Cum să gestionezi creșterea încercărilor de login eșuate și atacurile brute force?

În prezent există un botnet activ care atacă site-uri WordPress și Joomla. Și probabil și altele. Ar trebui să vedeți mai multe încercări de autentificare blocate. Dacă nu se întâmplă acest lucru, probabil ceva nu funcționează corect.

Dar fiți atenți, blocarea adreselor IP nu ajută împotriva unei rețele de bot-uri cu peste 90.000 de adrese IP.
Și dacă faceți acest lucru prin intermediul unui plugin, evitați Limit Login Attempts. Acesta stochează adresele IP într-o opțiune serializată care trebuie deserializată la fiecare solicitare. Acest lucru este foarte costisitor și lent.
Găsiți un plugin care utilizează o tabelă de baze de date separată sau blocați adresele IP în fișierul .htaccess astfel:

order allow,deny
# top 30 IP addresses listed in 
# http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html
deny from 31.184.238.38
deny from 178.151.216.53
deny from 91.224.160.143
deny from 195.128.126.6
deny from 85.114.133.118
deny from 177.125.184.8
deny from 89.233.216.203
deny from 89.233.216.209
deny from 109.230.246.37
deny from 188.175.122.21
deny from 46.119.127.1
deny from 176.57.216.198
deny from 173.38.155.22
deny from 67.229.59.202
deny from 94.242.237.101
deny from 209.73.151.64
deny from 212.175.14.114
deny from 78.154.105.23
deny from 50.116.27.19
deny from 195.128.126.114
deny from 78.153.216.56
deny from 31.202.217.135
deny from 204.93.60.182
deny from 173.38.155.8
deny from 204.93.60.75
deny from 50.117.59.3
deny from 209.73.151.229
deny from 216.172.147.251
deny from 204.93.60.57
deny from 94.199.51.7
deny from 204.93.60.185

allow from all

Consultați și:

• Codex: Atacuri prin Forță Brută
• Protecție la Autentificare cu .htaccess de Ipstenu (Mika Epstein)
• Reguli ModSecurity Personalizate pentru WordPress de Liquid Web
• Protejarea Împotriva Atacurilor prin Forță Brută pe WordPress de Sucuri Blog, de asemenea: Atacuri Masive prin Forță Brută pe WordPress? – Mit sau Realitate cu detalii statistice interesante
• Cum să Protejezi cu Parolă Fișierul wp-login.php de HostGator

Tag-ul nostru despre securitate merită, de asemenea, o privire, în special:

• Cum verific că am eliminat complet un hack pe WordPress?
• Securizarea Conturilor de Administrator - Descoperirea Numelelor de Utilizator
• Cum știe cel care folosește forța brută că parola a fost spartă pentru un anumit nume de utilizator?

Dacă ați mutat wp-admin sau wp-login.php, aceste URL-uri pot fi încă ghicite adăugând /login sau /admin la URL-ul principal. WordPress va redirecționa aceste solicitări către locația corectă.
Pentru a opri acest comportament, puteți utiliza un plugin foarte simplu:

<?php  # -*- coding: utf-8 -*-
/* Plugin Name: No admin short URLs */

remove_action( 'template_redirect', 'wp_redirect_admin_locations', 1000 );

Cred că acesta este un exemplu de securitate prin obscuritate – nimic serios.

Pe lângă resursele enumerate de toscho în răspunsul său, ai putea folosi și Autentificarea HTTP de bază din PHP pentru a proteja cu parolă wp-admin și/sau wp-login.php, blocând astfel accesul la wp-login.php.

Tocmai am lansat un plugin care face asta pentru tine, împreună cu blocarea cererilor No-Referrer. (Blocarea No-Referrer nu funcționează în prezent pentru site-urile instalate într-un subdirector).

Puteți proteja panoul de administrare WordPress urmând aceste metode.

1. Adăugați numere, caractere speciale și litere în parola de administrator pentru a crea o parolă puternică
2. Dacă aveți multe înregistrări în baza de date, acest lucru poate încetini site-ul. Puteți evita acest lucru adăugând un captcha cu imagini pe pagina wp-admin. Există plugin-uri disponibile pentru aceasta, cum ar fi https://wordpress.org/plugins/wp-limit-login-attempts/