如何阻止对 WordPress 的 DDoS 攻击

已发表: 2021-08-23

WordPress 是当今流行的内容管理系统。使用 WordPress 可以让您的网站走多远有很多可能性。然而，如此巨大的名声也使 WordPress 成为各种攻击和安全问题的热门目标。

DDoS（分布式拒绝服务）攻击就是此类漏洞之一。对 WordPress 的 DDoS 攻击比您预期的更为普遍，并且一直在迅速增加。不幸的是，它们也为其他类型的攻击打开了大门。因此，您能做的最好的事情就是学习如何阻止 DDoS 攻击，以使您的企业免受重大打击。

本指南将解释什么是 DDoS 攻击以及它可能造成的损害类型。此外，我们将引导您了解阻止 DDoS 攻击的各种方法。

让我们开始：

什么是对 WordPress 的 DDoS 攻击？
为什么会发生 DDoS 攻击？
DDoS 攻击造成的损失
蛮力攻击和 DDoS 攻击之间的区别
如何阻止对您网站的 DDoS 攻击？
- 1. 禁用 XML-RPC
- 2. 禁用 REST API
- 3.激活WAF（网站应用防火墙）
- 4.使用CDN
DoS 对比DDoS：有什么区别？
如何知道是 DDoS 还是 Brute-Force？
在 DDoS 攻击下该怎么办？
- 1. 提醒团队成员。
- 2. 通知您的客户。
- 3. 联系您的托管和安全支持。
结论

什么是对 WordPress 的 DDoS 攻击？

分布式拒绝服务攻击，又称 DDoS 攻击，是一种网络攻击，它试图扰乱网络、服务或服务器的平均流量。 DDoS 攻击的主要目标是将大量流量发送到目标服务器以减慢其速度并最终使其崩溃。

黑客（在本例中为 botmaster）使用受感染的设备和计算机向 WordPress 服务器发送 HTTP 请求。这些受感染的设备形成了一个称为僵尸网络的网络。

Botmaster 向僵尸网络发起启动命令。然后僵尸网络请求目标服务器获取数据。僵尸网络可以是成百上千的主机同时请求相同的数据。

单个请求会消耗目标服务器的某些资源。服务器只有有限的资源和在特定时间处理正常流量的能力。当恶意流量泛滥时，它会使服务器不堪重负。结果，它变慢了，甚至崩溃了。如果您的站点驻留在此服务器上，它也会变得无响应。

如今，DDoS 攻击变得越来越频繁。随着岁月的流逝，它正在上升。

仅在 2019 年，就有 840 万次 DDoS 攻击。
2019 年也见证了长达 13 天的最长攻击，峰值为 292,000 RPS（每秒请求数）。
仅在 2020 年上半年就发生了 480 万次 DDoS 攻击。这次攻击比 2019 年增加了 15%。在大流行锁定期间（从 2020 年 3 月到 6 月），它进一步增加到 25%。

甚至更大的互联网公司也无法免受 DDoS 攻击。早在 2016 年，流行的 DNS 服务提供商 DYN 就成为了 DDoS 攻击的受害者。这次攻击影响了许多强大的网站，例如 Netflix、Amazon、PayPal、Visa、Reddit、Airbnb、纽约时报等。

2018 年晚些时候，GitHub（一个流行的代码托管平台）遭受了 DDoS 攻击。该攻击每秒向服务器发送 1.3 TB 的流量。

所以你看，知道如何阻止对 WordPress 的 DDoS 攻击是很重要的。您将在本指南的最后一部分中了解它。

为什么会发生 DDoS 攻击？

DDoS 攻击可能有很多原因。这一切都取决于botmaster的动机。以下是一些常见的触发器类型：

有技术知识的人觉得它很冒险。他们甚至可能出于无聊而这样做。
这种攻击背后可能有政治原因。这种动机导致botmasters攻击特定地区或国家。
对特定服务提供商或企业的攻击会造成金钱损失。人们也可以有动力去淘汰竞争对手。
勒索某人或特定组织以勒索赎金。

