ایمن سازی سایت وردپرس در برابر حملات Brute-Force

حملات Brute force چیست؟

حملات Brute Force  یکی از روش های هکرها برای یافتن رمزهای عبور می باشد. معمولا این کار توسط نرم افزار های مخصوصی انجام می شود. در این حملات هکرها هیچ اقدامی برای رمزگشایی پسورد نمی کنند؛ بلکه با استفاده از نرم افزارهایی سعی در حدس زدن پسورد و بررسی تمام حالات ممکن برای یافتن پسورد صحیح می نماید. این نوع حملات به دو فاکتور زمان زیاد و قدرت پردازش بالا احتیاج دارد. در صورتی که رمز پیچیده و طولانی باشد، این کار بسیار زمانبر خواهد شد.

راه های مقابله با حملات brute force در وردپرس:

1. انتخاب نام کاربری و کلمه عبور مناسب و تغییر مداوم آن:

برای انجام حملات بروت فورس فهمیدن نام کاربری الزامی است؛ بنابرین انتخاب نام کاربری مناسب و تعویض مرتب آن می‌تواند سد امنیتی مناسبی در برابر حملات ایجاد کند. همچنین مهم‌ترین عامل در جلوگیری از حملات بروت‌فورس، انتخاب رمز عبور مناسب است. به‌طور کلی انتخاب رمز عبور بین ۱۵ تا ۲۵ رقم، استفاده از جملات، استفاده نکردن از اسامی معروف، استفاده نکردن از علایم و رمزهای ساده و قابل حدس، ترکیب اعداد و علایم ویژه در رمز، از معیارهای مناسب برای انتخاب رمز عبور ایمن محسوب می‌شوند.

۲.استفاده از جدید ترین نسخه وردپرس:

یکی از مهم ترین مواردی که همواره در انتشار نسخه های وردپرس موردتوجه قرار می گیرد، برطرف نمودن حفره های امنیتی موجود در نسخه ی قبل و غیر قابل نفوذتر کردن این نرم افزار می باشد.

۳.نصب پلاگین های امنیتی وردپرس:

ابزارهای جانبی زیادی جهت ارتقا سطح امنیت وردپرس وجود دارد. پلاگین هایی مانند  Wordfence, Bulletproof, Simple Firewall  و iThemes Security از ابزارهای بسیار کاربردی در این زمینه می باشند.

۴.استفاده ازکد captcha  در کنار فرم ورود به پنل:

در حالت عادی یک فرم ورود شامل دو کادر نام کاربری و رمز عبور است، اما با اضافه کردن کادر captcha که یک عبارت مشخص در داخل آن نوشته شده، کاربر باید آن را در کادر پایین‌تر وارد کند که به‌اصطلاح به آن عبارت امنیتی گفته می‌شود. همچنین می‌توان به جای عبارت امنیتی، از سوال امنیتی استفاده کرد که کاربر باید جواب آن را در کادر پایین‌تر بدهد.

۵. بلاک کردن آی‌پی‌های مهاجم:

یکی دیگر از اقدامات مهم و موثر برای پنل مدیریت سایت و سرور، بلاک کردن آی‌پی‌هایی است که بیش از سه بار رمز عبور را اشتباه وارد می‌کنند. بر اساس این اقدام، هر آی‌پی که بیش از حد مجاز اقدام به تست رمز عبور در فرم ورود را انجام دهد توسط ابزار‌ها یا پلاگین‌های اختصاصی تا مدت زمان مشخصی بلاک خواهد شد. همچنین در تنظیمات سرور‌ها نیز این امکان وجود دارد تا توسط فایروال سرور آی‌پی‌های مهاجم بلاک شوند.

6. تایید هویت دو مرحله‌ای۲ FA :

تایید هویت دو مرحله‌ای لایه‌ امنیتی مضاعفی را برای حساب‌های کاربری آنلاین شما به وجود می‌آورد و در کاهش میزان احتمال موفقیت این حملات بسیار موثر خواهد بود. به یاد داشته باشید شما نمی توانید که این تلاش ها را متوقف کنید اما می توانید جلوی موفقیت آمیز بودن این حملات را بگیرید

7. محدود نمودن دسترسی به لینک های احراز هویت:

درصورتیکه شما از رمز های قوی استفاده کنید، باز هم هکرها لینک های احراز هویت سایت شما را مورد هدف قرار می دهند، آن ها تلاش می کنند اما موفق نمی شوند و اما این تلاش های نافرجام باعث بروز مشکلاتی مثل بالا رفتن لود سرور و کندی سرعت بارگزاری سایت شما خواهد شد. جهت رفع و جلوگیری از چنین مشکلی توصیه می کنیم در فایل htaccess  دسترسی به صفحات لاگین را به آدرس ip  محدود کنید، در صورتیکه از ip استاتیک استفاده می کنید، دسترسی را به ip استاتیک و در غیر اینصورت می توانید به محدوده رنج سرویس دهنده اینترنت خود، تعیین نمائید.

بعنوان مثال در صورتی که از وردپرس استفاده می کنید، تغییرات برای فایل htaccess به صورت زیر خواهد بود:

<Files /wp-login>

order deny,allow

allow from MYIP

allow from MYIP2

deny from all

</Files>

شما می توانید همین تغییر را برای هر URL احراز هویت مربوط به مدیریت محتوا یا سایت خود اعمال نمائید.