Bună ziua tuturor. Astăzi am decis să scriu un articol detaliat cu privire la modul în care puteți să vă protejați blogul de atacul hackerilor sau al altor roboți. Am scris deja despre asta, dar mai recent am împins cu un atac asupra blogului, care se desfășoară de aproape o săptămână. Ca urmare, blogul meu a fost adesea indisponibil sau încărcat pentru o perioadă foarte lungă de timp și, după cum înțelegeți, acest lucru afectează imediat pozițiile.
Pentru diferite moduri de a proteja blogul, puteți citi într-o serie de articole:
- 5 moduri de a vă proteja blogul pe WordPress
- Înfrângerea oricărui atac hacker
Deci, am aflat despre atacul datorat metodei Yandex Metrics, care se află pe site. Din acestea am primit această scrisoare:
A început să verifice totul. M-am dus la panoul de admin al găzduirii și am văzut această imagine:
Aici puteți vedea că există atacuri de la o adresă IP și sunt mascate pentru bug-urile Google. Și atacul trece prin xml-rpc. Îți spun cum să scapi de tot.
Serviciul de asistență al McHost mi-a recomandat să instalez iThemes Security (anterior Better WP Security).
Configurarea pluginului iThemes Security
Scrie despre ceea ce poate face și ce este necesar, nu o voi face. Doar spuneți că există mai mult de 30 de setări care vă vor ajuta să vă asigurați blogul.
Puteți descărca plugin-ul aici. sau prin panoul de administrare al blogului: pluginuri> adăugați noi> în căutare introduceți iThemes Security și instalați pluginul și activați-l.
Când intrați în setări, veți vedea următorul panou:
Mai jos sunt recomandările care trebuie corectate. Ele sunt împărțite după gradul de importanță. Red a subliniat că este necesar să se corecteze, galben - se recomandă să remediați, albastru - ceva care nu poate fi corectat. Opus fiecare element este butonul "fixați-l". Nu vă recomand să faceți clic pe el. Vom face totul cu mâna.
Accesați fila Setări. Aici puteți adăuga IP-ul dvs. la lista albă pentru confortul muncii dvs. Faceți clic pe buton și asta este.
Setări globale
Înainte de a face ceva, faceți o copie de siguranță a bazei de date și copiați toate fișierele pe computer.
După configurarea fiecărei secțiuni, suntem siguri că salvați> salvați modificările.
Scrieți fișierele - puneți aici o verificare, permițând pluginului să facă schimbări în fișierele wp-config și htaccess.
Mesaj de blocare gazdă - acesta afișează un mesaj care va fi afișat când gazda sau computerul este blocat.
Mesajul de blocare a utilizatorilor - un mesaj care este afișat utilizatorului blocat.
Următoarele sunt cele mai importante setări.
Lista de vizionări pe lista neagră - câte zile IP este adăugat la lista neagră.
Perioada de blocare - timpul în minute pentru care utilizatorul sau gazda este blocat în timpul încălcărilor primare (fără adăugarea la lista neagră). Ie dacă cineva selectează fără succes parola în panoul de administrare, atunci este temporar blocat timp de 15 minute. Dacă după aceea continuă încercarea și primește încă 2 interdicții temporare, atunci gazda sau utilizatorul este trimis la lista neagră.
Tipul logului - aici am pus doar fișierul, pentru a nu supraîncărca baza de date.
Calea către fișierele jurnal este calea către fișierul jurnal. Aici totul este pus automat.
Elementele rămase nu sunt notate.
Ascundeți meniul de securitate în bara de administrare - veți avea fila Securitate în panoul de administrare din partea de sus. Dacă nu doriți să o vedeți, bifați această căsuță.
Cu setările globale sortate. Trecem mai departe.
Detectarea 404 - Detectarea erorilor 404
Pluginul ține evidența celor care au în mod repetat o eroare de 404. Dacă acest lucru se întâmplă foarte des, plug-in-ul înțelege că utilizatorul scanează site-ul pentru anumite scopuri și îl blochează.
Iată informațiile de bază privind blocarea, pe care le-am specificat în setările globale.
Detectarea 404 - puneți o bifă, adică activați funcția pentru a determina astfel de erori.