DDoS 攻击造成的损失

这种类型的攻击旨在使服务器崩溃，使网站无法访问或降低其性能。以下是 DDoS 攻击的主要损害：

它会降低站点性能或使其无法访问。
这会导致糟糕的用户体验。它导致跳出率增加和转化率直线下降。
它可以降低您网站的 SEO 排名。
通过聘请专业人士来解决问题会造成经济负担。事实上，一份报告估计小企业损失高达 120,000 美元，企业损失高达 200 万美元。

蛮力攻击和 DDoS 攻击之间的区别

您可能听说过暴力攻击。它是另一种形式的网络攻击，例如 DDoS 攻击。但是，这两种攻击方式彼此不同。

蛮力攻击是入侵网站的流行攻击。相反，DDoS 攻击希望将流量溢出到服务器。因此，蛮力攻击和 DDoS 攻击之间的主要区别在于目标。

蛮力攻击旨在通过猜测密码或尝试随机组合来获得对站点的未经授权的管理员访问权限。获得访问权限后，黑客打算从该站点窃取个人信息或在其中安装恶意软件以感染计算机或数据。

相反，DDoS 攻击旨在压倒服务器以降低站点的性能甚至使其崩溃。

如何阻止对您网站的 DDoS 攻击？

DDoS 可能很难处理，因为 botmasters 可以巧妙地伪装它。但是，通过这些做法，您可以防止和阻止对 WordPress 的 DDoS 攻击：

1. 禁用 XML-RPC

XML-RPC 是一种远程方法调用，它使用 XML 对 HTTP 进行加密，调用作为传输工具。简单来说，XML-RPC 是一个系统，它使您能够使用 Windows Live Writer 等网络博客客户端在 WordPress 博客上添加帖子。

如果您正在使用 WordPress 移动应用程序并想要连接到 IFTTT 等服务或想要远程发布博客，则需要启用 XML-RPC。但是，黑客可以通过 XML-RPC 对您的站点实施 DDoS 攻击。因此，如果您不使用移动版 WordPress 应用程序，最好禁用 XML-RPC。

你可以通过两种方式做到这一点：

#使用插件

您可以在 WordPress 上安装一个名为 Disable XML-RPC 的插件。一旦你激活它，这个插件会自动禁用 XML-RPC。

#使用.htaccess

您还可以在 .htaccess 文件中添加代码以禁用 XML-RPC：

# 阻止 WordPress xmlrpc.php 请求

<文件 xmlrpc.php>

命令拒绝，允许

否认一切

允许来自 123.123.123.123

</文件>

2. 禁用 REST API

REST 代表具象状态转移。 WordPress 中的 REST 使用 HTTP 请求来访问和使用数据。它涉及到这些数据的读取、创建、更新甚至删除。

同样，API（应用程序编程接口）是使两个软件能够相互通信的代码。 API 为从应用程序或操作系统请求服务铺平了正确的路径。

REST API 允许插件访问甚至删除您的 WordPress 数据。因此，它可能成为 DDoS 攻击的促成因素。因此，禁用 REST API 可能有助于防止甚至阻止 DDoS 攻击。

您可以为此安装禁用 WP REST API 插件。激活后，该插件会使未经身份验证的用户无法访问您站点的 REST API。但是，该插件仅针对 DDoS 攻击提供有限的保护。您的网站仍将对通常的 HTTP 请求开放。此外，您可能会在 WordPress 上遇到 API 服务干扰。

3.激活WAF（网站应用防火墙）

WAF（网站应用程序防火墙）是防止 DDoS 机器人和黑客进入您的站点的第一层保护。 WAF 充当站点和传入流量之间的代理。 WAF 使用智能算法在到达服务器之前阻止可疑请求。

它执行插件、WordPress 核心和主题漏洞的虚拟修补。

WAF 是与托管服务提供商相关的一项功能。如果您的主机包中没有内置该功能，您可以注册 Sucuri。它是最好的安全插件和网站防火墙插件。 Sucuri 在 DNS 级别上运行。这意味着他们可以在向您的站点发送请求之前捕获 DoS 容量攻击。

