こんにちは。HACKNOTEのohnoです。
WP Security Audit Logとは
WordPressではデフォルトに操作ログを残す機能はありません。
WP Security Audit LogはWordPressで操作があった場合にログを記録するプラグインで、有効インストール数は80,000を超えて使用されているようです。
残してくれるログは、
・ステータス、コンテンツの変更、タイトル、URL、日付、カスタムフィールドの変更
・投稿、ページ、カスタム投稿の種類の変更
・パスワード、電子メール、表示名、ロールの変更などのユーザープロファイルの変更
・ログイン、ログアウト、ログイン失敗、他のセッションの終了などのユーザーアクティビティ
・インストールされたアップデート、パーマリンク、デフォルトの役割、URL、その他のサイト全体の変更など、WordPressのコアと設定の変更
など、一般的な操作であれば記録してくれるので、あとあと「この設定をいれたのいつ！？」となった時に原因を調査することが出来ます。
また、ログを見れる人間に制限も設けられるので、他の管理者の人には見せないようにすることも出来ます。
今回はこちらの使用方法を簡単に解説したいと思います。
インストール
今回は現行最新のWordPressのバージョン5.1にインストールして動作させてみます。
まずは管理画面からプラグイン→検索窓に「WP Security Audit Log」を入力
インストールが完了し、有効化をするとこんな表示がでるかと思います。
Thank you very much for using the WP Security Audit Log plugin. We have created a wizard to ease the process of configuring the plugin so you can get the best out of it. Would you like to run the wizard?
設定を半自動で行うかの確認ですね。Noにして必要があれば後で設定することとします。
動作確認
ONにした直後は特に何もログが書き出されていません。
この後にユーザーを投稿者として新規追加、ユーザーでログイン後に記事を投稿してみました。
管理者で再度ログインすると、TOPの表示が以下の用に変わります。
ユーザーがログイン・ログアウト、操作をしたログが表示されていることがわかると思います。
パーマリンク設定を変更してみる
別の管理者ユーザーでパーマリンクの設定を変更した後、再度ログを確認してみます。
Changed the WordPress permalinks from HOGEHOGE
と、変更された旨、どのユーザーが行ったのかが確認できることがわかります。
重要な設定の変更はクリティカルとして「!」マークがつくのでわかりやすく見つけることができるかと思います。
特定ユーザーのみプラグインを見れるようにする
初期設定の状態では管理者権限全員にプラグインからログを確認できるよう設定されています。
しかし、複数管理者がおり、ログを確認できるのは自分だけでいいといったケースもあるかと思います。
設定を変えることで自分のみ確認できるようにしてみましょう。
Audit Logからsettingを選択。
「Restrict Plugin Access」の項目をonly meに変更します。
変更後、別の管理者でログインしてみると
WP Security Audit Logが表示されていないことが確認できます。
この場合でも、プラグインの操作できるユーザーの場合には停止できることには注意しておきましょう。
(一応そのログは再度ONにすれば確認出来ます。)
まとめ
以上が簡単なWP Security Audit Logの使い方です。
何か問題が起きた時に、いつ・だれが行ったのかがわからないと改善が難しいため、こちらのプラグインを入れてチェックできるようにしておきましょう。
