La soglia di blocco decide dopo quanti login falliti il plugin blocca un IP. La scheda Generale ti mostra anche gli ultimi tentativi rilevati. Qui impari a leggerli e a capire perché un IP risulta bloccato o solo osservato.
Dove si trova
Apri Impostazioni e poi “Cisilino Site Defense Network” (punto 1 dell’immagine). La scheda “Generale” (punto 2) è quella che si apre per prima. In cima alla pagina c’è una riga di contatori: “IP bloccati localmente”, “IP ricevuti dal pannello” e “IP dalla lista di sicurezza opzionale”. Sotto, la scheda ha quattro sezioni. Il punto 3 è “Log attività recenti”, il punto 4 “Override locali IP”, il punto 5 “IP attendibili (whitelist)” e il punto 6 “Sorveglianza caricamenti file”.
In questo capitolo trattiamo il punto 3 e la soglia. Il blocco e lo sblocco manuali e la whitelist (punti 4 e 5) sono nel capitolo 5. La sorveglianza dei caricamenti (punto 6) è nel capitolo 8.
Il log attività recenti
La sezione mostra gli “Ultimi 50 tentativi di login falliti rilevati su questo sito.” Le colonne sono queste.
- “IP”: l’indirizzo da cui arrivano i tentativi.
- “Username tentato”: l’ultimo nome utente provato da quell’IP.
- “Tentativi”: il totale dei login falliti di quell’IP.
- “Stato”: “Bloccato” oppure “Osservato”.
- “Ultima volta vista”: data e ora, nel fuso del sito.
Attenzione a un dettaglio: c’è una riga per IP, non una riga per tentativo. Se lo stesso IP prova dieci nomi diversi, vedi una sola riga con “Tentativi” a 10 e l’ultimo nome provato. Se non c’è nulla da mostrare, leggi “Nessun evento registrato.”
“Osservato” vuol dire che l’IP ha fallito qualche login ma non ha ancora raggiunto la soglia. Anche gli IP osservati vengono inviati al pannello, se hai fatto il collegamento del capitolo 3.
Come funziona la soglia di blocco
Il valore si imposta nella scheda “Impostazioni remote”, nel campo “Soglia blocco locale (tentativi falliti)”. Il valore predefinito è 10. Il campo del modulo accetta da 3 a 100, ma è solo il browser a imporlo: il server non controlla i limiti e un valore vuoto o 0 diventa 10. Per ogni login fallito il plugin legge l’IP, aumenta il contatore di quella riga e controlla il totale. Quando il totale raggiunge la soglia, la riga passa a “Bloccato”. Il file .htaccess viene riscritto subito, senza aspettare la sincronizzazione. Su un server che ignora .htaccess (per esempio nginx) il blocco non ha effetto sul traffico.
Esempio tecnico: con soglia 3, due tentativi falliti da 203.0.113.7 lo lasciano “Osservato”. Il terzo lo blocca.
La soglia vale anche senza pannello. Il collegamento serve solo a scambiare liste di IP, non a bloccare in locale.
La soglia è cumulativa
Questo è il punto che sorprende di più nella soglia di blocco. Il contatore non ha finestra di tempo e non si azzera. Ogni login fallito si somma ai precedenti, anche se sono passate settimane. Un collaboratore che sbaglia la password ogni tanto può arrivare, col tempo, alla soglia e restare fuori dal sito.
Attenzione: per le reti che conosci (ufficio, sede) usa la whitelist, descritta nel capitolo 5. Gli IP in whitelist non vengono nemmeno contati. Uno sblocco manuale (“Sblocca sempre”) tiene l’IP fuori da .htaccess finché l’override esiste, ma non azzera il conteggio e la riga resta “Bloccato”. Se l’override scade o lo rimuovi, l’IP torna bloccato.
Per approfondire perché il solo conteggio dei tentativi non basta come difesa, trovi una guida utile nella pagina OWASP su come bloccare gli attacchi brute force, che discute pro e contro dei blocchi automatici.
Il rischio del proxy o della CDN
Il plugin legge l’indirizzo del visitatore solo da REMOTE_ADDR. Ignora di proposito le intestazioni come X-Forwarded-For, perché chi attacca può falsificarle. Se il sito sta dietro un proxy, una CDN o un bilanciatore, REMOTE_ADDR può essere l’IP del proxy e non quello del visitatore.
Attenzione: in quel caso tutti i login falliti verrebbero attribuiti allo stesso IP. Raggiunta la soglia, potresti bloccare l’IP del proxy, e con lui tutti i visitatori. Controlla la riga “IP” del log: se vedi sempre lo stesso indirizzo, anche con utenti diversi, sei in questa situazione. Mettere in whitelist l’IP del proxy sblocca i visitatori, ma da quel momento nessun login fallito che passa da lì viene più contato: il blocco dei tentativi ripetuti smette di funzionare. Usa una difesa a monte (sul proxy o sulla CDN) e non fidarti della sola soglia.
Se qualcosa non va
- Un utente legittimo risulta “Bloccato”: aggiungi la sua rete alla whitelist e sbloccalo come spiegato nel capitolo 5.
- Vedi sempre lo stesso IP per persone diverse: sospetta un proxy, come descritto sopra.
- Vuoi cambiare la soglia di blocco: vai in “Impostazioni remote”, modifica il campo e clicca “Salva e verifica collegamento”. Se non hai il pannello, i campi del collegamento restano vuoti.
La soglia di blocco resta locale: decidi tu quanto essere severo.
Capitolo precedente: Collegare il plugin al pannello: Impostazioni remote. Capitolo successivo: Bloccare, sbloccare e whitelist: gli override manuali. L’indice completo è nel capitolo 1.
Lascia un commento