Sperrschwelle WordPress: der Reiter Allgemein

Die Sperrschwelle WordPress entscheidet, nach wie vielen fehlgeschlagenen Logins das Plugin eine IP blockiert. Der Reiter Allgemein zeigt dir auch die zuletzt erkannten Versuche. Hier lernst du, sie zu lesen und zu verstehen, warum eine IP blockiert oder nur beobachtet wird.

Wo du es findest

Öffne Einstellungen und dann „Cisilino Site Defense Network“ (Punkt 1 im Bild). Der Reiter „Allgemein“ (Punkt 2) öffnet sich zuerst. Oben auf der Seite steht eine Zeile mit Zählern: „Lokal blockierte IPs“, „Vom Panel empfangene IPs“ und „IPs aus der optionalen Sicherheitsliste“. Darunter hat der Reiter vier Abschnitte. Punkt 3 ist „Letzte Aktivitäten“, Punkt 4 „Lokale IP-Overrides“, Punkt 5 „Vertrauenswürdige IPs (Whitelist)“ und Punkt 6 „Überwachung der Datei-Uploads“.

In diesem Kapitel behandeln wir Punkt 3 und die Schwelle. Das manuelle Sperren und Entsperren und die Whitelist (Punkte 4 und 5) stehen in Kapitel 5. Die Überwachung der Uploads (Punkt 6) steht in Kapitel 8.

Das Protokoll der letzten Aktivitäten

Der Abschnitt zeigt die „Letzten 50 auf dieser Website erkannten fehlgeschlagenen Login-Versuche.“ Das sind die Spalten.

• „IP“: die Adresse, von der die Versuche kommen.
• „Versuchter Benutzername“: der letzte von dieser IP ausprobierte Benutzername.
• „Versuche“: die Gesamtzahl der fehlgeschlagenen Logins dieser IP.
• „Status“: „Blockiert“ oder „Beobachtet“.
• „Zuletzt gesehen“: Datum und Uhrzeit, in der Zeitzone der Website.

Achte auf ein Detail: Es gibt eine Zeile pro IP, nicht eine Zeile pro Versuch. Probiert dieselbe IP zehn verschiedene Namen, siehst du eine einzige Zeile mit „Versuche“ auf 10 und dem letzten versuchten Namen. Gibt es nichts zu zeigen, liest du „Keine Ereignisse erfasst.“

„Beobachtet“ heißt, die IP hat einige Logins nicht geschafft, aber die Schwelle noch nicht erreicht. Auch beobachtete IPs werden an das Panel gesendet, wenn du die Verbindung aus Kapitel 3 eingerichtet hast.

Wie die Sperrschwelle WordPress funktioniert

Der Wert wird im Reiter „Remote-Einstellungen“ eingestellt, im Feld „Lokale Sperrschwelle (fehlgeschlagene Versuche)“. Der Standardwert ist 10. Das Feld des Formulars akzeptiert 3 bis 100, aber nur der Browser erzwingt das: Der Server prüft die Grenzen nicht, und ein leerer Wert oder 0 wird zu 10. Bei jedem fehlgeschlagenen Login liest das Plugin die IP, erhöht den Zähler dieser Zeile und prüft die Summe. Erreicht die Summe die Schwelle, wechselt die Zeile zu „Blockiert“. Die Datei .htaccess wird sofort neu geschrieben, ohne auf die Synchronisierung zu warten. Auf einem Server, der .htaccess ignoriert, zum Beispiel nginx, hat die Blockade keine Wirkung auf den Datenverkehr.

Technisches Beispiel: Bei Schwelle 3 lassen zwei fehlgeschlagene Versuche von 203.0.113.7 sie „Beobachtet“. Der dritte blockiert sie.

Die Schwelle gilt auch ohne Panel. Die Verbindung dient nur dem Austausch von IP-Listen, nicht der lokalen Blockade.

Die Schwelle ist kumulativ

Das ist der überraschendste Punkt an der Sperrschwelle WordPress. Der Zähler hat kein Zeitfenster und setzt sich nicht zurück. Jeder fehlgeschlagene Login summiert sich zu den vorherigen, auch wenn Wochen vergangen sind. Ein Mitarbeiter, der ab und zu das Passwort falsch eingibt, kann mit der Zeit die Schwelle erreichen und von der Website ausgeschlossen bleiben.

Achtung: Für Netzwerke, die du kennst (Büro, Standort), nutze die Whitelist aus Kapitel 5. IPs in der Whitelist werden nicht einmal gezählt. Ein manuelles Entsperren („Immer entsperren“) hält die IP aus .htaccess heraus, solange der Override existiert, setzt aber den Zähler nicht zurück, und die Zeile bleibt „Blockiert“. Läuft der Override ab oder entfernst du ihn, wird die IP wieder blockiert.

Um zu verstehen, warum das reine Zählen der Versuche als Abwehr nicht ausreicht, findest du eine nützliche Anleitung auf der OWASP-Seite zum Blockieren von Brute-Force-Angriffen, die Vor- und Nachteile automatischer Sperrungen erörtert.

Das Risiko von Proxy oder CDN

Das Plugin liest die Adresse des Besuchers nur aus REMOTE_ADDR. Es ignoriert absichtlich Header wie X-Forwarded-For, weil ein Angreifer sie fälschen kann. Steht die Website hinter einem Proxy, einer CDN oder einem Load Balancer, kann REMOTE_ADDR die IP des Proxys sein und nicht die des Besuchers.

Achtung: In diesem Fall würden alle fehlgeschlagenen Logins derselben IP zugeschrieben. Erreicht die Schwelle, könntest du die IP des Proxys blockieren und mit ihr alle Besucher. Prüfe die Zeile „IP“ im Protokoll: Siehst du immer dieselbe Adresse, auch bei verschiedenen Benutzern, befindest du dich in dieser Situation. Die IP des Proxys in die Whitelist zu setzen, entsperrt die Besucher, aber ab diesem Moment wird kein fehlgeschlagener Login mehr gezählt, der von dort kommt: Die Blockade wiederholter Versuche hört auf zu funktionieren. Nutze eine vorgeschaltete Abwehr (am Proxy oder an der CDN) und verlass dich nicht nur auf die Schwelle.

Wenn etwas nicht funktioniert

• Ein berechtigter Benutzer gilt als „Blockiert“: Füge sein Netzwerk zur Whitelist hinzu und entsperre ihn wie in Kapitel 5 beschrieben.
• Du siehst immer dieselbe IP bei verschiedenen Personen: Vermute einen Proxy, wie oben beschrieben.
• Du willst die Sperrschwelle WordPress ändern: Geh zu „Remote-Einstellungen“, ändere das Feld und klicke auf „Speichern und Verbindung prüfen“. Hast du kein Panel, bleiben die Felder der Verbindung leer.

Die Sperrschwelle bleibt lokal: Du entscheidest, wie streng du sein willst.

Vorheriges Kapitel: Das Plugin mit dem Panel verbinden: Remote-Einstellungen. Nächstes Kapitel: Sperren, Entsperren und Whitelist: die manuellen Overrides. Das vollständige Inhaltsverzeichnis steht in Kapitel 1.