So läuft es ab: Die Seite ist nachts langsam, und niemand weiß warum. In den Logs stehen Hunderte Anfragen an wp-login.php von wenigen Adressen, mit Benutzernamen wie admin oder dem Domainnamen. Das ist ein Brute-Force-Angriff auf WordPress: keine Lücke, die ausgenutzt wird, nur Versuche, bis ein Passwort nachgibt.
Was das Plugin tut, wenn der Angriff beginnt
Jeder fehlgeschlagene Login wird festgehalten: IP, versuchter Benutzername, Ergebnis, Uhrzeit. Das Passwort nie. Überschreitet eine IP die von Ihnen festgelegte Schwelle, fügt das Plugin eine Regel zu .htaccess hinzu (kompatibel mit Apache 2.4 und 2.2), und ab diesem Moment enden die Anfragen dieser Adresse am Webserver. WordPress wird nicht einmal geladen, die Seite kann wieder durchatmen.
Bei einem Brute-Force-Angriff auf WordPress zählt ein Detail: Der Zähler ist eine atomare Operation in der Datenbank. Hundert Versuche im selben Augenblick zu schicken, lässt die Schwelle nicht umgehen.
Wo Sie sehen, was passiert ist
Unter Einstellungen › Cisilino Site Defense Network finden Sie den Reiter der gesperrten IPs, mit Filter, und die Liste der letzten 50 Erkennungen. Hat sich ein Kunde bei einem Brute-Force-Angriff auf WordPress selbst ausgesperrt, klicken Sie in der Zeile auf „Entsperren“, fertig.
Brute-Force-Angriff auf WordPress über viele IPs
Die Sperre pro IP hat eine bekannte Grenze: Kommt der Brute-Force-Angriff auf WordPress von Hunderten verschiedener Adressen, muss jede erst die Schwelle überschreiten. Mit dem Cisilino-Netzwerk wird eine IP, die auf einer anderen Seite Ihres Kunden schon gescheitert ist, gesperrt, noch bevor sie ankommt. Verwenden Sie in jedem Fall unauffällige Benutzernamen und lange Passwörter. Das Plugin nimmt das Rauschen weg, macht aber kein schwaches Passwort stark.
Auf nginx-Hosting protokolliert das Plugin die Versuche, kann die Regel aber nicht auf Serverebene schreiben. Welche Gegenmaßnahmen es allgemein gibt, beschreibt OWASP unter Blocking Brute Force Attacks.
Häufig gestellte Fragen
Wie stoppt man einen Brute-Force-Angriff auf WordPress?
Indem man fehlgeschlagene Logins pro IP zählt und sperrt, wer eine Schwelle überschreitet. Das Plugin tut das mit einer Regel in .htaccess, sodass die Anfrage vor WordPress endet.
Speichert das Plugin die ausprobierten Passwörter?
Nein. Es erfasst IP, versuchten Benutzernamen, Ergebnis und Uhrzeit, nie das Passwort.
Kann ich eine irrtümlich gesperrte IP entsperren?
Ja, in der Liste der gesperrten IPs mit der Schaltfläche Entsperren in jeder Zeile.
Schreibe einen Kommentar