気持ち悪いので特定の国からWORDPRESSへの接続を遮断した
作成日:
更新日:

気持ち悪いので特定の国からWORDPRESSへの接続を遮断した

🔧 論旨
  • ブログを開設してまだ1ヶ月足らず、SNSでの宣伝も一切していない段階で、特定の国からWordPressへの不審な全ページ巡回アクセスが急増しました。
  • 放置すると脆弱性探索やブルートフォース攻撃の温床となるため、WordPressプラグイン「iQ Block Country」を導入して特定の国からの接続を遮断しました。
  • ※本記事は2020年9月当時、当ブログをWordPressで運用していた際の実機対策記録です（当サイト自体は現在Astroによる静的サイト環境へ移行済みです。また現在のWordPress環境では、プラグインの更新状況を確認しつつ、サーバー負荷の少ないレンタルサーバー標準の国外IP制限やCloudflare等のCDN側WAFルールを優先活用するのも有効です）。
🔧 対象となる方
  • WordPressでブログやWebサイトを運営している方
  • アクセス解析やサーバーログに海外（特定の国）からの不審な巡回アクセスが増えている方
  • 国単位でWordPressへの接続をブロックしたい方

特定の国から増え続ける不審なアクセス

XSERVERの管理画面を見てて、彼の国からのアクセスは最初、日に1件だったのがだんだんと増えてきました。

XSERVERアクセスログに記録された特定の国からのアクセス増加

2020年9月8日のアナリティクスを見ると、彼の国から……。

おかしい、8月14日からブログを始めて、SNSはわざとしていません。なので流入は無いはずです。投稿と加筆修正が忙しいので、読みに来られても時間ごとに中身が変化しているからです。

アメリカ、フィリピン、インド、インドネシアなど何故か外国からも来ていますが、彼の国のような動きはありません。

Googleアナリティクスの国別アクセス状況

で、何を見てるか見ると、全ページを……。何してんだ。

全ページを巡回している不審なアクセス履歴

iQ Block Countryによる国別アクセス遮断

気持ち悪いので、iQ Block Country を導入したら、彼の国から大量に接続されていたようでした。

今は彼の国をブロックしましたが、ログには引っかかっています。気持ち悪いな。

iQ Block Countryによる国別ブロック統計1

iQ Block Country

iQ Block Countryによる国別ブロック統計2

iQ Block Country

まとめ

🔧 📝 まとめと現在のWordPress国外アクセス遮断のベストプラクティス

ブログ立ち上げ直後で検索流入やSNS流入がないにもかかわらず、特定の国から全ページをなめるようなアクセスが来る場合は、自動巡回ボットや脆弱性探索ツールによる偵察の可能性が高いです。「iQ Block Country」やレンタルサーバー側の国外IPアクセス制限を活用し、早期に遮断しておくことをおすすめします。

  • ① iQ Block Country利用時のポイント（MaxMind GeoLite2対応） ：「iQ Block Country」はIPアドレスから国を判定するためにMaxMind社の「GeoLite2」データベース（GeoLite2-Country.mmdb）を使用します。2019年末のMaxMind側仕様変更以降、利用には無料アカウント登録で発行されるライセンスキーの設定（またはプラグイン提供元の有料GeoIP APIキー）が必要となっており、定期更新で最新の国別IPリストを維持できます。

  • ② レンタルサーバー標準の「国外IPアクセス制限」やCDN WAFとの使い分け ：XSERVERなどの国内レンタルサーバーには、サーバーパネル上に標準で「WordPressセキュリティ設定（国外IPアクセス制限：管理画面・ログイン画面・XML-RPC・REST APIの遮断）」が用意されています。管理画面の保護はPHP負荷のかからないサーバー標準機能で行い、公開ページ全体への特定国からの不気味な巡回遮断には「iQ Block Country」を使うか、Cloudflare等のCDNを利用する場合はCDN側の国別WAFルールに一本化するとオリジンサーバーの負荷も抑えられて堅牢です（※CDN配下でプラグインを使う場合は訪問者の実IPヘッダー参照設定に注意してください）。

  • ③ 公開側（Frontend）で米国（United States）を遮断しない重大鉄則 ：管理画面側（Backend）では日本以外を広くブロックしても問題ありませんが、公開ページ側（Frontend）で「米国（US）」までブロック対象に含めると、米国IPから巡回してくるGooglebotやBingbotなどの検索エンジンクローラーまで遮断してしまい、検索結果からサイトが消える（インデックス除外）重大事故 につながります。公開側のブロックは攻撃元の特定国のみに限定しましょう。

  • ④ 誤って自国をブロックして締め出された時の復旧手順とキャッシュ注意 ：万が一設定ミスやVPN・iCloudプライベートリレー経由で自分自身が管理画面から締め出された場合は、レンタルサーバーのファイルマネージャーまたはFTPソフトから /wp-content/plugins/iq-block-country フォルダの名前を一時的に別名へ変更（リネーム）すればプラグインが無効化されてログインできます。また、ページキャッシュ系プラグインと併用する際は、ブロック判定画面がそのままキャッシュされないよう動的判定設定やキャッシュ除外を確認しておくと安心です。