前回は「iThemes Security 」のインストールと初期設定を行いました。今回は各種詳細設定の説明などをしていきたいと思います。

まず、はじめにダッシュボードについて軽く触れたいとおもいます。ダッシュボードでは、現在の設定状況を優先度の高い順で表示されています。

画像はインストール直後のダッシュボードの状態です。ここから下へスクロールしていくと、「Security Status」という項目があります。ここでは、未設定の項目が優先度の高い順に並んでいます。

各項目の右側に「Fix it」と書かれたボタンを押すとその項目の設定画面に移動します。

現在の設定状況が一目で分かるので、設定漏れなどを発見しやすく管理が非常に楽です。

それでは、各設定項目をみていきましょう。

まず、上部にある「Settings」タブを選択します。

ここで、自分の環境に合わせて各種設定を行っていきます。

では、各項目の簡単な説明を上から順にしたいと思います。

※各英文をgoogleで翻訳して自分なりに解釈して書いていますので、間違った解釈をしている部分があるかもしれませんので、もし発見した時はコメントなどで教えてください。

「Don’t Lock yourself Out」

テスト中に誤って自分をロックアウトしないように、今の自分のIPアドレスをホワイトリストに登録しておきます。有効期限は24時間です。

「Go to [ドロップダウンメニュー]」

ここでは、ドロップダウンメニューから設定したい項目にジャンプすることができます。

「Global Settings」

・Write to Files

iThemesセキュリティのWP-config.phpファイルと.htaccessへの書き込みを許可するか。許可する場合はチェック入れて、許可しない場合はチェックを外す。チェックを外すと自分でファイルへの書き込みを行う必要があるので、チェックを入れた方が便利。

・Notification Email

セキュリティに関する通知を送信する電子メールアドレスを設定。1行に1つのアドレス。

・Backup Delivery Email

データベースのバックアップをメールで受信する設定にした場合の送信先アドレス。1行に1つのアドレス。

・Host Lockout Message

ホストがロックアウトされたときに表示されるメッセージ。

・User Lockout Message

自分のアカウントがロックアウトされたときに表示されるメッセージ。

・Blacklist Repeat Offender

下記のロックアウトの数に達した時、禁止ユーザー ブラックリストに追加するか。

・Blacklist Threshold

下の「Blacklist Lookback Period」に設定された日数の間に指定回数以上ロックアウトされたIPを永久的にアクセス禁止にする。

・Blacklist Lookback Period

上の指定回数を満たす日数を設定。

・Lockout Period

ロックアウト時間を設定。

・Lockout White List

「Add my current IP to Whitelist」で現在のIPアドレスをホワイトリストに追加。また、ホワイトリストに登録するIPアドレスはIPv4標準形式である必要があります。   （つまり、###。###。###。###または###。###。###。###/##）。

ワイルドカード（*）またはネットマスクはIPアドレスの範囲を指定することが許可されています。

ワイルドカード（*）を使用する場合は、IPフィールドに、右端の数字で始まる必要があります。例###。###。###。*および###のために。###。*。*許さなく###されている。###。*は###ではありません。

1行につき1 IPアドレスの範囲を入力します。

・Email Lockout Notifications

ロックアウトの電子メール通知。

・Log Type

イベントログの維持方法を設定。

・Days to Keep Database Logs

「Log Type」でデータベースにした場合のログ保存日数

・Path to Log Files

「Log Type」でファイルにした場合のログファイルの保存先パス（ファイルサイズ10MBまで）

・Allow Data Tracking

このプラグインが使用状況を匿名データで追跡できるようにするか。

・Disable File Locking

ファイルロックを無効にする。

「404 Detection」

存在しないページへ大量にアクセスしようとしているユーザーを見ます。 短時間での大量な404エラーは、おそらく脆弱性をスキャンしていると思われるので、それらをロックアウトします。すべてのエラーは、 \”View Logs\”ページに記録されます。

「Global Settings」で、この機能のしきい値を設定することができます。

「Away Mode」

指定した時間帯以外のログインを無効にする。

「Banned Users」

アクセス禁止ユーザーの管理。

・Default Blacklist

HackRepair.comのブラックリスト機能を有効にします。

・Ban Users

禁止ユーザーに関するリストのカスタマイズができます。

「Brute Force Protection」

ブルートフォース攻撃に関する設定。

・Brute Force Protection

ブルートフォース攻撃からの保護を有効化

・Max Login Attempts Per Host

ホスト単位でのログイン試行回数の設定。

・Max Login Attempts Per User

ユーザー単位でのログイン試行回数の設定。

・Minutes to Remember Bad Login (check period)

