Succede così: il sito è lento di notte e nessuno capisce perché. Nei log ci sono centinaia di richieste a wp-login.php da pochi indirizzi, con nomi utente come admin o il nome del dominio. È un attacco brute force su WordPress: nessuna falla da sfruttare, solo tentativi finché una password non cede.
Cosa fa il plugin quando parte un attacco brute force
Ogni login fallito di un attacco brute force viene annotato: IP, nome utente provato, esito, orario. La password no, mai. Quando un IP supera la soglia che hai impostato, il plugin Cisilino Site Defense Network aggiunge una regola al .htaccess (compatibile con Apache 2.4 e 2.2). Da quel momento le richieste di quell’indirizzo si fermano al web server. WordPress non viene nemmeno caricato, quindi il sito torna a respirare.
Un dettaglio che conta: il contatore è un’operazione atomica sul database. Mandare cento tentativi insieme, nello stesso istante, non permette di scavalcare la soglia.
Dove vedere cosa è successo
In Impostazioni › Cisilino Site Defense Network trovi la scheda degli IP bloccati durante un attacco brute force, con filtro, e l’elenco delle ultime 50 rilevazioni. Se un cliente si è bloccato da solo, “Sblocca” sulla riga e finisce lì.
Quando gli IP sono tanti
Il blocco per IP ha un limite noto. Se un attacco brute force arriva da centinaia di indirizzi diversi, ognuno deve prima superare la soglia. Con la rete Cisilino un IP già visto fallire su un altro sito del tuo cliente viene bloccato prima ancora di arrivare. In ogni caso, usa nomi utente non ovvi e password lunghe: il plugin toglie il rumore, ma non rende forte una password debole.
Su un hosting nginx il plugin registra i tentativi ma non può scrivere la regola a livello server. Per capire quali altre contromisure esistono, l’OWASP ha una guida sul blocco degli attacchi brute force.
Domande frequenti
Come si blocca un attacco brute force su WordPress?
Contando i login falliti per IP e bloccando chi supera una soglia. Il plugin lo fa scrivendo una regola in .htaccess, così la richiesta si ferma prima di WordPress.
Il plugin salva le password provate?
No. Registra IP, nome utente tentato, esito e orario, mai la password.
Posso sbloccare un IP bloccato per errore?
Sì, dalla lista degli IP bloccati con il pulsante Sblocca su ogni riga.
Lascia un commento