iThemes Security Pro 功能聚焦 – 蠻力保護和禁止用戶

已發表: 2021-09-22

在 Feature Spotlight 帖子中，我們重點介紹了 iThemes Security Pro 中的一項功能，並分享了我們開發該功能的原因、該功能適用於誰以及如何使用該功能。

今天我們將介紹 iThemes Security Pro 插件中的兩個強大功能Local Brute Force Protection和Banned Users 。

您需要對被禁止的用戶進行暴力保護以保護您的 WordPress 網站的 3 個原因

WordPress 登錄是所有 WordPress 網站中受攻擊最多的部分。 WP 登錄成為攻擊者如此受歡迎的目標主要有以下三個原因：

  1. 每個 WordPress 站點的 WordPress 登錄 URL 都是相同的。 任何有 WordPress 使用經驗的人都知道 WordPress 的默認登錄 URL 位於/wp-login.php頁面上。 請記住，即使您使用插件來更改您保存登錄表單的 URL，它也不會改變您使用命令行登錄的方式。 大多數對 WordPress 登錄的攻擊將使用終端而不是網絡瀏覽器。
  2. WordPress 不限制無效登錄嘗試的次數。 默認情況下，WordPress 沒有內置任何內容來限制某人可以進行的失敗登錄嘗試次數。 攻擊者可以進行的登錄嘗試失敗次數沒有限制，他們可以不斷嘗試無數的用戶名和密碼，直到成功。
  3. 蠻力攻擊不需要技巧。 蠻力攻擊是指一種反複試驗的方法，用於發現用戶名和密碼組合以入侵網站。 任何初級黑客都可以創建一個在互聯網上搜索 WordPress 登錄頁面的機器人。 或者，您可以僅使用已創建的眾多開源蠻力應用程序之一。

由於這三個原因，您需要強力保護和禁止用戶保護您的 WordPress 網站的能力。

什麼是蠻力保護和禁止用戶？

您的 WordPress 登錄很像您家的前門。 如果您的前門沒有鎖，任何人都可以輕鬆地直接走進您的家，開始四處移動您的家具、砸碎您的東西並偷走您的電視。 只有在你的前門加一把鎖才能讓潛在的小偷更難闖入你的家才有意義。

正如我們之前提到的，WordPress 不限制某人可以進行的無效登錄嘗試的次數。 這意味著機器人可以永遠猜測用戶名和密碼的隨機組合，直到它們最終以蠻力進入您網站的後端。

iThemes Security Pro 插件會創建一個“鎖”，您可以將其添加到您的 WordPress 登錄名中。 此鎖旨在防止潛在的攻擊者能夠直接進入您網站的後端、更改您的頁面、竊取您的客戶信息或控制您的網站。

iThemes Security Pro 本地/網絡暴力保護和禁止用戶設置協同工作，以保護和保護您網站中受攻擊最多的部分，即 WordPress 登錄。

iThemes Security Pro 中的 2 種蠻力保護類型

iThemes Security Pro 中有兩種類型的蠻力保護。 您需要同時為您的站點提供雙重保護：

  • 本地蠻力保護– 本地蠻力保護著眼於訪問您網站的嘗試並禁止可疑用戶。
  • 網絡暴力保護– 網絡暴力保護允許您加入社區，並且擁有超過一百萬個強大的網站。 如果在 iThemes 安全社區中發現某個 IP 試圖闖入網站，則該 IP 將被添加到 Network Bruce Force 禁止列表中。

1. 本地暴力保護

iThemes Security 會主動監控對您網站的無效登錄嘗試，以觀察潛在的暴力攻擊。 本地蠻力保護是第一種蠻力保護，它跟踪主機或 IP 地址和用戶名進行的無效登錄嘗試。

一旦 IP 或用戶名連續進行過多次無效登錄嘗試，它們將被鎖定，並在設定的時間段內無法再進行任何嘗試。

2.網絡暴力保護

Network Brute Force Protection 更進一步。 該網絡是 iThemes 安全社區，擁有超過一百萬個強大的網站。 如果在 iThemes 安全社區中發現某個 IP 試圖闖入網站，則該 IP 將被添加到 Network Bruce Force 禁止列表中。

一旦某個 IP 出現在 Network Brute Force 禁止列表中，該 IP 將在網絡中的所有網站上被阻止。 因此，如果 IP 攻擊我的網站並被禁止，它將報告給 iThemes Security Brute Force Network。 我的報告可以幫助在整個網絡上禁止IP。 我喜歡我可以通過啟用 iThemes 安全網絡保護來幫助保護其他人的 WordPress 登錄。

激活 iThemes 蠻力保護網絡，加入 100 萬個其他網站，聯合打擊攻擊全球 WordPress 網站的惡意 IP。 您不僅要保護您的網站，還要幫助保護其他人的網站。

被禁止的用戶如何使用蠻力保護

iThemes Security Pro 禁止用戶功能會跟踪 IP 鎖定。 一旦某個 IP 成為屢犯者，iThemes Security Pro 就會將該 IP 添加到禁止主機列表中，並阻止該 IP 甚至能夠查看您的網站，更不用說嘗試登錄了。