試行回数を超えたユーザーのログイン拒否時間の設定。

・Automatically ban “admin” user

「管理者」のユーザー名を使用してログインしようとするホストをすぐに禁止する。

「Database Backups」

データベースのバックアップに関する設定。

・Backup Full Database

データベース内のWordPressサイトの一部でないテーブルもすべてバックアップ。

・Backup Method

バックアップ方法を指定。ローカルに保存するかメール送信するか、またはその両方。

・Backup Location

バックアップファイルのローカル保存場所を指定。

・Backups to Retain

ディスクに保存されるバックアップファイル数の上限を設定。

・Compress Backup Files

バックアップファイルをZip形式での圧縮をするか。

・Exclude Tables

バックアップ除外テーブルの指定。除外したいテーブルはExcluded Tablesへ。

・Schedule Database Backups

スケジュールバックアップの有効化。

・Backup Interval

バックアップ間隔の指定。

「File Change Detection」

変更が加えられたファイルを検出。（ローカルバックアップファイルや管理者がFTP等で加えたファイル変更も検出されます。）

・File Change Detection

ファイル変更の検出を有効にする。

・Split File Scanning

ファイルの分割スキャンによりサーバー負荷の軽減。

・Include/Exclude Files and Folders

下の「Files and Folders List」で指定した除外ファイルを含めるかどうか。

・Files and Folders List

除外ファイルの設定。

・Ignore File Types

スキャンを無視するファイルタイプ。

画像などのファイルが攻撃対象となることは非常にまれであり、既知のWordPress攻撃のほぼすべてがPHP、JSおよびその他のテキストファイルが対象となります。

・Email File Change Notifications

グローバル設定で設定したメールアドレスへ通知が送信されます。

・Display file change admin warning

WordPressダッシュボードでの通知設定。上記のメール通知とダッシュボードでの通知の両方を無効にすると管理者への通知手段がなくなるので注意。

「Hide Login Area」

ログインページなどのバックエンドを自動攻撃から発見しにくいようにする。

※利用中のサーバーの種類によっては正しく動作しない場合があります。

・Hide Backend

バックエンドの非表示機能を有効にします。

・Login Slug

ログインページのURLをデフォルトから変更する。

・Enable Theme Compatibility

テーマの互換性を有効にします。WP-adminとするにはログインしていないながら、行くときに、特に、非表示のバックエンドを使用しているとき、あなたのテーマの中でエラーが表示される場合、それらを修正するために、これをオンにします。（google翻訳そのまま）

・Theme Compatibility Slug

スラグは、テーマの互換モードが有効になっているときに人々をリダイレクトする（ちょうどそれがあなたのサイトに存在しないことを確認してください）​​。（google翻訳そのまま）

・Custom Login Action

WordPressは、多くのログインとログアウトの機能を処理するために”アクション”変数を使用しています。デフォルトでは、このプラグインは、通常のものが、（そのような民間のポストからログアウトなど）をカスタムアクションを利用することができるいくつかのプラグインやテーマを扱うことができます。カスタムアクションが必要な場合はここに入力してください。（google翻訳そのまま）

「Malware Scanning」

・Enable Malware Scanning

マルウェアスキャンを有効にします。

利用するにはVirusTotal.comよりAPIキーの取得が必要です。

「Secure Socket Layers(SSL)」

WordPressでSSLを利用できるようにします。

・Front End SSL Mode

フロントエンドのための安全なSSL接続（あなたのサイトのパブリック部）を有効にします。 「コンテンツ数」でこれをオンに、フロントエンドのSSL制御が無効になります。このオフにすると、選択したページやブログ記事でSSLをオンにすることができます（パブリッシュ設定の近く）のすべての投稿やページの編集ページでチェックボックスを配置し、うあなたはそれを使用する本当に良い理由がない限り、「全サイト」とは、SSLを使用するようにサイト全体を強制的に選択する（推奨されません）（google翻訳そのまま）

・SSL for Login

すべてのログインに対してSSLで接続。

・SSL for Dashboard

ダッシュボードへのログインに対してSSLで接続。

「Strong passwords」

・Strong Passwords