Wo du es findest

Öffne im Seitenmenü von WordPress Einstellungen > Cisilino Site Defense Network (Punkt 1 im Bild). Wähle dann den Reiter Allgemein (Punkt 2). Weiter unten findest du drei Abschnitte:

• Punkt 3: „Letzte Aktivitäten“.
• Punkt 4: „Lokale IP-Overrides“.
• Punkt 5: „Vertrauenswürdige IPs (Whitelist)“.

Nach jeder Aktion kehrst du immer zum Reiter Allgemein zurück, auch wenn du vom Reiter „Blockierte IPs“ gestartet bist. Die Bestätigungsmeldung erscheint dort.

Wozu es dient

Mit den Overrides kannst du die Sperrung oder Entsperrung einer einzelnen Adresse erzwingen, unabhängig von der Schwelle fehlgeschlagener Versuche und der vom Panel erhaltenen Liste. Sie gelten nur für diese Website: Sie werden nie an das Panel gesendet.

Die Whitelist dient einem anderen Zweck. Sie listet Adressen auf, die niemals als fehlgeschlagene Login-Versuche gezählt werden sollen, zum Beispiel das Netzwerk deines Büros.

Wie du es benutzt

Das Protokoll lesen (Punkt 3)

Der Abschnitt „Letzte Aktivitäten“ zeigt die „Letzten 50 auf dieser Website erkannten fehlgeschlagenen Login-Versuche.“ Die Spalten sind IP, Versuchter Benutzername, Versuche, Status und Zuletzt gesehen. Der Status ist „Blockiert“ oder „Beobachtet“. Es gibt eine Zeile pro IP, mit einem kumulativen Zähler, und der Benutzername ist der letzte ausprobierte. Gibt es nichts, liest du „Keine Ereignisse erfasst.“ Verwechsle diese Liste nicht mit dem Reiter „Aktivitätsprotokoll“, der ein anderes Thema ist.

Eine IP blockieren oder entsperren (Punkt 4)

Das ist der Teil, der zum Thema IP blockieren WordPress gehört.

1. Schreib in das Feld „IP-Adresse“ eine einzelne Adresse, zum Beispiel 203.0.113.5.
2. Wähl unter „Aktion“ „Sperren (ban)“ oder „Immer entsperren (unban)“.
3. Wähl unter „Dauer“ „Permanent (bis du es entfernst)“, „1 Stunde“, „6 Stunden“, „24 Stunden“ oder „7 Tage“.
4. Klicke auf „Override speichern“. Ist die IP gültig, liest du „Override gespeichert und .htaccess aktualisiert.“ Die Meldung erscheint auch, wenn .htaccess nicht beschreibbar ist: Sie beweist nicht, dass die Sperre aktiv ist.

Unter dem Formular steht die Tabelle der aktiven Overrides, mit den Spalten IP, Aktion, Ablauf und Erstellt am. Jede Zeile hat die Schaltfläche „Entfernen“. Entfernst du einen Override, liest du „Override entfernt und .htaccess aktualisiert.“ Ist die Tabelle leer, findest du „Kein aktiver Override.“

Die Whitelist benutzen (Punkt 5)

1. Schreib in das Feld eine Adresse oder ein Netzwerk pro Zeile, zum Beispiel 203.0.113.5 oder 203.0.113.0/24.
2. Klicke auf „Whitelist speichern“. Du liest „Whitelist gespeichert.“

Steht deine IP nicht in der Liste, erscheint ein Hinweis: „Deine aktuelle IP (…) steht nicht in der Whitelist.“ Die Schaltfläche „Zur Whitelist hinzufügen“ fügt nur diesen Eintrag hinzu und lässt die anderen unberührt.

Standardwerte und Grenzen

• Die Standardaktion ist „Sperren (ban)“, die Standarddauer ist „Permanent (bis du es entfernst)“.
• Das Feld „IP-Adresse“ akzeptiert nur eine einzelne IPv4- oder IPv6-Adresse. Ein CIDR wie 203.0.113.0/24 wird mit „IP ungültig.“ abgelehnt.
• Pro IP existiert nur ein Override. Speicherst du einen zweiten für dieselbe Adresse, ersetzt er den ersten.
• Die Whitelist akzeptiert einzelne IPs und IPv4-CIDR-Netzwerke mit Präfix von 0 bis 32. Achtung: 0.0.0.0/0 wird akzeptiert und deckt alle IPv4-Adressen ab, schaltet also die Zählung fehlgeschlagener Logins für alle aus. Für IPv6 gilt nur die exakte Adresse.
• Ungültige Zeilen der Whitelist werden verworfen, und die Meldung sagt dir, wie viele, zum Beispiel „1 Zeile verworfen, weil ungültig.“ Duplikate werden entfernt.
• Das Speichern der Whitelist ersetzt die gesamte vorherige Liste.