Minutele de reținut 404 - numărul de minute în care sunt înregistrate loacuturile. Eu am pus 10. De exemplu. Dacă un bot începe să scaneze site-ul pentru vulnerabilități într-un minut și primește 404 de erori, atunci durează o pauză și după un minut începe din nou, în curând va primi o interdicție.
Dacă a scanat site-ul timp de un minut și apoi a plecat timp de 10 minute, atunci când scanează site-ul din nou, acesta va fi recunoscut ca fiind nou. De asta am pus 10 minute.
Eroare de eroare - numărul de erori după care gazda este blocată. În valoare de 20.
404 Lista albă a fișierelor / folderelor - plugin-ul de aici a înregistrat fișierele și folderele implicite, care pot afișa de obicei eroarea 404, astfel că nu le va lua în considerare. Dacă știți că pe blogul dvs. un anumit dosar produce o eroare de 404, atunci îl puteți aduce aici. Am lăsat totul implicit
Tip de fișier ignorat - tipurile de fișiere care vor fi ignorate.
Utilizatori interzisi - Utilizatori blocați
Lista neagră implicită - această funcție vă permite să refuzați accesul la gazde și la Agentul utilizator din anumite site-uri care au fost prinse în atacuri spam. Acesta este proiectat de portalul HackRepair. Nu am început încă, pentru că acolo în listele descoperite Agentul utilizator, numit Yandex. Experimentul nu a făcut-o.
Protecția împotriva forței brute - protecția împotriva atacurilor puternice
Asigurați-vă că ați bifat funcția Activați Protecția Forței Brute Forței Locale.
Încercările de conectare maximă pe gazdă - numărul maxim de accesări ale unui site pentru o gazdă. Am pus de 5 ori. Dacă cineva încearcă să introducă un login sau o parolă incorecte de 5 ori consecutiv, atunci o astfel de persoană este blocată.
Încercări de conectare maximă pe utilizator - încercări pentru un utilizator individual.
Minutele pe care trebuie să le reții Atenție de conectare - cât de mult timp un plugin îți va aminti încercările nereușite de a accesa blogul tău.
Blocarea automată a utilizatorului "admin" - pluginul va bloca automat utilizatorii care intră în administratorul de nume implicit.
Asigurați-vă că ștergeți numele de utilizator ca administrator, deoarece Acest login vă este dat în mod implicit, atunci când începeți un blog. Toți hackerii știu asta.
Baza de date - copii de siguranță ale bazei de date
Backup Full Database - puneți o bifă pentru o copie de rezervă completă a bazei de date.
Locație de rezervă - copii ale bazelor de date vor fi stocate aici dacă ați ales Salvare locală.
Asigurați-vă că ați bifat Comprimare fișiere de rezervă. Fișierele bazei de date vă vor fi trimise prin poștă într-o formă comprimată.
Excludeți tabelele - aici puteți specifica tabele care nu vor fi salvate în baza de date. Acestea pot fi tabele create de orice plug-in-uri. În mod prestabilit, tabelele create de pluginul iThemes Security sunt incluse aici. Nu am adăugat nimic aici. Dacă știți sigur că unele mese nu sunt necesare pentru salvare, le puteți adăuga aici.
Programarea copiilor de rezervă ale bazei de date - activați funcția de creare de copii de rezervă la un program.
Interval de backup - interval. Am pus-o la fiecare 3 zile. Puteți să o puneți în fiecare zi.
Detectarea modificărilor fișierelor
Această funcție vă permite să definiți modificările aduse fișierelor. Plug-in-ul le scanează și determină modificările efectuate de la ultima scanare. Nu am activat încă această funcție, dar o puteți face.
Split File File Scanning - această funcție vă permite să împărțiți scanarea în 7 părți, adică de tati. Astfel, o distribuție uniformă a scanării va fi efectuată pe tot parcursul zilei, ceea ce va reduce povara pe blog.
Include / Exclude fișiere și foldere - adaugă / exclude dosare și fișiere pentru scanare. De exemplu, dacă aveți un plugin de cache, atunci dosarul în care sunt salvate fișierele este cel mai bine exclus din scanare, deoarece Pluginul va detecta în mod constant modificările și e-mailul va fi inundat de mesaje. Când plasați cursorul într-un fișier sau într-un dosar din lista Fișiere și foldere, veți vedea un semn minus în cercul roșu. Selectați dosarul cache și faceți clic pe el. Nu aveam un astfel de dosar.
