Ustawiamy automatyczną blokadę ataków brute force

Niezależnie od tego, czy zarządzamy małym blogiem, czy dużą stroną firmy, możemy paść ofiarą ataku typu brute force. Atak ten, to nic innego, jak próba złamania hasła sprawdzając wszystkie możliwe kombinacje. Co istotne, nie można się przed nim w pełni uchronić. Można się jedynie bronić. Na szczęście skutecznie.

Pierwsza i najskuteczniejsza linia obrony przed atakiem brute force polega na wykorzystaniu ich największej pięty achillesowej – czasu potrzebnego do udanego włamania. W tym celu powinniśmy zablokować atak jak najszybciej. Jest to bardzo proste i ogranicza się do trwałego lub czasowego zablokowania dostępu do strony (lub choćby formularza logowania) dla IP, z którego pochodzi atak. Można robić to manualnie, wpisując adres włamywacza do pliku .htaccess albo zdać się na wtyczkę taką jak iThemes Security, dzięki której IP będą dodawane nawet, gdy będziemy spali.

Konfiguracja wtyczki iThemes Security jest banalnie prosta. Po instalacji wtyczki przechodzimy korzystając z menu po lewej stronie panelu administracyjnego do zakładki Setting umieszczonej pod belką Security. W nowo wyświetlonym widoku odnajdujemy „Local Brute Force Protection” i klikamy „Configure Settings”.

Widok ustawień wtyczki iThemes Security dla WordPress

W tym miejscu powinniśmy wprowadzić wybrać następujące elementy:

  • Maksymalną liczbę prób logowania z jednego adresu IP – optymalne jest 5 prób
  • Maksymalną liczbę prób logowania z użyciem tego samego loginu – optymalne jest tutaj 10 prób
  • Czas, podczas którego pamiętane są nieudane próby logowania liczony od pierwszego błędnego wprowadzenia danych – standardem jest 30 minut.
  • Automatyczne blokowanie adresu IP przy próbie logowania wykorzystującego login „admin” – to pole powinniśmy zaznaczyć, jeżeli żaden z użytkowników na naszym WordPressie nie posiada loginu „admin”

Po wprowadzeniu powyższych ustawień zapisujemy je i możemy cieszyć się włączeniem ochrony przed atakami brute force, a o jej skuteczności dowiadywać się będziemy raz na jakiś czas otrzymując powiadomienie mailowe informujące o zablokowanie kolejnego ataku.

Oczywiście, zawsze może się zdarzyć atak przy wykorzystaniu wielu IP, przez co wykorzystywana wtyczka nie będzie aż tak skuteczna. Należy jednak pamiętać, że przy zaproponowanych przeze mnie ustawieniach złamanie hasła składającego się z 8 liczb pochłonie około 655 350 prób (2k-1 T przy czym T to złożoności pojedynczej operacji, a długość klucza to k) i aby była wykonana w dość krótkim czasie ataki z 131 070 adresów IP musiałyby być przeprowadzane częściowo jednocześnie. Z wtyczką iThemes Security możemy spać zatem faktycznie spokojnie.

Tags:, ,

Redaktor naczelny serwisu WPhaker.pl. Na co dzień administrator kilkudziesięciu witryn na systemie WordPress oraz audytor bezpieczeństwa stron. Po godzinach stara się sprawić, by jego mieszkanie stało się inteligentne.
Facebook - LH.pl

Page plugin Facebook nie działa poprawnie. Proszę włączyć śledzenie w ustawieniach przeglądarki.