Achtung: Das Feld „IP-Adresse“ ist schon mit deiner IP ausgefüllt, und darunter liest du „Deine aktuelle IP ist …“. Die Standardaktion ist „Sperren (ban)“. Klickst du auf „Override speichern“, ohne hinzusehen, sperrst du dich selbst, sofort, und siehst einen 403-Fehler auf der ganzen Website. Prüfe immer Aktion und Adresse, bevor du speicherst.

Achtung: Die Schaltfläche „Entsperren“ im Reiter „Blockierte IPs“ fragt nicht nach Bestätigung. Sie legt sofort einen permanenten Override an. Die Whitelist hebt bestehende Sperren nicht auf: Eine schon blockierte IP bleibt blockiert, auch wenn du sie in die Liste aufnimmst, bis du sie entsperrst. Sie stoppt auch nicht die Sperren des Panels, der Sicherheitsliste und die manuellen Bans: Sie verhindert nur das Zählen fehlgeschlagener Logins. Außerdem funktioniert die Sperrung nur mit Apache oder LiteSpeed und mit beschreibbarer Datei .htaccess. Auf anderen Servern existiert der Ban in den Tabellen, aber der Server wendet ihn nicht an.

Was im Hintergrund passiert

Entscheidest du dich, eine IP blockieren WordPress mit einem Override, schreibt das Plugin einen Block von .htaccess zwischen # BEGIN Cisilino Site Defense Network und # END Cisilino Site Defense Network neu. Der Rest der Datei bleibt unberührt. Die blockierten IPs sind die Vereinigung von vier Quellen: die lokale Blockade wegen fehlgeschlagener Logins, die Liste des Panels, die optionale Liste der „Sicherheitsstufe“ und die manuellen Bans. Das Unban entfernt aus der Vereinigung den Eintrag, der mit der geschriebenen Adresse übereinstimmt. Ein Netzwerk des Panels (zum Beispiel 198.51.100.0/24) verschwindet nur, wenn du 198.51.100.0 entsperrst, nicht eine einzelne IP innerhalb des Netzwerks. Das Entsperren gilt auch für die optionale Liste der „Sicherheitsstufe“ (Noob, Casual, Berserk). Diese IPs erscheinen nicht im Reiter „Blockierte IPs“, aber ein Unban neutralisiert sie.

Das Plugin liest die IP des Besuchers aus REMOTE_ADDR und ignoriert X-Forwarded-For. Hinter einem Proxy oder einer CDN kann die gesehene Adresse die des Proxys sein. In diesem Fall riskiert eine Sperrung, alle Besucher zu treffen.

Die Fristen funktionieren so:

• Ein befristeter manueller Ban wird beim Ablauf gelöscht, und die Adresse verschwindet beim nächsten Kontrollzyklus, binnen etwa 15 Minuten, aus .htaccess.
• Eine lokale Sperre, die wegen zu vieler fehlgeschlagener Logins ausgelöst wurde, läuft nicht von selbst ab. Sie verschwindet nur mit einem Unban.
• Ein befristetes Unban stellt die Sperre beim Ablauf wieder her, wenn die ursprüngliche Quelle noch da ist.

Jedes Speichern oder Entfernen eines Overrides und jede Änderung der Whitelist wird im Aktivitätsprotokoll festgehalten.

Praktische Beispiele

Eine IP blockieren WordPress für einen Tag

Du willst die Adresse 203.0.113.5 für 24 Stunden stoppen. Schreib sie in „IP-Adresse“, lass „Sperren (ban)“ stehen, wähl „24 Stunden“ und klicke auf „Override speichern“. Im Reiter „Blockierte IPs“ erscheint sie mit der Quelle „manuell“.

