不正アクセス対策!ユーザーの行動を記録する無料プラグイン

ブログ記事内に広告リンクを含む場合がございます。

「誰かが不正にログインしてるっぽい。」

「自分以外の管理者が、何か変更しているのけど何をしたんだろ？」

そんな時に役立つのが、監視プラグインです。

ワードプレスにはたくさんの監視プラグインが無料で公開されています。

ログインの記録、システムの変更等、ワードプレスにログインしたユーザーの記録を記録できるプラグインをご紹介します。

定番無料プラグイン「WP Security Audit Log」

WP Security Audit Logプラグインで記録できるWordPressユーザーの行動

ログインしたユーザーの下記行動を記録し、管理画面から閲覧できる。

新規ユーザーの登録
ユーザープロフィール更新
マルチネットワーク利用時のサイトの削除
画像データのアップロード、削除
ユーザーのパスワード、登録メールアドレス変更
プラグインのインストール、有効化、無効化、削除
投稿、カスタム投稿、固定ページ、カテゴリーの新規作成、編集、削除
投稿、カスタム投稿、固定ページのカスタムフィールドの更新、削除
ウィジェットの追加、削除、更新
テーマの変更
WordPressコアファイルのアップグレード
ログイン失敗
その他

各行動は、インスタンスとしてアラートID（一意の番号）、日時、ユーザー、アクセス元のIPアドレス、行動の内容が保存されます。

WP Security Audit Logプラグインのインストール、設定

一般的なプラグインと同じです。ダッシュボードのプラグインから追加するか、WordPress公式プラグインディレクトリーからダウンロード後、FTPでサーバーにアップロード。プラグインディレクトリーで検検索の際は「WP Security Audit Log」で検索すると表示されます。有効化するだけで動作します。

プラグインを有効化するとダッシュボード上に管理メニューが表示され、オプション項目を設定できます。基本的な機能は無料で利用できます。一部の機能は有料です。

有料の機能アドオンとして提供されているものとして、メールでの通知機能（アラート）、レポート、ログの検索機能などがあります。

WP Security Audit Logの使いどころ

WP Security Audit Logは「誰」が「何」をしたかを特定できるプラグインです。不正アクセスの監視だけでなく、複数の管理者・編集者がいるサイト上での運用にも使えます。

またサイトが表示されないなどのトラブル発生時に、問題の原因の特定をする際にも役立つでしょう。

サイト内部の出来事を詳細に保存する無料プラグイン「Stream」

Streamプラグインで記録できるWordPressユーザーの行動

複数の管理者、編集者がいる場合におススメなプラグイン「Stream」。

「誰」が「何を」「いつ」したか？を記録します。
記録の対象は以下の通り広範囲。記録は管理画面から閲覧可能。管理画面上でユーザー、日時、行動ごとにフィルターし確認したい情報を簡単に閲覧できます。

投稿
固定ページ
カスタム投稿タイプ
ユーザー
テーマ
プラグイン
タグ
カテゴリー
カスタム分類
セッティング
カスタム背景
カスタムヘッダー
メニュー
メディアライブラリー
ウィジェット
コメント
テーマエディター
WordPress Core Updates

例えば、〇〇ユーザーが△プラグインを何時に、どこのIPから有効化（無効化）したよー。
△ユーザーが、ページを編集したよー。といった具合です。

怪しい挙動はアラートで通知

Streamプラグインにはアラート（管理者への通知）機能が搭載されています。「誰が何をした場合は通知」といった細かな設定を複数設定可能です。

ログイン記録は保存されない

Streamプラグインはログイン記録は保存しません。ログインしたユーザーの行動を記録するプラグインです。それって不正ユーザー対策になるの？という疑問があるかもしれません。

不正にログインに成功したユーザーの行動についてはIPアドレスを含め記録すること出来ます。普段アクセスするIP以外の記録があった場合は要注意です。システムに影響を与える行動等が記録されます。不正アクセスユーザーがページの情報を変えている場合や、バックドアを仕掛けた場合にこれらの行動を把握できます。

複数の管理者・ユーザーがサイトを運営している場合に便利

不正ユーザーの行動を記録する以外にも用途があります。複数の管理者がいるサイトや、会員サイトなどでユーザーの行動を記録したい場合に便利なプラグインです。

ログイン記録を保存するSimple Login Logプラグイン

Simple Login Logプラグインのインストール、設定方法

一般的なプラグインと同じです。ダッシュボードのプラグインから追加するか、WordPress公式プラグインディレクトリーからダウンロード後、FTPでサーバーにアップロード。プラグインディレクトリーで検検索の際は「Simple Login Log」ると表示されます。インストール後、有効化するだけでプラグインが動作します。細かな設定はありません。

Simple Login Logプラグインで記録できる内容

ユーザーのログイン情報（成功、失敗）を記録するプラグイン。記録できる情報は、ログインしたユーザーのUser ID、Username、ユーザー権限、ログインした日時、ログイン元のIPアドレス、ログインに成功したか、失敗したか。
それらの記録データをCSVファイルにして出力。

機能的に非常にシンプル。ユーザーの行動を全て記録する必要はなく、ログインした日時やログイン元の情報のみを記録したい管理者向けのプラグイン。

ブルートフォースアタックのログは保存できない！

保存する情報は、サイトに実在するユーザーアカウントのみ。

例えばサイトにadminというユーザーアカウントが存在している状況で、adminでログインを試みた場合にログイン記録が保存されます。仮にadminというユーザーアカウントが存在しない場合は、ログインを試みた記録は保存されません。不要な情報は保存しないというスタンスであれば無駄が無いプラグインと解釈できます。ただし、ブルートフォースアタックのような不正アクセスを試みる動きを保存することは出来ません。