重要的是要記住，沒有辦法防止在您的網站上發生攻擊； 重要的是要防止這些攻擊得逞。

如何在 iThemes Security Pro 中使用本地/網絡暴力保護和禁止用戶

首先，獲取 iThemes Security Pro。 使用普通的 WordPress 插件激活方法在您的 WordPress 站點上安裝並激活插件。

要開始使用本地和網絡暴力保護和禁止用戶功能，請導航到安全設置的功能菜單並啟用它們。

本地蠻力保護設置

讓我們使用Local Brute Force Protection齒輪來看看設置。

  • 自動禁止“管理員”用戶- 啟用後，登錄時使用管理員用戶名的任何人都會收到自動鎖定。
  • Max Login Attempts Per Host – IP 被鎖定之前允許的無效登錄嘗試次數。
  • Max Login Attempts Per User – 這是用戶名在被鎖定之前允許的無效登錄嘗試次數。
  • 記住錯誤登錄的分鐘數- 這是無效登錄嘗試應計入 IP 或用戶名以進行鎖定的時長。

在配置鎖定設置時，您需要記住幾件事。 您將希望向用戶提供移動無效登錄嘗試而不是提供 IP。 假設您的網站受到蠻力攻擊並且攻擊者使用您的用戶名。 目標是鎖定攻擊者的 IP 而不是您的用戶名，因此即使您的網站受到攻擊，您仍然可以登錄並完成工作。

您也不希望通過將無效登錄嘗試次數設置得太低以及將記住無效嘗試的時間設置得太長而使這些設置過於嚴格。 如果您將主機/IP 的無效登錄嘗試次數降低到 1，並將記住一次錯誤登錄嘗試的分鐘數設置為一個月，則會大大增加無意中鎖定合法用戶的可能性。

網絡暴力保護設置

讓我們使用Network Brute Force Protection齒輪來看看設置。

要獲取您的 Brute Force Network 許可證密鑰，請輸入您的電子郵件地址，選擇是否要接收電子郵件更新，然後單擊“保存”按鈕。

保存設置後，您將看到幾個新選項。

  • 禁止報告的 IP - 自動禁止被網絡報告為問題的 IP。
  • 重置 API 密鑰– 重置 API 密鑰將停用您的網絡暴力破解許可證。

禁止用戶設置

現在讓我們使用禁止用戶齒輪來查看設置。

  • 默認禁止列表- 啟用後，iThemes Security 將使用 hackrepair.com 的阻止列表從您的網站禁止已知的不良行為者。
  • 限制服務器配置文件中的禁止 IP – 限制服務器配置文件（.htaccess 和 nginx.conf）阻止的 IP 數量將有助於降低更新配置文件時服務器超時的風險。
  • 禁止用戶代理- 此列表中的用戶代理將不被允許訪問您的網站。

您可以查看禁止的主機列表，並從禁止用戶卡在安全儀表板上手動將 IP 添加到禁止列表。

為什麼我要限制服務器配置文件中禁用 IP 的數量？

限制服務器配置文件（.htaccess 和 nginx.conf）阻止的 IP 數量將有助於降低服務器更新這些文件時超時的風險。

每次更新文件時，服務器都會重寫整個文件。 這意味著如果您有一個包含 200 個禁止 IP 的 .htaccess 文件，並且您在禁止列表中添加了一個新 IP，則服務器將不得不重寫所有 201 個 IP。 如果您將任何其他服務器規則寫入您的 .htaccess，這些規則將必須與 201 禁令一起重寫。

.htaccess 或 nginx.conf 文件越大，更新時服務器超時的可能性就越大。 當您的網站受到攻擊時尤其如此，並且您的服務器必須多次更新您的服務器配置文件以跟上所有新 IP。

如果我的服務器配置文件中禁止的 IP 多於允許的 IP，會發生什麼情況？

如果禁止列表中的 IP 數量超過服務器配置文件限制，則將使用 PHP 阻止額外的 IP。

在設置服務器配置文件中的限制禁止 IP選項時要記住的一件事是，在服務器級別阻止 IP 比在應用程序級別使用 PHP 阻止 IP 更有效。 但是，這兩種方法的最終結果是相同的……壞人無法訪問您的網站。

一個快速說明。 我不會花太多時間擔心或監控您網站上發生的鎖定或禁令。 iThemes Security Pro 為您自動化所有這些，因此您可以將時間花在賺錢的活動上。

立即獲取 iThemes Security Pro！

默認情況下，WordPress 沒有內置任何內容來限制某人可以進行的失敗登錄嘗試次數。 攻擊者可以進行的登錄嘗試失敗次數沒有限制，他們可以繼續嘗試無數的用戶名和密碼，直到成功。

iThemes Security Pro Local & Network Brute Force Protection和Banned Users設置共同保護和保護您網站中受攻擊最多的部分，即 WordPress 登錄。 立即獲取 iThemes Security Pro 以保護您的網站免受暴力攻擊。

立即獲取 iThemes Security Pro

蠻力攻擊