KakapoWP
よくある侵入口は決まっています。XML-RPC、ユーザー名、ファイルエディター、ログインフォームです。Kakapo Security はこれらを塞ぎ、それでもコアに変更があれば通知します。
| チェック | 状態 |
|---|---|
| ログインの失敗回数を制限失敗した試行 5 回でロックします。 | 正常 |
| コアの整合性は正常検査したコアファイルはすべて wordpress.org と一致しています。 | 正常 |
| WordPress コアは最新WordPress コアの更新が利用できます。推奨: 保留中のコア更新をインストールしてください。 | 重大 |
| セキュリティヘッダー設定済みセキュリティヘッダーが有効になっていません。推奨: 「堅牢化」（ドイツ語：„Härtung“）でセキュリティヘッダーを有効にしてください。 | 公開 |
| 疑わしいファイルなし直近のスキャンでは疑わしいパターンは見つかりませんでした。 | 正常 |
同じ IP から失敗した試行が多すぎる場合、設定した上限を超えたところでしばらく打ち止めです。
詳しく見る →ログイン時のコード入力 — 全体で、または本当に必要なアカウントだけに。
詳しく見る →XML-RPC はオフ、ユーザー一覧は非公開、ファイルエディターはロック。スイッチ 3 つで、攻撃面が 3 つ減ります。
詳しく見る →既知の攻撃パターンを含むリクエストは WordPress まで届きません。ご希望であれば、スキャナーボットも同様です。
詳しく見る →コアは WordPress.org の本物のチェックサムと突き合わせられます。ずれがあれば必ず報告されます。
詳しく見る →ファイル内の疑わしいパターンを探し、検出結果ごとにパスと行番号を示します。
詳しく見る →ログインと失敗した試行 · ブロックされた IP アドレス
詳しく見る →SQL インジェクションのパターンをブロック · XSS、../、php:// を検知
詳しく見る →IP をブロックしたら通知 · コアファイルの変更を知らせる
詳しく見る →チェックサムは WordPress.org から直接取得 · 独自の照合リストは持ちません
詳しく見る →ファイルごとのチェックサム · 確定した基準に対して変更・新規・欠落
詳しく見る →wp-login.php の代わりに独自のパス · 切り替え前に確認リクエスト
詳しく見る →XML-RPC はオフにできます · 著者クエリ ?author= はリダイレクトされます
詳しく見る →失敗した試行が多すぎると IP をロック · 回数とロック時間は設定可能
詳しく見る →インストール環境のファイルを走査 · 疑わしいパターンを検索
詳しく見る →他サイトへの埋め込みを防ぐ X-Frame-Options · MIME 推測を防ぐ nosniff
詳しく見る →パスワードの後にコードを要求 · 全ユーザーに対して一括で有効化可能
詳しく見る →