Destaque do recurso do iThemes Security Pro - Proteção contra força bruta e usuários banidos

Nas postagens do Feature Spotlight, destacamos um recurso no iThemes Security Pro e compartilhamos um pouco sobre por que desenvolvemos o recurso, para quem se destina e como usá-lo.

Hoje vamos abordar a Proteção de Força Bruta Local e Usuários Banidos , dois grandes recursos do plugin iThemes Security Pro.

3 razões pelas quais você precisa de proteção contra força bruta com usuários banidos para proteger seu site WordPress

O login do WordPress é a parte mais atacada de qualquer site WordPress. Existem três razões principais pelas quais o login do WP é um alvo tão popular para invasores:

1. O URL de login do WordPress é o mesmo para todos os sites do WordPress . Qualquer pessoa com experiência em trabalhar com WordPress sabe que o URL de login padrão do WordPress está localizado na página /wp-login.php . Lembre-se de que, mesmo se você usar um plugin para alterar a URL de onde guarda seu formulário de login, isso não mudará como você faria o login usando a linha de comando. A maioria dos ataques ao login do WordPress usará um terminal e não um navegador da web.
2. O WordPress não limita o número de tentativas de login inválidas . Por padrão, não há nada embutido no WordPress para limitar o número de tentativas de login malsucedidas que alguém pode fazer. Sem um limite para o número de tentativas de login malsucedidas que um invasor pode fazer, ele pode continuar tentando uma quantidade infinita de nomes de usuário e senhas até ter sucesso.
3. Ataques de força bruta não requerem nenhuma habilidade . Ataques de força bruta referem-se a um método de tentativa e erro usado para descobrir combinações de nome de usuário e senha para invadir um site. Qualquer hacker iniciante pode criar um bot que vasculha a Internet em busca de páginas de login do WordPress. Ou você pode apenas usar um dos muitos aplicativos de força bruta de código aberto que já foram criados.

Por esses três motivos, você precisa de proteção de força bruta e a capacidade de banir usuários para proteger seu site WordPress.

O que é proteção contra força bruta e usuários banidos?

Seu login do WordPress é muito parecido com a porta da frente de sua casa. Sem uma fechadura na porta da frente, seria fácil para qualquer pessoa entrar direto em sua casa, começar a mover seus móveis, quebrar suas coisas e roubar sua TV. Só faz sentido adicionar uma fechadura à porta da frente para dificultar a entrada de um suposto ladrão em sua casa.

Como mencionamos anteriormente, o WordPress não limita o número de tentativas inválidas de login que alguém pode fazer. Isso significa que um bot pode passar toda a eternidade adivinhando combinações aleatórias de nomes de usuário e senhas até que eles finalmente entrem com força bruta no back-end do seu site.

O plugin iThemes Security Pro cria um “cadeado” que você pode adicionar ao seu login do WordPress. Esse bloqueio foi projetado para evitar que possíveis invasores entrem no back-end do seu site, alterando suas páginas, roubando as informações do cliente ou assumindo o controle do seu site.

As configurações de Proteção de Força Bruta Local / Rede e Usuários Banidos do iThemes Security Pro funcionam em conjunto para proteger e proteger a parte mais atacada do seu site, o Login do WordPress.

2 tipos de proteção de força bruta no iThemes Security Pro

Existem dois tipos de proteção de força bruta no iThemes Security Pro. Você precisa de ambos para uma parede dupla de proteção para o seu site:

• Force Protection Brute local - aparência de proteção de força bruta locais em tentativas de acessar o seu site e proíbe usuários suspeitos.
• Force Protection Brute Network - rede de protecção força bruta permite que você participar de uma comunidade e é mais de um milhão sites forte. Se um IP for identificado como tentativa de invadir sites da comunidade iThemes Security, o IP será adicionado à lista de banidos do Network Bruce Force.

1. Proteção de força bruta local

O iThemes Security monitora ativamente as tentativas de login inválidas feitas em seu site para observar possíveis ataques de força bruta. A proteção de força bruta local é o primeiro tipo de proteção de força bruta que rastreia tentativas de login inválidas feitas por um host ou endereço IP e um nome de usuário.