其定价如下：

基本：每个站点每年 199.99 美元
专业版：每个站点每年 299.99 美元
业务：每个站点每年 499.99 美元

或者，您也可以使用 Cloudflare。定价如下：

免费版
专业版：每月 20 美元
业务：每月 200 美元
企业：基于定制。

但是，免费版本仅提供有限的 DDoS 保护。您需要注册商业计划以获得七层 DDoS 保护。

注意：应用程序级别的 WAF 功能在 DDoS 攻击期间效果较差。

4.使用CDN

CDN（内容交付网络）是一组在地理上分布的服务器，用于向世界各地的用户交付内容。这些服务器协同工作，以更快的速度提供互联网内容。

它减少了用户和服务器之间的物理距离，从而提高了 Web 性能。

使用 CDN 有几个好处，其中之一是改进的 Web 安全性。 CDN 提供商致力于防止 DDoS 攻击、Web 攻击和其他网络威胁。

大多数流行的 CDN 提供商都提供了足够的安全措施来防止诈骗者、机器人和其他威胁。此外，他们还使用 Apple FairPlay、Microsoft PlayReady 和其他内容保护系统提供 DRM（数字版权管理）许可。

因此，使用 CDN 服务可能是阻止对 WordPress 的 DDoS 攻击的一种简单有效的方法。如果您不确定哪个 CDN 适合您，以下是 2021 年 10 家最佳 CDN 提供商。查看他们的详细信息以及优缺点。然后，您可以找出最适合您的。

DoS 对比DDoS：有什么区别？

DDoS 攻击是从 DoS 攻击演变而来的。因此，有必要了解它们之间的区别。

DoS 攻击是一种在线攻击，僵尸主机试图使用户无法使用计算机或其他设备。他们通过破坏设备的正常功能来做到这一点。它的目标是操纵服务器拒绝用户访问并干扰正常系统。

但是，DDoS 攻击会向特定服务器发送大量请求并将其关闭。

与涉及多台机器的 DDoS 攻击不同，DoS 攻击发生在单个站点和单个目标之间。

如何知道是 DDoS 还是 Brute-Force？

DDoS 和蛮力攻击都使用服务器资源并降低其性能。因此，这两种攻击的症状看起来都非常相似。您的网站变慢，甚至可能崩溃。

通过使用 Sucuri 插件，您当然可以知道它是 DDoS 攻击还是暴力攻击。

现在，转到仪表板上的“Sucuri Security”，然后单击“上次登录”选项。

转到“登录失败”选项卡。

如果您在此处看到多个登录请求，则表示您的站点受到蛮力攻击。

在 DDoS 攻击下该怎么办？

您可以使用 CloudFlare 和 Sucuri 等公司的 Web 应用程序防火墙来帮助防止 DDoS 攻击。但是，如果发生异常大的攻击，它可能会影响您的站点。因此，最好为您的站点可能受到 DDoS 攻击的情况做好准备。当您的网站受到 DDoS 攻击时，请遵循以下提示：

1. 提醒团队成员。

如果您在团队中工作，最好在您发现这是 DDoS 攻击时通知他们。这样做将使他们为任何查询做好准备并找出可能的解决方案。

2. 通知您的客户。

DDoS 攻击可能会给您的客户带来极大的不便，因为它会影响用户体验。不幸的是，这是真的，尤其是对于在线商店。您的客户可能无法登录或下订单。因此，您可以向他们传达该站点存在技术困难并且很快就会成为标准的。

这样的消息会让他们知道情况并稍后跟进。毕竟，沟通将使您的品牌形象保持强大。

3. 联系您的托管和安全支持。

联系您的托管服务提供商和防火墙服务，告知他们您面临的问题。这可能会更快地解决问题，他们甚至可能会提供更多关于攻击的更新。

如果您使用 Sucuri，则可以将其设置为偏执模式。它将阻止您网站上的多个请求，从而使其仅可用于合法流量。

结论

您无法预测您的网站是否容易受到 DDoS 攻击。因此，您能做的最好的事情就是在成为 WordPress 的受害者之前学习如何阻止对 WordPress 的 DDoS 攻击。

您刚刚学习了多种方法来阻止和防止 DDoS 攻击。如果你喜欢它，请在下面评论。

您还可以检查：

保护您的 WordPress 网站的 WordPress 安全技巧
查找您的 WordPress 登录 URL 并使其安全。