WordPress DK Forum

1. 

   boldt
   

   Senioradministrator
   Joined: apr '08
   Posts:

   Reputation:

    

   Jeg har tidligere lovet et indlæg om, hvordan jeg sikrer mine Wordpress hjemmesider. Du er velkommen til at kommentere og bidrage med, hvad du gør.

   Vores hjemmesider besøges ustandseligt af robotter, Webbots, Spiders... som forsøger at trænge ind i vores maskinrum til Wordpress, men med plugins forsøger jeg at sikre mine hjemmesider.

   Nu bruger jeg 2 plugins til at sikre mine hjemmesider:

   iThemes Security
   Denne Plugin overvåger din trafik, om der er forsøg på ulovlig indtrængen, samt blokkerer de slemme IP og Hosts.

   Med denne plugin vil du hurtigt opdage, hvor tæt trafik der egentlig er med dem du ikke bryder dig om.

   Husk når du installerer iThemes Security at gennemgå indstillingerne med en tættekam. Blandt andet:

   1) Away Mode - Er det nødvendigt at der er adgang til login udenfor kontortid?

   2) Local Brute Force Protection - Hvor mange forsøg skal der til før man har skrevet korrekt kodeord og, hvor lang tid skal der gå før man må prøve igen?
   Selvfølgelig skal brugere der kalder sig "Admin" blokkeres med det samme.

   3) WordPress Tweaks - Skal der altid være åbent til Tema og Plugin Fil-Editoren?

   Hide login page, Hide wp admin – stop attack on login page
   Denne plugin omdøber login-siden fra "minhjemmeside/wp-login" til minhjemmeside/valgfrit-navn". På den måde bliver login-siden usynlig for Webbots og Spiders, men det er stadigvæk muligt at have login link på din side, du skal blot oprette det manuelt.

   Men pluginen kan mere.
   Det er også muligt at omdirigere Fejl 404 til en side (for eksempel din forside, landing page, eller søgeside).

   Vigtigst af alt: hold temaer og plugins opdateret
   Jeg har tidligere haft Honey Pots og IP Ban plugins, men da disse ikke er blevet opdateret de seneste år har jeg valgt at skrotte dem til fordel for ovenstående.

   Plugins og Temaer som ikke bliver vedligeholdt bliver med tiden hullede og derfor stedet hvorigennem ulovlig indtrængen foretages.

   Skrevet 5 years siden #
2. 

   boldt
   

   Senioradministrator
   Joined: apr '08
   Posts:

   Reputation:

    

   Status for de seneste 2 ugers brug af de 2 plugins på mine 8 WP-hjemmesider:

   2 af siderne har registreret forsøg på ulovligt indtrængen.
   4 gange i alt er der registreret forsøg på ulovlig indtrængen, hvoraf 2 blev afvist fordi de skete udenfor kontortid.

   Det lave antal forsøg på ulovlig indtrængen tilskriver jeg pluginen:
   Hide login page, Hide wp admin – stop attack on login page
   Til sammenligning havde jeg før installation mellem 1 og 4 forsøg på ulovlig indtrængen - dagligt på hver hjemmeside.

   At der i det hele taget er nogle uvedkommende der kan komme ind og skrive login brugernavn/kode er dog lidt bekymrende fordi man ikke længere burde kunne tilgå wp-login/wp-admin siderne direkte, men skal via mit hemmelige "valgfrit-navn".

   Skrevet 5 years siden #
3. 

   Kryb
   

   Nyt medlem
   Joined: jan '19
   Posts:

   Reputation:

    

   Hej Boldt.

   Jeg brugte netop den samme metode, alligevel blev jeg hacket. Jo mere berømt side man har, jo flere forsøg på hacking kommer der. Når man jeg bruger nu også https://sucuri.net/. De har en levende skanner og tjekker den hver 12 time. Skulle det ske at uheldet er ude, jamen så bliver den først maskine renset, og hvis problemet ikke er løst kommer der en levende person og renser din side.

   Når men vil bare sige at min side blev renset på under en time som jeg personligt var glad for. Deres service er heller ikke gratis vil jeg så tilføje.

   Bedre sent end aldrig.

   Skrevet 5 years siden #
4. 

   stjans
   

   Supermedlem
   Joined: dec '12
   Posts:

   Reputation:

    

   Hej Bolt

   Tak for endnu et godt og konstruktivt indlæg.

   Jeg tror jeg vil prøve Hid login page af. Jeg tænker, om du kan gøre den mere sikker ved at bruge æ, ø og å ?. Scanning og forsøg kommer ofte udenlands fra - og de har ikke disse bogstaver ?

   P.S.: Bruger Wordfence gratis versionen. Har haft licenser til alle siderne, men føler ikke, at dette gav merværdi.

   Skrevet 5 years siden #
5. 

   boldt
   

   Senioradministrator
   Joined: apr '08
   Posts:

   Reputation:

    

   Der er mange huller ind til ens lille hjørne på webhotellet, og de går nødvendigvis ikke gennem wp-login. Jeg har haft indbrud gennem følgende huller:

   * Gamle, ikke opdaterede plugins. (Lang tid siden. Jeg holder nu alle plugins opdateret og udskifter til nyere, hvis de ikke vedligeholdes jævnligt.)

   * Gammelt arkiv/indhold fra før WP. (Jeg havde tidligere arkiv links til Sider oprettet før jeg fandt WP. Det er nu omskrevet eller slettet.)

   * Indbrud på tværs via andre hjemmeside-systemer. (Jeg har flere hjemmesider på samme hotel som ikke er skrevet i WP. Bl.a. et diskussionsforum som tidligere var drevet af en meget populær motor, men hullerne blev fundet hurtigere end patch'ene blev udsendt og herigennem var der adgang til alt mit indhold. Jeg har stadigvæk diskussionsforummet men det er nu skiftet ud med et anderledes, aldeles solidt et af slagsen.)

   * Manglende "firewall" mellem webhotellets brugere. (Webhoteller som ikke selv opdaterer eller udvider sikkerheden omkring adgangen til deres systemer kan blive angrebet.)

   Den "sjove" historie om en af mine websider der tidligere blev bombarderet med login forsøg, men som nu er stoppet er siden: vang.nu.

   Vang.nu er informationshjemmeside for fiskerlejet Vang på Bornholm, og vang.dk er ejet af et dansk kommunikationsrådgivningsfirma. Alle andre hjemmesider vang.com, vang.se, vang.de, vang... er ejet af takeaway restauranter.

   Gæt hvilket land de fleste indbrudsforsøg kommer fra?

   Disse indbrudsforsøg er nu helt stoppet efter jeg lavede et "Hide Login"

   "Hide Login" accepterer kun tegnene: 0-9 og a-z i valgfrit navn.

   Skrevet 5 years siden #

RSS feed for this topic

Svar

Du skal være logget ind for at skrive.