Aici specificați tipurile de fișiere care vor fi ignorate. În mod implicit, unele dintre ele sunt deja listate acolo.
E-mail notificări de schimbare a fișierelor - veți fi notificat prin e-mail cu privire la modificările pe care le faceți. Dacă nu au fost făcute de dvs., atunci va trebui să verificați.
Afișarea fișierelor de afișare a fișierelor de avertizare - în panoul de administrare al blogului va apărea un avertisment că unele fișiere au fost modificate.
Ascundeți Backend - activați funcția.
Restul este lăsat implicit.
Malware Scanning - scanare malware
Această caracteristică vă permite să scanați tema pentru software rău intenționat. Va trebui să obțineți cheia API din link. Înregistrați-vă pe virustotal.com și obțineți cheia. Nu am activat această funcție, adică puteți verifica manual site-urile specializate. În plus, am un plugin separat.
SSL criptare
Nu am inclus această funcție, deoarece nu am protocolul SSL. Sunt sigur că nu aveți așa ceva, așa că nu activați această caracteristică. Puteți citi despre acest protocol în articolul meu.
Parole puternice - parole puternice
Cum de a veni cu parole de încredere, puteți învăța din articolul meu: cum să veniți cu o parolă puternică.
Activați funcția de creare forțată a parolelor puternice. Specificăm rolul minim pentru care ar trebui inventată o parolă bună. Am pus Administratorul (puteți să păstrați parolele în keepass sau roboform).
System Tweaks - reglarea fină a sistemului
Acestea sunt setări suplimentare pentru o protecție și mai fiabilă. Aici nu cred cu tărie nimic. Doar faceți-o așa cum se arată în imagine.
WordPress Tweaks - Tweaks WordPress
Aceasta este, de asemenea, o setare suplimentară.
Generator Meta Tag - elimină generatorul meta tag din fișierul header.php, adică Hackerul nu va cunoaște versiunea dvs. de WordPress.
EditURI Header - elimină antetul RSD (Really Simple Discovery). Dacă nu ați integrat blogul cu servicii XML-RPC la distanță, cum ar fi Flickr, atunci această caracteristică nu este necesară. Eu, doar pentru caz, am activat-o.
Afișare versiune aleatorie - această funcție, în cazul în care ar trebui afișată versiunea WordPress, o va înlocui cu una arbitrară. Și unde poate fi șters, va fi șters.
Înlocuiți jQuery Cu o versiune sigură - înlocuiți jQuery cu o versiune sigură. Aici nu am făcut nimic; nu înțelege destul de ce avea nevoie de ea. Nu am putut determina deloc jQuery. În general, a rămas neschimbată.
Mesaje de eroare de conectare - dezactivați mesajele de eroare atunci când utilizatorul nu se poate conecta.
Force Unic Nickname - forțează utilizatorilor să vină cu nume unice, astfel încât să nu se potrivească cu cele folosite de bots sau hackeri.
Dezactivați arhivele utilizatorilor extra - dezactivează arhivele utilizatorilor dacă există 0 intrări.
Setările de bază se fac. În secțiunea Avansat, vă recomandăm să faceți următoarele. Modificați sărurile WordPress. Bifați caseta și faceți clic pe "Schimbați". Puteți citi despre ele în detaliu pe Internet.
Și încă un punct. Asigurați-vă că modificați prefixul din tabelele bazei de date. În mod prestabilit, au acest prefix wp_. Asigurați-vă că faceți o copie de siguranță a bazei de date. Bifați caseta de selectare și schimbați "prefixul".
Setarea noastră este aproape completă. Accesați pagina principală a pluginului și vedeți ce sa întâmplat. După toate setările, am un singur element marcat cu roșu. Aceasta este căutarea de programe malware. Nu recomand să faceți clic pe butonul Remediați.
Și ultimul moment. La sfârșitul paginii puteți vedea această imagine.
Dacă există mai multe IP-uri, atunci le vom scrie cu o nouă cronologie, așa cum este indicat în cod.
Cu sinceritate, Alexander Puzatykh