管理画面を守る基本

管理画面が狙われる理由

管理画面に入れてしまえば、攻撃者はサイトの内容を自由に書き換えたり、個人情報を盗んだり、サーバーを他の攻撃の踏み台にしたりできます。そのため、管理画面のログインページは、サイトの中でも特に狙われやすい場所です。狙い方には、よく使われるパスワードを次々に試す「総当たり攻撃」や、他で漏れた ID・パスワードを試す「パスワードリスト攻撃」などがあります。

基本の考え方1：多要素認証（2段階認証）

IPA（情報処理推進機構）は、ID・パスワードに加えて、スマートフォンへの通知やワンタイムコードなど、もう一つの確認手段を組み合わせる「多要素認証」を勧めています。多要素認証では、記憶している情報（パスワード）・持っている物（スマートフォンなど）・本人の特徴（指紋など）のうち、2つ以上の要素を組み合わせます。IPA の説明では、「仮に ID と1つ目のパスワードを不正利用されても、それだけではログインはできない」ため、不正ログインの防止に効果があるとされています。管理画面で設定できる場合は、有効にしておきましょう。

基本の考え方2：ログイン試行回数の制限

一定回数パスワードを間違えると、一時的にログインを受け付けなくなる仕組みです。これがあると、プログラムで次々にパスワードを試す「総当たり攻撃」の効率を大きく下げられます。CMS（WordPress など）の中には、追加の機能（プラグイン）でこの制限を付けられるものがあります。設定できているか、保守会社に確認してみましょう。

基本の考え方3：管理画面へのアクセス制限

管理画面のログインページに、誰でもどこからでもアクセスできる状態にしておく必要は、必ずしもありません。会社のネットワークからのアクセスだけを許可する「IPアドレス制限」や、ログインページの場所（URL）を一般には知られにくくする工夫など、環境によって使える対策があります。どれが可能かはサーバーの環境によって異なるため、保守会社に相談しましょう。

基本の考え方4：使わなくなったアカウントの整理

退職した担当者や、使っていない制作会社のアカウントが、管理画面に残っていないか確認しましょう。アカウントが多く残っているほど、パスワードが漏れる・推測されるきっかけも増えます。管理画面のアカウント一覧は、定期的に見直すことをおすすめします。

何をすべきか

1. 管理画面で多要素認証（2段階認証）が使えるか確認し、使えるなら有効にする
2. ログイン試行回数の制限があるか、保守会社に確認する
3. アクセス制限（IPアドレス制限など）ができる環境か確認する
4. 管理画面のアカウント一覧を見直し、不要なアカウントを削除する

パスワードそのものの作り方・管理の仕方は、教材「パスワード管理の基本」で解説しています。

参考にした公開情報

• IPA：不正ログイン対策特集（多要素認証について）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。