ブルートフォース（総当たり）ログイン対策の基本チェックリスト

まず数える

• 外から届くログインの入口（管理画面・会員ログイン・SSH・API）を書き出したか
• 入口ごとの失敗回数と、送信元IPの数を数えたか
• 心当たりのない成功ログインが混ざっていないか確認したか
• ログの送信元IPが、CDN・ロードバランサーのIPになっていないか確認したか

入口を絞る

• 触る場所が決まっている管理画面に、IP制限（またはBasic認証）をかけたか
• SSHのパスワード認証をやめ、鍵認証にしたか（新しい入口で入れることを先に確かめたか）
• 使っていないログインの入口（xmlrpc.php など）を、利用がないことを確かめてから止めたか

回数を制限する

• ログインURLに速度制限（limit_req など）をゆるめにかけ、正規の利用者が弾かれていないか見たか
• fail2ban などを入れる場合、自分の接続元を除外（ignoreip）したか
• 誤って弾いたときの解除方法を、手元のメモに控えたか
• アカウントロックを入れる場合、永久ではなく一時的・段階的にしたか

2つ目の鍵を足す（落ち着いたら）

• 管理者アカウントに二要素認証を入れたか（予備コードを先に用意したか）
• パスワードの使い回しがないか、十分な長さか見直したか
• 止めた入口・制限の値・解除の方法を、変更管理台帳に残したか

「まず数える」の4つが埋まっていれば、もう焦る段階ではありません。残りは1つずつで大丈夫です。

ログに並んだ失敗の行を見て、ぞっとしたのは、それだけ真剣に守っているからです。気づかなければ、ぞっとすることもありません。気づいた時点で、もう一歩目は踏み出しています。

総当たりの試行は、明日もたぶん来ます。それはあなたのせいではありません。ただ、入口を1つ絞るたびに、届く数は確実に減っていきます。

明日は、ログイン失敗を数えるところから始めてみませんか。数字が出ると、不安は「やること」に変わります。

ほかの実務ヒントは記事一覧からどうぞ。保守運用の小さな備えを、メールでも少しずつお届けしています。