Dove si trova

Nel menu laterale di WordPress apri Impostazioni > Cisilino Site Defense Network (punto 1 dell’immagine). Poi scegli la scheda Generale (punto 2). Più in basso trovi tre sezioni:

• punto 3: “Log attività recenti”.
• punto 4: “Override locali IP”.
• punto 5: “IP attendibili (whitelist)”.

Dopo ogni azione torni sempre alla scheda Generale, anche se sei partito dalla scheda “IP bloccati”. Il messaggio di conferma compare lì.

A cosa serve

Gli override ti permettono di forzare il blocco o lo sblocco di un singolo indirizzo, a prescindere dalla soglia di tentativi falliti e dalla lista ricevuta dal pannello. Valgono solo su questo sito: non vengono mai inviati al pannello.

La whitelist serve a un altro scopo. Elenca gli indirizzi che non devono mai essere contati come tentativi di login falliti, per esempio la rete del tuo ufficio.

Come usarlo

Leggere il log (punto 3)

La sezione “Log attività recenti” mostra gli “Ultimi 50 tentativi di login falliti rilevati su questo sito.” Le colonne sono IP, Username tentato, Tentativi, Stato e Ultima volta vista. Lo stato è “Bloccato” oppure “Osservato”. C’è una riga per ogni IP, con un contatore cumulativo, e lo username è l’ultimo che è stato provato. Se non c’è nulla leggi “Nessun evento registrato.” Non confondere questo elenco con la scheda “Registro attività”, che è un altro argomento.

Bloccare o sbloccare un IP (punto 4)

Questa è la parte che serve per bloccare IP WordPress a mano.

1. Nel campo “Indirizzo IP” scrivi un solo indirizzo, per esempio 203.0.113.5.
2. In “Azione” scegli “Blocca (ban)” oppure “Sblocca sempre (unban)”.
3. In “Durata” scegli “Permanente (finché non lo rimuovi)”, “1 ora”, “6 ore”, “24 ore” o “7 giorni”.
4. Premi “Salva override”. Se l’IP è valido leggi “Override salvato e .htaccess aggiornato.” Il messaggio compare anche se .htaccess non è scrivibile: non prova che il blocco sia attivo.

Sotto il form c’è la tabella degli override attivi, con le colonne IP, Azione, Scadenza e Creato il. Ogni riga ha il pulsante “Rimuovi”. Quando togli un override leggi “Override rimosso e .htaccess aggiornato.” Se la tabella è vuota trovi “Nessun override attivo.”

Usare la whitelist (punto 5)

1. Nella casella scrivi un indirizzo o una rete per riga, per esempio 203.0.113.5 oppure 203.0.113.0/24.
2. Premi “Salva whitelist”. Leggi “Whitelist salvata.”

Se il tuo IP non è in lista compare un avviso: “Il tuo IP attuale (…) non è nella whitelist.” Il pulsante “Aggiungi alla whitelist” inserisce solo quella voce e lascia intatte le altre.

Valori predefiniti e limiti

• L’azione predefinita è “Blocca (ban)”, la durata predefinita è “Permanente (finché non lo rimuovi)”.
• Il campo “Indirizzo IP” accetta solo un indirizzo IPv4 o IPv6 singolo. Un CIDR come 203.0.113.0/24 viene rifiutato con “IP non valido.”
• Per ogni IP esiste un solo override. Se ne salvi un secondo sullo stesso indirizzo, sostituisce il primo.
• La whitelist accetta IP singoli e reti CIDR IPv4 con prefisso da 0 a 32. Attenzione: 0.0.0.0/0 è accettato e copre tutti gli IPv4, quindi spegne il conteggio dei login falliti per tutti. Per IPv6 vale solo l’indirizzo esatto.
• Le righe non valide della whitelist vengono scartate e il messaggio ti dice quante, per esempio “1 riga scartata perché non valida.” I duplicati vengono eliminati.
• Salvare la whitelist sostituisce tutta la lista precedente.

Attenzione: il campo “Indirizzo IP” è già compilato con il tuo IP, e sotto leggi “Il tuo IP attuale è …”. L’azione predefinita è “Blocca (ban)”. Se premi “Salva override” senza guardare, blocchi te stesso, subito, e vedrai un errore 403 su tutto il sito. Controlla sempre azione e indirizzo prima di salvare.

