如何阻止對 WordPress 的 DDoS 攻擊

WordPress 是當今流行的內容管理系統。 使用 WordPress 可以讓您的網站走多遠有很多可能性。 然而，如此巨大的名聲也使 WordPress 成為各種攻擊和安全問題的熱門目標。

DDoS（分佈式拒絕服務）攻擊就是此類漏洞之一。 對 WordPress 的 DDoS 攻擊比您預期的更為普遍，並且一直在迅速增加。 不幸的是，它們也為其他類型的攻擊打開了大門。 因此，您能做的最好的事情就是學習如何阻止 DDoS 攻擊，以使您的企業免受重大打擊。

本指南將解釋什麼是 DDoS 攻擊以及它可能造成的損害類型。 此外，我們將引導您了解阻止 DDoS 攻擊的各種方法。

讓我們開始：

什麼是對 WordPress 的 DDoS 攻擊？

分佈式拒絕服務攻擊，又稱 DDoS 攻擊，是一種網絡攻擊，它試圖擾亂網絡、服務或服務器的平均流量。 DDoS 攻擊的主要目標是將大量流量發送到目標服務器以減慢其速度並最終使其崩潰。

• 黑客（在本例中為 botmaster）使用受感染的設備和計算機向 WordPress 服務器發送 HTTP 請求。 這些受感染的設備形成了一個稱為殭屍網絡的網絡。

• Botmaster 向殭屍網絡發起啟動命令。 然後殭屍網絡請求目標服務器獲取數據。 殭屍網絡可以是成百上千的主機同時請求相同的數據。

• 單個請求會消耗目標服務器的某些資源。 服務器只有有限的資源和在特定時間處理正常流量的能力。 當惡意流量氾濫時，它會使服務器不堪重負。 結果，它變慢了，甚至崩潰了。 如果您的站點駐留在此服務器上，它也會變得無響應。

如今，DDoS 攻擊變得越來越頻繁。 隨著歲月的流逝，它正在上升。

• 僅在 2019 年，就有 840 萬次 DDoS 攻擊。
• 2019 年也見證了長達 13 天的最長攻擊，峰值為 292,000 RPS（每秒請求數）。
• 僅在 2020 年上半年就發生了 480 萬次 DDoS 攻擊。這次攻擊比 2019 年增加了 15%。在大流行鎖定期間（從 2020 年 3 月到 6 月），它進一步增加到 25%。

甚至更大的互聯網公司也無法免受 DDoS 攻擊。 早在 2016 年，流行的 DNS 服務提供商 DYN 就成為了 DDoS 攻擊的受害者。 這次攻擊影響了許多強大的網站，例如 Netflix、Amazon、PayPal、Visa、Reddit、Airbnb、紐約時報等。

2018 年晚些時候，GitHub（一個流行的代碼託管平台）遭受了 DDoS 攻擊。 該攻擊每秒向服務器發送 1.3 TB 的流量。

所以你看，知道如何阻止對 WordPress 的 DDoS 攻擊是很重要的。 您將在本指南的最後一部分中了解它。

為什麼會發生 DDoS 攻擊？

DDoS 攻擊可能有很多原因。 這一切都取決於botmaster的動機。 以下是一些常見的觸發器類型：

• 有技術知識的人覺得它很冒險。 他們甚至可能出於無聊而這樣做。
• 這種攻擊背後可能有政治​​原因。 這種動機導致botmasters攻擊特定地區或國家。
• 對特定服務提供商或企業的攻擊會造成金錢損失。 人們也可以有動力去淘汰競爭對手。
• 勒索某人或特定組織以勒索贖金。

DDoS 攻擊造成的損失

這種類型的攻擊旨在使服務器崩潰，使網站無法訪問或降低其性能。 以下是 DDoS 攻擊的主要損害：

• 它會降低站點性能或使其無法訪問。
• 這會導致糟糕的用戶體驗。 它導致跳出率增加和轉化率直線下降。
• 它可以降低您網站的 SEO 排名。
• 通過聘請專業人士來解決問題會造成經濟負擔。 事實上，一份報告估計小企業損失高達 120,000 美元，企業損失高達 200 萬美元。