Whitelist für das Bürenetzwerk

Schreib 203.0.113.0/24 in die Whitelist und klicke auf „Whitelist speichern“. Von da an werden falsche Logins dieses Netzwerks nicht mehr gezählt. Tu das, bevor du mit falschen Passwörtern testest.

Ich habe mich selbst ausgesperrt

Kommst du noch in den Verwaltungsbereich, zum Beispiel vom Telefon aus mit dem Mobilfunknetz, geh zu „Blockierte IPs“ und klicke auf „Entsperren“ bei deiner IP. Setz sie danach auf die Whitelist. Siehst du dagegen einen 403-Fehler auf der ganzen Website, kannst du dich per FTP verbinden und aus der Datei .htaccess die Zeile mit deiner IP entfernen. Achtung: Das Plugin kann sie beim nächsten Ereignis neu schreiben, also mach, sobald du wieder drin bist, „Entsperren“ und Whitelist.

Um zu verstehen, wie Apache diese Zugriffskontrollen verwaltet, lies die Apache-Anleitung zur Zugriffskontrolle: Sie erklärt die Direktiven, die das Plugin für dich schreibt.

Zusammengefasst: eine IP blockieren WordPress mit Sorgfalt bedeutet, Aktion und Adresse zu prüfen, bevor du speicherst. Vorheriges Kapitel: Reiter Allgemein: Sperrschwelle und Status des Plugins. Nächstes Kapitel: Reiter Blockierte IPs: die Blacklist lesen. Das Inhaltsverzeichnis steht im CSDN Handbuch.

The post IP blockieren WordPress: Overrides und Whitelist first appeared on Matteo Cisilino.

Wo du es findest

Öffne Einstellungen und dann „Cisilino Site Defense Network“ (Punkt 1 im Bild). Der Reiter „Allgemein“ (Punkt 2) öffnet sich zuerst. Oben auf der Seite steht eine Zeile mit Zählern: „Lokal blockierte IPs“, „Vom Panel empfangene IPs“ und „IPs aus der optionalen Sicherheitsliste“. Darunter hat der Reiter vier Abschnitte. Punkt 3 ist „Letzte Aktivitäten“, Punkt 4 „Lokale IP-Overrides“, Punkt 5 „Vertrauenswürdige IPs (Whitelist)“ und Punkt 6 „Überwachung der Datei-Uploads“.

In diesem Kapitel behandeln wir Punkt 3 und die Schwelle. Das manuelle Sperren und Entsperren und die Whitelist (Punkte 4 und 5) stehen in Kapitel 5. Die Überwachung der Uploads (Punkt 6) steht in Kapitel 8.

Das Protokoll der letzten Aktivitäten

Der Abschnitt zeigt die „Letzten 50 auf dieser Website erkannten fehlgeschlagenen Login-Versuche.“ Das sind die Spalten.

• „IP“: die Adresse, von der die Versuche kommen.
• „Versuchter Benutzername“: der letzte von dieser IP ausprobierte Benutzername.
• „Versuche“: die Gesamtzahl der fehlgeschlagenen Logins dieser IP.
• „Status“: „Blockiert“ oder „Beobachtet“.
• „Zuletzt gesehen“: Datum und Uhrzeit, in der Zeitzone der Website.

Achte auf ein Detail: Es gibt eine Zeile pro IP, nicht eine Zeile pro Versuch. Probiert dieselbe IP zehn verschiedene Namen, siehst du eine einzige Zeile mit „Versuche“ auf 10 und dem letzten versuchten Namen. Gibt es nichts zu zeigen, liest du „Keine Ereignisse erfasst.“

„Beobachtet“ heißt, die IP hat einige Logins nicht geschafft, aber die Schwelle noch nicht erreicht. Auch beobachtete IPs werden an das Panel gesendet, wenn du die Verbindung aus Kapitel 3 eingerichtet hast.