Attenzione: il pulsante “Sblocca” della scheda “IP bloccati” non chiede conferma. Crea subito un override permanente. La whitelist non toglie i blocchi già esistenti: un IP già bloccato resta bloccato anche se lo aggiungi in lista, finché non lo sblocchi. Non ferma nemmeno i blocchi del pannello, della lista di sicurezza e i ban manuali: impedisce solo di contare i login falliti. Inoltre il blocco funziona solo con Apache o LiteSpeed e con il file .htaccess scrivibile. Con altri server il ban esiste nelle tabelle ma il server non lo applica.

Cosa succede dietro le quinte

Quando decidi di bloccare IP WordPress con un override, il plugin riscrive un blocco di .htaccess compreso tra # BEGIN Cisilino Site Defense Network e # END Cisilino Site Defense Network. Il resto del file non viene toccato. Gli IP bloccati sono l’unione di quattro fonti: il blocco locale per login falliti, la lista del pannello, la lista opzionale del “Livello di sicurezza” e i ban manuali. L’unban toglie dall’unione la voce che coincide con l’indirizzo scritto. Una rete del pannello (per esempio 198.51.100.0/24) esce solo se sblocchi 198.51.100.0, non un singolo IP dentro la rete. Lo sblocco vale anche per la lista opzionale del “Livello di sicurezza” (Noob, Casual, Berserk). Quegli IP non compaiono nella scheda “IP bloccati”, ma un unban li neutralizza.

Il plugin legge l’IP del visitatore da REMOTE_ADDR e ignora X-Forwarded-For. Dietro un proxy o una CDN l’indirizzo visto può essere quello del proxy. In quel caso un blocco rischia di colpire tutti i visitatori.

Le scadenze funzionano così:

• Un ban manuale a tempo viene eliminato alla scadenza, e l’indirizzo esce da .htaccess al prossimo ciclo di controllo, entro circa 15 minuti.
• Un ban locale, quello scattato per troppi login falliti, non scade da solo. Si toglie solo con un unban.
• Un unban a tempo, quando scade, riporta il blocco se la fonte originale c’è ancora.

Ogni salvataggio o rimozione di un override, e ogni modifica alla whitelist, viene scritto nel registro attività.

Esempi pratici

Bloccare IP WordPress per un giorno

Vuoi fermare l’indirizzo 203.0.113.5 per 24 ore. Scrivilo in “Indirizzo IP”, lascia “Blocca (ban)”, scegli “24 ore” e premi “Salva override”. Nella scheda “IP bloccati” compare con origine “manuale”.

Whitelist per la rete dell’ufficio

Scrivi 203.0.113.0/24 nella whitelist e premi “Salva whitelist”. Da quel momento i login sbagliati di quella rete non vengono più contati. Fallo prima di fare prove con password errate.

Mi sono bloccato da solo

Se riesci ancora ad aprire l’area di amministrazione, per esempio dal telefono con la rete mobile, vai in “IP bloccati” e premi “Sblocca” sul tuo IP. Poi aggiungilo alla whitelist. Se invece vedi un 403 su tutto il sito, puoi collegarti in FTP e togliere dal file .htaccess la riga con il tuo IP. Attenzione: il plugin può riscriverla al prossimo evento, quindi appena rientri fai “Sblocca” e whitelist.

Per approfondire come Apache gestisce questi controlli di accesso, leggi la guida Apache al controllo degli accessi: spiega le direttive che il plugin scrive per te.

In sintesi, bloccare IP WordPress con cura significa controllare azione e indirizzo prima di salvare. Capitolo precedente: Scheda Generale: soglia di blocco e stato del plugin. Capitolo successivo: Scheda IP bloccati: leggere la blacklist. L’indice è nel manuale CSDN.

The post Bloccare, sbloccare e whitelist: gli override manuali first appeared on Matteo Cisilino.

Dove si trova

Apri Impostazioni e poi “Cisilino Site Defense Network” (punto 1 dell’immagine). La scheda “Generale” (punto 2) è quella che si apre per prima. In cima alla pagina c’è una riga di contatori: “IP bloccati localmente”, “IP ricevuti dal pannello” e “IP dalla lista di sicurezza opzionale”. Sotto, la scheda ha quattro sezioni. Il punto 3 è “Log attività recenti”, il punto 4 “Override locali IP”, il punto 5 “IP attendibili (whitelist)” e il punto 6 “Sorveglianza caricamenti file”.

In questo capitolo trattiamo il punto 3 e la soglia. Il blocco e lo sblocco manuali e la whitelist (punti 4 e 5) sono nel capitolo 5. La sorveglianza dei caricamenti (punto 6) è nel capitolo 8.

Il log attività recenti

La sezione mostra gli “Ultimi 50 tentativi di login falliti rilevati su questo sito.” Le colonne sono queste.