蠻力攻擊和 DDoS 攻擊之間的區別

您可能聽說過暴力攻擊。 它是另一種形式的網絡攻擊，例如 DDoS 攻擊。 但是，這兩種攻擊方式彼此不同。

蠻力攻擊是入侵網站的流行攻擊。 相反，DDoS 攻擊希望將流量溢出到服務器。 因此，蠻力攻擊和 DDoS 攻擊之間的主要區別在於目標。

蠻力攻擊旨在通過猜測密碼或嘗試隨機組合來獲得對站點的未經授權的管理員訪問權限。 獲得訪問權限後，黑客打算從該站點竊取個人信息或在其中安裝惡意軟件以感染計算機或數據。

相反，DDoS 攻擊旨在壓倒服務器以降低站點的性能甚至使其崩潰。

如何阻止對您網站的 DDoS 攻擊？

DDoS 可能很難處理，因為 botmasters 可以巧妙地偽裝它。 但是，通過這些做法，您可以防止和阻止對 WordPress 的 DDoS 攻擊：

1. 禁用 XML-RPC

XML-RPC 是一種遠程方法調用，它使用 XML 對 HTTP 進行加密，調用作為傳輸工具。 簡單來說，XML-RPC 是一個系統，它使您能夠使用 Windows Live Writer 等網絡博客客戶端在 WordPress 博客上添加帖子。

如果您正在使用 WordPress 移動應用程序並想要連接到 IFTTT 等服務或想要遠程發布博客，則需要啟用 XML-RPC。 但是，黑客可以通過 XML-RPC 對您的站點實施 DDoS 攻擊。 因此，如果您不使用移動版 WordPress 應用程序，最好禁用 XML-RPC。

你可以通過兩種方式做到這一點：

#使用插件

您可以在 WordPress 上安裝一個名為 Disable XML-RPC 的插件。 一旦你激活它，這個插件會自動禁用 XML-RPC。

#使用.htaccess

您還可以在 .htaccess 文件中添加代碼以禁用 XML-RPC：

# 阻止 WordPress xmlrpc.php 請求

<文件 xmlrpc.php>

命令拒絕，允許

否認一切

允許來自 123.123.123.123

</文件>

2. 禁用 REST API

REST 代表具象狀態轉移。 WordPress 中的 REST 使用 HTTP 請求來訪問和使用數據。 它涉及到這些數據的讀取、創建、更新甚至刪除。

同樣，API（應用程序編程接口）是使兩個軟件能夠相互通信的代碼。 API 為從應用程序或操作系統請求服務鋪平了正確的路徑。

REST API 允許插件訪問甚至刪除您的 WordPress 數據。 因此，它可能成為 DDoS 攻擊的促成因素。 因此，禁用 REST API 可能有助於防止甚至阻止 DDoS 攻擊。

您可以為此安裝禁用 WP REST API 插件。 激活後，該插件會使未經身份驗證的用戶無法訪問您站點的 REST API。 但是，該插件僅針對 DDoS 攻擊提供有限的保護。 您的網站仍將對通常的 HTTP 請求開放。 此外，您可能會在 WordPress 上遇到 API 服務干擾。

3.激活WAF（網站應用防火牆）

WAF（網站應用程序防火牆）是防止 DDoS 機器人和黑客進入您的站點的第一層保護。 WAF 充當站點和傳入流量之間的代理。 WAF 使用智能算法在到達服務器之前阻止可疑請求。

它執行插件、WordPress 核心和主題漏洞的虛擬修補。

WAF 是與託管服務提供商相關的一項功能。 如果您的主機包中沒有內置該功能，您可以註冊 Sucuri。 它是最好的安全插件和網站防火牆插件。 Sucuri 在 DNS 級別上運行。 這意味著他們可以在向您的站點發送請求之前捕獲 DoS 容量攻擊。

