入力になるので、申し込んだその場で終わらせるのがおすすめです！
スキャンの設定を確認しよう
Wordfence → すべてのオプション、から設定していきます。
なお、ここで紹介するのは自分がよく使っている設定の一例です。サイトの状況や環境によって、ちょうどいい設定は変わります。ご自身の状況に応じて判断してもらえたらと思います。
一般的なオプション
| 項目 | 値 |
|---|---|
| 新しいバージョンがリリースされたら、Wordfenceを自動的に更新しますか？ | チェックを付ける |
| アラートメールの送信先 | 受け取りたいメールアドレス |
| この深刻度レベル以上のスキャン結果を通知する | 高 |
| その管理者が新しい端末からサインインしたときだけアラートする | チェックを付ける |
深刻度は、そのままだと細かいものまで通知が届きます。Wordfenceはいろいろな問題を拾ってくれるので、全部受け取っていると、そのうち開かなくなります。まずは「高」にしておいて、重要なものだけ届く状態から始めるのがおすすめです。
サインインの通知は、身に覚えのない端末から管理者アカウントに入られた時に気づくためのものです。毎回届くわけではなく、新しい端末の時だけなので、わずらわしくはありません。
なお、IPアドレスの取得方法は、レンタルサーバーでそのまま使っているなら推奨のままで大丈夫です。Cloudflareを挟んでいるなど構成を変えている場合は、ここを変えないと訪問者のIPアドレスが正しく取れないことがあります。
スキャンオプション
| 項目 | 値 |
|---|---|
| Wordfenceのスキャンをスケジュールする | 有効 |
| Wordfenceがサイトをスキャンするタイミングを選べるようにする | チェックする |
| スキャンタイプの基本オプション | 標準スキャン |
基本設定
デフォルトの設定に加えて、以下もチェックを付けています。
- テーマファイルをリポジトリのバージョンと照合し、変更を確認
- プラグインファイルをリポジトリのバージョンと照らし合わせて、変更点がないかスキャンする
- プラグイン、テーマ、WordPressのバージョンが古く、放棄され、脆弱性がないかどうかをスキャンします
- WordPressインストール外のファイルをスキャン
ファイルが書き換えられて改ざんされていないかを確認できるようにすることと、プラグイン等に脆弱性がないかをチェックしてもらえるようにする設定です。
スキャンを実行する
設定が終わったら「新しいスキャンを開始する」を押します。
問題が見つかると、このように重要度ごとにランク付けされて並びます。
一度にすべてをなくそうとしなくて大丈夫ですが、少なくとも「致命的」と「高」は、すぐ直すようにしましょう。このあたりは、放っておくと実害につながる可能性があるものです。
残りは上から順に、1つずつ確認して直していきます。重要度の高いものから手を付けていけば、サイトの状態は着実に良くなっていきます。
内容を見ても分からないものが出てきたら、お問い合わせからお気軽にご相談ください。
問題が見つかったら、どう動くか
スキャンで出てくるものは、大きく2つに分かれます。管理画面から更新すれば消えるものと、そうでないものです。
数としては前者がほとんどです。プラグインやテーマ、WordPress本体が古い、という指摘ですね。この場合は更新すれば消えます。ただ、更新そのもので表示が崩れることもあるので、進め方は「WordPressの更新通知が来ているけど更新が怖い…。プラグインや本体を安全にアップデートする方法」を参考にしてみてください。
管理画面からの更新では消えないものが出たとき
気をつけたいのは、こういう結果が出た時です。
- 身に覚えのないPHPファイルが見つかった
- もともとあるファイルに、知らないコードが足されている
- マルウェアの可能性があると書かれている
これらはすでに攻撃を受けたあとかもしれない、という合図です。古いから指摘されているのではなく、何かが置かれている状態です。
ここから先は、管理画面での作業ではありません。サーバーの中に入っての作業になります。何が起きたかの証拠を確保するところから、被害が広がらないように封じ込める対応まで、急ぎで進めたほうがいいこともあります。
自分で対応する自信がなければ、専門家に協力してもらいながら進めるのが基本です。気になることがあればお問い合わせからご相談ください。
ファイアウォールの設定
ファイアウォールの画面を開くと、最初は「学習モード中」になっています。
これは、Wordfenceがそのサイトの普通の動きを覚えている期間です。いきなり本気で止めると、普段の操作までブロックされてしまうためですね。1週間ほどはそのままにしておきます。
「ブルートフォース保護」が100%になっているのも確認しておきましょう。ログインの総当たりを止める機能で、ここが最初から効いています。
ファイアウォールの最適化
次に、保護レベルの「Wordfence ファイアウォールの最適化」を押します。
これを行うと、WordPressが読み込まれる前の、もっと早い段階でWordfenceが動くようになります。弱点のあるコードが実行される前に止められるので、守りが一段強くなります。
そのために、サーバーの中の設定ファイル（.htaccessや.user.ini）が書き換えられます。
「.HTACCESSをダウンロード」「.USER.INIをダウンロード」は、必ず両方押してください。書き換えられる前のファイルの控えです。何かあった時に、これがあれば戻せます。
控えを取ったら「次へ」で完了です。
ライブトラフィックで、何が起きているかを見る
ツール →「ライブトラフィック」で、サイトに今来ているアクセスが見られます。ログイン・攻撃の試み・ブロックしたリクエストが、リアルタイムで流れます。
日々、膨大な攻撃が試みられていることが分かります。この画面では、同じIPアドレスから数十秒おきに、存在しないファイルを狙ったアクセスが続いていて、そのすべてがブロックされています。
「うちのサイトなんて狙われないでしょう」と思っていても、ここを一度見ると考えが変わると思います。
SiteGuardと一緒に使う時は、通知を片方に寄せる
SiteGuardも入れている場合は、ログインの通知が二重にならないようにします。
Wordfenceには「管理者権限のある人がサインインした時にアラートする」設定があり、SiteGuardにも「ログインアラート」があります。両方オンだと、1回のログインでメールが2通届きます。
通知は多ければ安心というものではありません。毎日2通ずつ届けば、そのうち開かなくなります。なので自分の場合は、Wordfence側に寄せて、SiteGuardのログインアラートは無効にしています。
おわりに
Wordfenceの入れ方と設定を紹介しました。
ここまで入れておくと、ファイルの改ざんや、プラグイン等の脆弱性に気づきやすくなります。サイトを見ているだけでは分からないことを、Wordfenceが代わりに見張ってくれる状態です。
問題があった時はメールで通知が届きます。ここが受け取れないアドレスになっていると、せっかく見つけてくれても気づけません。普段ちゃんと見ているメールアドレスにしておきましょう。
ほかのセキュリティ対策もまとめて見たい方は、「すぐ導入可能！WordPressでできるセキュリティ対策７選」も参考にしてみてください！
