いまさらながら、WordPressのセキュリティを考えてみた。その１　wp-login.phpを不正アクセスから守る

不正アクセスはある日突然やってくる

下の画像は、自宅サーバーで運用しているサイトのアクセスログの一部なのですが、

WordPressのログインファイルであるwp-login.phpに1,095回もアクセスがあったことがわかりました。
そもそも自宅サーバーのディスク領域を第三者へ貸し出すようなことはしていませんし、自宅からのWEBサーバーへのアクセスはログを記録しないように設定していますので、外部からのアクセスであることは明らかですし、アクセスログを見ると、

こんなアクセスが数百件単位でずら～っと並んでいました。
どうやら、当方の管理するサイトのWordPressが不正アクセスの標的になってしまったようです。
いくら、IDとパスワードで守られているとはいえ、このままでは不正アクセスの餌食になってしまいますので、タイトルどおりいまさらながらWordPressのセキュリティを考えてみました。

wp-login.phpを不正アクセスから守る３つのステップ

wp-login.phpを不正アクセスから守る３つのステップは以下のとおりです。
恥ずかしい話、当方ワードプレスを運用開始してから今回の不正アクセスが発覚するまで放置していました（すみません）が、WordPressを使ったことがある方は、wp-login.phpがシステムログ引用のファイルであることは知っていますので、不正アクセスの標的になりやすいので、WordPress運用の初期の段階で対策を実施することを強くお勧めします。
wp-login.phpを不正アクセスから守る３つのステップ

wp-login.phpへのアクセスを制限する（wp-login.phpをLAN内部からのみアクセスできるようにする）

WordPressのインストールが簡単ですが、先ほども書いたとおりWordPressを使ったことがある方は、wp-login.phpがシステムログイン用のファイルであることは知っていますので、不正アクセスの標的になりやすいです。
実際の運用では、サイトの管理者（または投稿者）がシステムにログインできれば問題がありませんで、特定者以外がwp-login.phpへアクセスできないようにサーバーで設定します。

WEBサーバーの設定ファイルを編集できない（root権限なし）場合

サーバー（WordPress本体）へのアクセスがLAN内または、固定IP環境などアクセスする（できる）クライアントのIPが限定できる場合は、上記の設定例を参考にして.htaccessを使用してアクセス制限を行います。
動的IP環境からのアクセス等IPが限定できない場合は、wp-login.phpのパスワード制限等別の方法を考えます。

robots.txtを使用してwp-login.phpの検索サイトへのインデックスを防ぐ

まずはこちらのGoogleで『inurl:wp-config.php』を実行した結果をご覧ください。
意外と、様々なサイト内のwp-config.phpが検索サイトにインデックスされている状況にお気づきになると思います。
これは、システムにログインできるか否かは別として、本来は外部に表示したくないシステムへの入り口が外部に公開されていることをあらわしています。
このままでは不正アタックの標的になりやすいので、クローラーに対しwp-login.php（とwp-adminなどのWordPressのインストールディレクトリ）をインデックスしない（インデックスから削除する）ように通知します。

表示されるページからのwp-login.phpへのリンクをはずす

これ、意外と見落としがちなのですが、WordPressのデフォルトテーマなどにwp-login.phpへのリンクが設定されている場合がありますので、このようなリンクは表示しないように設定しましょう。