其定價如下：

• 基本：每個站點每年 199.99 美元
• 專業版：每個站點每年 299.99 美元
• 業務：每個站點每年 499.99 美元

或者，您也可以使用 Cloudflare。 定價如下：

• 免費版
• 專業版：每月 20 美元
• 業務：每月 200 美元
• 企業：基於定制。

但是，免費版本僅提供有限的 DDoS 保護。 您需要註冊商業計劃以獲得七層 DDoS 保護。

注意：應用程序級別的 WAF 功能在 DDoS 攻擊期間效果較差。

4.使用CDN

CDN（內容交付網絡）是一組在地理上分佈的服務器，用於向世界各地的用戶交付內容。 這些服務器協同工作，以更快的速度提供互聯網內容。

它減少了用戶和服務器之間的物理距離，從而提高了 Web 性能。

使用 CDN 有幾個好處，其中之一是改進的 Web 安全性。 CDN 提供商致力於防止 DDoS 攻擊、Web 攻擊和其他網絡威脅。

大多數流行的 CDN 提供商都提供了足夠的安全措施來防止詐騙者、機器人和其他威脅。 此外，他們還使用 Apple FairPlay、Microsoft PlayReady 和其他內容保護系統提供 DRM（數字版權管理）許可。

因此，使用 CDN 服務可能是阻止對 WordPress 的 DDoS 攻擊的一種簡單有效的方法。 如果您不確定哪個 CDN 適合您，以下是 2021 年 10 家最佳 CDN 提供商。查看他們的詳細信息以及優缺點。 然後，您可以找出最適合您的。

DoS 對比DDoS：有什麼區別？

DDoS 攻擊是從 DoS 攻擊演變而來的。 因此，有必要了解它們之間的區別。

DoS 攻擊是一種在線攻擊，殭屍主機試圖使用戶無法使用計算機或其他設備。 他們通過破壞設備的正常功能來做到這一點。 它的目標是操縱服務器拒絕用戶訪問並干擾正常系統。

但是，DDoS 攻擊會向特定服務器發送大量請求並將其關閉。

與涉及多台機器的 DDoS 攻擊不同，DoS 攻擊發生在單個站點和單個目標之間。

如何知道是 DDoS 還是 Brute-Force？

DDoS 和蠻力攻擊都使用服務器資源並降低其性能。 因此，這兩種攻擊的症狀看起來都非常相似。 您的網站變慢，甚至可能崩潰。

通過使用 Sucuri 插件，您當然可以知道它是 DDoS 攻擊還是暴力攻擊。

• 現在，轉到儀表板上的“Sucuri Security”，然後單擊“上次登錄”選項。

• 轉到“登錄失敗”選項卡。

如果您在此處看到多個登錄請求，則表示您的站點受到蠻力攻擊。

在 DDoS 攻擊下該怎麼辦？

您可以使用 CloudFlare 和 Sucuri 等公司的 Web 應用程序防火牆來幫助防止 DDoS 攻擊。 但是，如果發生異常大的攻擊，它可能會影響您的站點。 因此，最好為您的站點可能受到 DDoS 攻擊的情況做好準備。 當您的網站受到 DDoS 攻擊時，請遵循以下提示：

1. 提醒團隊成員。

如果您在團隊中工作，最好在您發現這是 DDoS 攻擊時通知他們。 這樣做將使他們為任何查詢做好準備並找出可能的解決方案。

2. 通知您的客戶。

DDoS 攻擊可能會給您的客戶帶來極大的不便，因為它會影響用戶體驗。 不幸的是，這是真的，尤其是對於在線商店。 您的客戶可能無法登錄或下訂單。 因此，您可以向他們傳達該站點存在技術困難並且很快就會成為標準的。

這樣的消息會讓他們知道情況並稍後跟進。 畢竟，溝通將使您的品牌形象保持強大。

3. 聯繫您的託管和安全支持。

聯繫您的託管服務提供商和防火牆服務，告知他們您面臨的問題。 這可能會更快地解決問題，他們甚至可能會提供更多關於攻擊的更新。

如果您使用 Sucuri，則可以將其設置為偏執模式。 它將阻止您網站上的多個請求，從而使其僅可用於合法流量。

結論

您無法預測您的網站是否容易受到 DDoS 攻擊。 因此，您能做的最好的事情就是在成為 WordPress 的受害者之前學習如何阻止對 WordPress 的 DDoS 攻擊。

您剛剛學習了多種方法來阻止和防止 DDoS 攻擊。 如果你喜歡它，請在下面評論。

您還可以檢查：

• 保護您的 WordPress 網站的 WordPress 安全技巧
• 查找您的 WordPress 登錄 URL 並使其安全。