• “IP”: l’indirizzo da cui arrivano i tentativi.
• “Username tentato”: l’ultimo nome utente provato da quell’IP.
• “Tentativi”: il totale dei login falliti di quell’IP.
• “Stato”: “Bloccato” oppure “Osservato”.
• “Ultima volta vista”: data e ora, nel fuso del sito.

Attenzione a un dettaglio: c’è una riga per IP, non una riga per tentativo. Se lo stesso IP prova dieci nomi diversi, vedi una sola riga con “Tentativi” a 10 e l’ultimo nome provato. Se non c’è nulla da mostrare, leggi “Nessun evento registrato.”

“Osservato” vuol dire che l’IP ha fallito qualche login ma non ha ancora raggiunto la soglia. Anche gli IP osservati vengono inviati al pannello, se hai fatto il collegamento del capitolo 3.

Come funziona la soglia di blocco

Il valore si imposta nella scheda “Impostazioni remote”, nel campo “Soglia blocco locale (tentativi falliti)”. Il valore predefinito è 10. Il campo del modulo accetta da 3 a 100, ma è solo il browser a imporlo: il server non controlla i limiti e un valore vuoto o 0 diventa 10. Per ogni login fallito il plugin legge l’IP, aumenta il contatore di quella riga e controlla il totale. Quando il totale raggiunge la soglia, la riga passa a “Bloccato”. Il file .htaccess viene riscritto subito, senza aspettare la sincronizzazione. Su un server che ignora .htaccess (per esempio nginx) il blocco non ha effetto sul traffico.

Esempio tecnico: con soglia 3, due tentativi falliti da 203.0.113.7 lo lasciano “Osservato”. Il terzo lo blocca.

La soglia vale anche senza pannello. Il collegamento serve solo a scambiare liste di IP, non a bloccare in locale.

La soglia è cumulativa

Questo è il punto che sorprende di più nella soglia di blocco. Il contatore non ha finestra di tempo e non si azzera. Ogni login fallito si somma ai precedenti, anche se sono passate settimane. Un collaboratore che sbaglia la password ogni tanto può arrivare, col tempo, alla soglia e restare fuori dal sito.

Attenzione: per le reti che conosci (ufficio, sede) usa la whitelist, descritta nel capitolo 5. Gli IP in whitelist non vengono nemmeno contati. Uno sblocco manuale (“Sblocca sempre”) tiene l’IP fuori da .htaccess finché l’override esiste, ma non azzera il conteggio e la riga resta “Bloccato”. Se l’override scade o lo rimuovi, l’IP torna bloccato.

Per approfondire perché il solo conteggio dei tentativi non basta come difesa, trovi una guida utile nella pagina OWASP su come bloccare gli attacchi brute force, che discute pro e contro dei blocchi automatici.

Il rischio del proxy o della CDN

Il plugin legge l’indirizzo del visitatore solo da REMOTE_ADDR. Ignora di proposito le intestazioni come X-Forwarded-For, perché chi attacca può falsificarle. Se il sito sta dietro un proxy, una CDN o un bilanciatore, REMOTE_ADDR può essere l’IP del proxy e non quello del visitatore.

Attenzione: in quel caso tutti i login falliti verrebbero attribuiti allo stesso IP. Raggiunta la soglia, potresti bloccare l’IP del proxy, e con lui tutti i visitatori. Controlla la riga “IP” del log: se vedi sempre lo stesso indirizzo, anche con utenti diversi, sei in questa situazione. Mettere in whitelist l’IP del proxy sblocca i visitatori, ma da quel momento nessun login fallito che passa da lì viene più contato: il blocco dei tentativi ripetuti smette di funzionare. Usa una difesa a monte (sul proxy o sulla CDN) e non fidarti della sola soglia.

Se qualcosa non va

• Un utente legittimo risulta “Bloccato”: aggiungi la sua rete alla whitelist e sbloccalo come spiegato nel capitolo 5.
• Vedi sempre lo stesso IP per persone diverse: sospetta un proxy, come descritto sopra.
• Vuoi cambiare la soglia di blocco: vai in “Impostazioni remote”, modifica il campo e clicca “Salva e verifica collegamento”. Se non hai il pannello, i campi del collegamento restano vuoti.

La soglia di blocco resta locale: decidi tu quanto essere severo.

Capitolo precedente: Collegare il plugin al pannello: Impostazioni remote. Capitolo successivo: Bloccare, sbloccare e whitelist: gli override manuali. L’indice completo è nel capitolo 1.

The post Scheda Generale: soglia di blocco e stato del plugin first appeared on Matteo Cisilino.