Depois que um IP ou nome de usuário fizer muitas tentativas consecutivas de login inválido, ele será bloqueado e impedido de fazer mais tentativas por um determinado período de tempo.

2. Proteção de força bruta da rede

A Network Brute Force Protection leva isso um passo adiante. A rede é a comunidade iThemes Security e possui mais de um milhão de websites. Se um IP for identificado como tentativa de invadir sites da comunidade iThemes Security, o IP será adicionado à lista de banidos do Network Bruce Force.

Uma vez que um IP esteja na lista de banidos da Força Bruta da Rede, o IP será bloqueado em todos os sites da rede. Portanto, se um IP atacar meu site e for banido, será relatado à Rede de Força Bruta da iThemes Security. Meu relatório pode ajudar a banir o IP de toda a rede. Adoro poder ajudar a proteger o login do WordPress de outras pessoas apenas habilitando a proteção de rede de segurança do iThemes.

Ative a rede de proteção de força bruta iThemes para se juntar a 1 milhão de outros sites e se unir contra IPs maliciosos que estão atacando sites WordPress em todo o mundo. Você está fazendo sua parte para proteger não apenas o seu site, mas também ajudando a proteger os sites de outras pessoas.

Como os usuários banidos funcionam com a proteção contra força bruta

O recurso de usuários proibidos do iThemes Security Pro mantém registros de bloqueios de IP. Assim que um IP se tornar um infrator reincidente, o iThemes Security Pro adicionará o IP à lista de Hosts Banidos e impedirá que o IP possa até mesmo visualizar seu site, quanto mais tentar fazer o login.

É importante lembrar que não há como evitar que um ataque ocorra em seu site; o importante é evitar que esses ataques tenham sucesso.

Como usar proteção de força bruta local / rede e usuários banidos no iThemes Security Pro

Em primeiro lugar, obtenha o iThemes Security Pro. Instale e ative o plug-in em seu site WordPress usando os métodos normais de ativação de plug-ins do WordPress.

Para começar a usar os recursos Local & Network Brute Force Protection e Banned Users , navegue até o menu de recursos das configurações de segurança e habilite-os.

As configurações locais de proteção de força bruta

Vamos usar a engrenagem de proteção de força bruta local para dar uma olhada nas configurações.

• Proibir automaticamente o usuário “admin” - Quando ativado, qualquer pessoa que use o nome de usuário Admin ao fazer login recebe um bloqueio automático.
• Máximo de tentativas de login por host - O número de tentativas de login inválidas que um IP é permitido antes de ser bloqueado.
• Máximo de tentativas de login por usuário - Este é o número de tentativas de login inválidas que um nome de usuário é permitido antes de ser bloqueado.
• Minutos para lembrar login incorreto - Este é o tempo que uma tentativa de login inválido deve contar em relação a um IP ou nome de usuário para um bloqueio.

Há algumas coisas que você deseja manter em mente ao definir as configurações de bloqueio. Você desejará mover tentativas de login inválidas para usuários do que você fornece IPs. Digamos que seu site esteja sob um ataque de força bruta e o invasor esteja usando seu nome de usuário. O objetivo é bloquear o IP do invasor e não o seu nome de usuário, para que você ainda possa fazer o login e realizar o trabalho, mesmo quando o seu site estiver sob ataque.

Você também não deseja tornar essas configurações muito restritas, definindo o número de tentativas de login inválidas muito baixo e o tempo para lembrar de tentativas inválidas muito longo. Se você diminuir o número de tentativas de login inválidas para hosts / IPs para 1 e definir os minutos para lembrar uma tentativa de login incorreta para um mês, estará aumentando drasticamente a probabilidade de bloquear inadvertidamente usuários legítimos.

As configurações de proteção de força bruta da rede

Vamos usar a engrenagem da Proteção de força bruta da rede para dar uma olhada nas configurações.

Para obter a chave de licença da rede Brute Force, digite seu endereço de e-mail, escolha se deseja ou não receber atualizações por e-mail e clique no botão Salvar .