Wie die Sperrschwelle WordPress funktioniert

Der Wert wird im Reiter „Remote-Einstellungen“ eingestellt, im Feld „Lokale Sperrschwelle (fehlgeschlagene Versuche)“. Der Standardwert ist 10. Das Feld des Formulars akzeptiert 3 bis 100, aber nur der Browser erzwingt das: Der Server prüft die Grenzen nicht, und ein leerer Wert oder 0 wird zu 10. Bei jedem fehlgeschlagenen Login liest das Plugin die IP, erhöht den Zähler dieser Zeile und prüft die Summe. Erreicht die Summe die Schwelle, wechselt die Zeile zu „Blockiert“. Die Datei .htaccess wird sofort neu geschrieben, ohne auf die Synchronisierung zu warten. Auf einem Server, der .htaccess ignoriert, zum Beispiel nginx, hat die Blockade keine Wirkung auf den Datenverkehr.

Technisches Beispiel: Bei Schwelle 3 lassen zwei fehlgeschlagene Versuche von 203.0.113.7 sie „Beobachtet“. Der dritte blockiert sie.

Die Schwelle gilt auch ohne Panel. Die Verbindung dient nur dem Austausch von IP-Listen, nicht der lokalen Blockade.

Die Schwelle ist kumulativ

Das ist der überraschendste Punkt an der Sperrschwelle WordPress. Der Zähler hat kein Zeitfenster und setzt sich nicht zurück. Jeder fehlgeschlagene Login summiert sich zu den vorherigen, auch wenn Wochen vergangen sind. Ein Mitarbeiter, der ab und zu das Passwort falsch eingibt, kann mit der Zeit die Schwelle erreichen und von der Website ausgeschlossen bleiben.

Achtung: Für Netzwerke, die du kennst (Büro, Standort), nutze die Whitelist aus Kapitel 5. IPs in der Whitelist werden nicht einmal gezählt. Ein manuelles Entsperren („Immer entsperren“) hält die IP aus .htaccess heraus, solange der Override existiert, setzt aber den Zähler nicht zurück, und die Zeile bleibt „Blockiert“. Läuft der Override ab oder entfernst du ihn, wird die IP wieder blockiert.

Um zu verstehen, warum das reine Zählen der Versuche als Abwehr nicht ausreicht, findest du eine nützliche Anleitung auf der OWASP-Seite zum Blockieren von Brute-Force-Angriffen, die Vor- und Nachteile automatischer Sperrungen erörtert.

Das Risiko von Proxy oder CDN

Das Plugin liest die Adresse des Besuchers nur aus REMOTE_ADDR. Es ignoriert absichtlich Header wie X-Forwarded-For, weil ein Angreifer sie fälschen kann. Steht die Website hinter einem Proxy, einer CDN oder einem Load Balancer, kann REMOTE_ADDR die IP des Proxys sein und nicht die des Besuchers.

Achtung: In diesem Fall würden alle fehlgeschlagenen Logins derselben IP zugeschrieben. Erreicht die Schwelle, könntest du die IP des Proxys blockieren und mit ihr alle Besucher. Prüfe die Zeile „IP“ im Protokoll: Siehst du immer dieselbe Adresse, auch bei verschiedenen Benutzern, befindest du dich in dieser Situation. Die IP des Proxys in die Whitelist zu setzen, entsperrt die Besucher, aber ab diesem Moment wird kein fehlgeschlagener Login mehr gezählt, der von dort kommt: Die Blockade wiederholter Versuche hört auf zu funktionieren. Nutze eine vorgeschaltete Abwehr (am Proxy oder an der CDN) und verlass dich nicht nur auf die Schwelle.

Wenn etwas nicht funktioniert

• Ein berechtigter Benutzer gilt als „Blockiert“: Füge sein Netzwerk zur Whitelist hinzu und entsperre ihn wie in Kapitel 5 beschrieben.
• Du siehst immer dieselbe IP bei verschiedenen Personen: Vermute einen Proxy, wie oben beschrieben.
• Du willst die Sperrschwelle WordPress ändern: Geh zu „Remote-Einstellungen“, ändere das Feld und klicke auf „Speichern und Verbindung prüfen“. Hast du kein Panel, bleiben die Felder der Verbindung leer.

Die Sperrschwelle bleibt lokal: Du entscheidest, wie streng du sein willst.

Vorheriges Kapitel: Das Plugin mit dem Panel verbinden: Remote-Einstellungen. Nächstes Kapitel: Sperren, Entsperren und Whitelist: die manuellen Overrides. Das vollständige Inhaltsverzeichnis steht in Kapitel 1.

The post Sperrschwelle WordPress: der Reiter Allgemein first appeared on Matteo Cisilino.