Zabezpieczenie strony przed atakiem Brute Force

[BIG_MAQ]

Cześć,

mam pytanie o Waszym zdaniem jak najlepszy sposób na zapobiegnięcie zhakowania strony przez popularny w przypadku WP atak Brute Force.

Czytałem o dodatkowym ohasłowaniu przy pomocy .htaccess

Będę wdzięczny za wszelkie podpowiedzi.

Kolejna sprawa to wtyczka, która będzie blokowała IP np. po 3 próbie nieudanego logowania (np. Loginizer). Jakieś rekomendacje?

Jak rozwiązujecie kwestię "ukrycia" adresu logowania do zaplecza?

Ps. Od razu zapytam o rekomendacje co do klienta sFTP pod Win10.

Dzięki

[jimmi]

możesz zainstalować wordfence sporo można zrobić w darmowej wersji. 

a plik i katalog można dodatkowych hasłem zabezpieczyć

 

np. tutaj jest to ładnie opisane https://www.siteground.com/kb/how_to_password_protect_a_single_file/przydaje się do zabezpieczenia wp-login.php

 

[kayman]

wiele ataków odbywa się właśnie przez wykorzystanie luk w protokole ftp.

 

w czym?

[Mion]

Dostęp do admina tylko z określonego ip. Jeśli masz zmienne to raczej taka metoda jest niewygodna. Używanie SFTP i sprawdzonego klienta SFTP jak winscp.

[zgred]

ja mam jakies iTheme Security... pozmieniali mi wszystko hakiery i mam spokój

[jimmi]

iTheme Security

to było "better wp security" nie wiesz co pozmieniali poza nazwą ?

[arczik]

Polecam wtyczkę "shield"

 1. Zmieniam nazwę wp-login

2. Wyłączam możliwość edytowania plików

3. Włączam automatyczne aktualizacje

4. Ustawiam Ban po 5 nieudanych próbach zalogowania.

 Można powiedzieć, że wykonanie powyższych 4 punktów eliminuje ataki hakerów do 0.

 Dodatkowo Wtyczka eliminuje  kilka klasycznych metod  wykorzystywanych przez hakerów do przejęcia strony opartej o wordpress np. blokuje przejścia folderów,  blokuje ataki odcinania pól itd ...

 

 

[~larry]

W mojej opinii chyba najbardziej przydatną wtyczką o dużych darmowych możliwościach jest Sucuri Security. 

[ppdesignstudio]

Najprostszą metodą na atak może być zablokowanie dostępu do pliku wp-login.php poprzez dodanie poniższego kodu do pliku .htaccess

 

Przykład:

<files wp-login.php>
order deny,allow
deny from all
allow from 10.113.114.110
</files>

w linii allow from należy wpisać własny adres IP

[webanti]

Zachęcam do prewencji i podłączenia strony do darmowej opcji 

https://webanti.com

- jak ktoś się włamie, to nasza usługa powiadomi mailem o tym. Dodatkowo pomoże usunąć wgrany malware/backdoor. 

[kayman]

jak ktoś się włamie, to nasza usługa powiadomi mailem o tym

 

You make my day

[jimmi]

@webanti, czy powiadomienia można ustawić także przy zmianie treści na stronie ?

[webanti]

Na tą chwilę powiadamiamy tylko i wyłącznie jeśli wykrywamy malware, backdoiry itp. Zauważyliśmy potrzebę, o której piszesz i wrzuciliśmy na listę todo taką funkcjonalność.

[piotr.k]

Zachęcam do prewencji

Zachęcam do sprawdzania w słowniku znaczenia używanych słów

Nie widzę związku tego wynalazku z tematem ale widzę lubisz się udzielać gdzie się da

[webanti]

Synonimem słowa prewencja jest zapobieganie. Zachęcamy do tego tak jak to powinno się robić na PC z AV tak i ze stroną. Żadne zabezpieczenie nie jest w 100% skuteczne. Aczkolwiek należy wdrożyć tyle zabezpieczeń aby atakującemu nie opłacało się atakować. 

 

A z tym udzielaniem, to nudziło mi się trochę i chciałem sobie popisać na forum ale masz rację, co za dużo to nie zdrowo.