Depois de salvar as configurações, você verá algumas novas opções.

• Proibir IPs relatados - Proíbe automaticamente os IPs relatados como um problema pela rede.
• Redefinir chave de API - redefinir a chave de API desativará sua licença de Força bruta da rede.

As configurações de usuários banidos

Agora vamos dar uma olhada nas configurações dos Usuários banidos .

• Lista de banimento padrão - Quando ativada, a iThemes Security usará a lista de bloqueio do hackrepair.com para banir malfeitores conhecidos de seu site.
• Limitar IPs proibidos nos arquivos de configuração do servidor - Limitar o número de IPs bloqueados pelos arquivos de configuração do servidor (.htaccess e nginx.conf) ajudará a reduzir o risco de tempo limite do servidor ao atualizar o arquivo de configuração.
• Ban User Agents - Os User agents desta lista não terão permissão para acessar o seu site.

Você pode visualizar as listas de hosts banidos e adicionar manualmente IPs à lista de banidos no Painel de Segurança a partir do cartão Usuários Banidos .

Por que eu iria querer limitar o número de IPs proibidos em meu arquivo de configuração do servidor?

Limitar o número de IPs bloqueados pelos arquivos de configuração do servidor (.htaccess e nginx.conf) ajudará a reduzir o risco de tempo limite quando o servidor atualiza esses arquivos.

Cada vez que um arquivo é atualizado, o servidor irá reescrever o arquivo inteiro. Isso significa que se você tiver um arquivo .htaccess com 200 IPs banidos e tiver um novo IP adicionado à sua lista de banidos, o servidor terá que reescrever todos os 201 IPs. Se você tiver quaisquer outras regras de servidor gravadas em seu .htaccess, essas regras terão que ser reescritas junto com os 201 banimentos.

Quanto maiores forem seus arquivos .htaccess ou nginx.conf, maior será a chance de um tempo limite do servidor expirar quando eles forem atualizados. Isso é especialmente verdadeiro quando o site está sob ataque e o servidor precisa atualizar o arquivo de configuração do servidor várias vezes para acompanhar todos os novos IPs.

O que acontecerá se eu tiver mais IPs banidos do que o permitido em meu arquivo de configuração do servidor?

Se o número de IPs na lista de banidos exceder o limite do arquivo de configuração do servidor, os IPs adicionais serão bloqueados usando PHP.

Uma coisa a ter em mente ao definir a opção Limitar IPs proibidos em arquivos de configuração do servidor é que bloquear IPs no nível do servidor é mais eficiente do que bloquear IPs no nível do aplicativo usando PHP. No entanto, o resultado final de ambos os métodos é o mesmo ... bandidos são impedidos de acessar seu site.

Uma nota rápida. Eu não gastaria muito do seu tempo me preocupando ou monitorando bloqueios ou proibições que ocorrem em seu site. O iThemes Security Pro automatiza tudo isso para você, para que você possa gastar seu tempo em atividades que geram receita.

Obtenha o iThemes Security Pro hoje!

Por padrão, não há nada embutido no WordPress para limitar o número de tentativas de login malsucedidas que alguém pode fazer. Sem um limite para o número de tentativas de login malsucedidas que um invasor pode fazer, ele pode continuar tentando um número infinito de nomes de usuário e senhas até ter sucesso.

As configurações de proteção de força bruta local e de rede do iThemes Security Pro e de usuários banidos trabalham juntas para proteger e proteger a parte mais atacada do seu site, o login do WordPress. Obtenha o iThemes Security Pro hoje para proteger e proteger seu site de ataques de força bruta.

Obtenha o iThemes Security Pro agora

Michael Moore

A cada semana, Michael elabora o Relatório de vulnerabilidade do WordPress para ajudar a manter seus sites seguros. Como Gerente de Produto da iThemes, ele nos ajuda a continuar melhorando a linha de produtos da iThemes. Ele é um nerd gigante e adora aprender sobre todas as coisas de tecnologia, antigas e novas. Você pode encontrar Michael saindo com sua esposa e filha, lendo ou ouvindo música quando não está trabalhando.