Jak chronić swoją witrynę WordPress przed atakami DDoS

Tylko w 2021 r. cyberprzestępcy przeprowadzili ponad 9,75 mln ataków DDoS. Biorąc pod uwagę duży odsetek stron internetowych korzystających z WordPressa, zabezpieczenie przed potencjalnymi zagrożeniami DDoS powinno być najwyższym priorytetem.

WordPress to najpopularniejsza platforma CMS na świecie, obsługująca ponad 43% stron internetowych. Ponieważ CMS jest bezpłatny i łatwy w użyciu, wiele osób, które prowadzą witryny WordPress, może nie mieć kompleksowych zabezpieczeń.

Podobnie jak musisz zoptymalizować swoje posty WordPress przed naciśnięciem „opublikuj”, Twoja witryna WordPress wymaga pewnej ochrony przed otwarciem dla publiczności.

Co to jest atak DDoS

Atak typu Distributed Denial-of-Service (DDoS) to jedna z metod, których złośliwi atakujący używają do atakowania witryn WordPress. Cel tych ataków jest prosty. Atakujący zalewają docelową witrynę tak wieloma żądaniami, że albo ulegają awarii, albo stają się tak wolne, że stają się bezużyteczne.

W ten sposób osoby atakujące uniemożliwiają legalnym odwiedzającym dostęp do witryny. Może to również zmusić właścicieli witryn do zwiększenia przez pewien czas wydatków na cyberbezpieczeństwo.

Jak działa atak DDoS

Celem ataku DDoS jest przytłoczenie docelowej strony internetowej. Jednak ataki pochodzące z jednego serwera są łatwe do zablokowania. Z tego powodu cyberprzestępcy często korzystają z botnetów. Są to sieci zainfekowanych komputerów zainfekowanych złośliwym oprogramowaniem, które atakujący może kontrolować.

Korzystanie z botnetów utrudnia również zespołom śledczym zidentyfikowanie źródła ataku po rozpoczęciu dochodzenia.

Potencjalne szkody, które może spowodować atak DDoS

Kiedy atak DDoS uderza w Twoją witrynę WordPress, może spowodować wiele szkód. Wpływ finansowy na niebiznesowe witryny WordPress może być mniejszy, ale nie mniej niszczycielski. Jeśli atak DDoS trafi na Twoją witrynę, możesz po prostu stracić dostęp do niej na krótki czas.

Witryny biznesowe są znacznie bardziej zagrożone i mogą ponieść znaczne straty. Oto niektóre z potencjalnych konsekwencji;

• Bezpośredni wpływ finansowy utraty sprzedaży
• Wysokie opłaty ponoszone za kryminalistykę po ataku
• Potencjalne ryzyko naruszenia danych
• Potencjalne uszkodzenie marki spowodowane negatywną opinią klienta

I więcej.

Problem z atakami DDoS polega na tym, że ich złagodzenie może być trudne. Niezależnie od tego istnieje kilka sposobów na zwiększenie odporności witryny WordPress na te ataki;

Ochrona witryny WordPress przed atakami DDoS

1. Wybierz niezawodnego hosta internetowego

   Pierwszą linią obrony każdej witryny WordPress jest zawsze dostawca usług hostingowych. Wielu nowych użytkowników często skupia się na podstawach hostingu. Obejmuje to cenę, zasoby, rodzaj planu i otrzymywane gratisy.

   Bezpieczeństwo jest istotnym, ale często pomijanym aspektem. Niektórzy dostawcy usług hostingowych współpracują z uznanymi markami bezpieczeństwa, takimi jak Sucuri, aby lepiej chronić swoje sieci. Inne, takie jak UltaHost, mają dedykowane plany VPS DDoS.

   Nie martw się, jeśli to cię zdezorientuje. Ponieważ WordPress jest tak popularny, wielu hostów oferuje również opcje hostingu Managed WordPress. Te konkretne plany pozwalają skupić się na budowaniu i prowadzeniu witryny WordPress, podczas gdy usługodawca zajmuje się szczegółami technicznymi, takimi jak bezpieczeństwo.

2. Użyj sieci dostarczania treści

   
   Sieć dostarczania treści (CDN) to zbiór serwerów rozmieszczonych na całym świecie, które współpracują ze sobą, aby szybko i niezawodnie dostarczać statyczne zasoby witryny. Celem jest upewnienie się, że Twoja witryna ładuje się szybko.

   Jednak sieci CDN zapewniają również dodatkowe korzyści w zakresie bezpieczeństwa, o których możesz nie wiedzieć. Dzięki globalnym sieciom serwerów strony internetowe mogą zmniejszyć potencjalną powierzchnię ataku poprzez dystrybucję obciążeń. Zasadniczo pożyczasz serwery CDN, aby sztucznie zwiększyć potencjał obsługi ruchu w witrynie.

   Dzięki tej funkcji atakujący będą musieli wydać znacznie więcej zasobów, jeśli chcą, aby ich atak DDoS zakończył się sukcesem. Jeśli atakujący zostanie zdeterminowany, nadal może pokonać witrynę korzystającą z sieci CDN.

   

   Podczas gdy większość CDN wymaga płatnej subskrypcji, Cloudflare oferuje bezpłatny plan, który powinien dobrze działać dla osób fizycznych i małych firm. Alternatywnie, niektóre CDN mają również bardzo przystępne ceny, takie jak BunnyCDN.

3. Użyj zapory aplikacji internetowej

   Inną funkcją zabezpieczeń, której możesz użyć, jest zapora aplikacji sieci Web (WAF). WAF to oprogramowanie, które znajduje się między Twoją witryną a Internetem, chroniąc ją przed złośliwymi użytkownikami. Czyni to poprzez filtrowanie żądań, sprawdzanie podejrzanego zachowania i zatrzymywanie potencjalnie niebezpiecznego ruchu, zanim dotrze on do Twojego serwera.

   Możesz użyć WAF do wielu rzeczy. Oprócz ochrony przed atakami DDoS mogą blokować iniekcje SQL lub XSS, zapobiegać próbom logowania brute-force w witrynach WordPress i nie tylko. Wiele sieci CDN zawiera funkcję WAF – czasami bezpłatnie lub za niewielką dodatkową opłatą.

4. Wyłącz pingbacki XML-RPC

   Wyłączenie funkcji pingback XML-RPC jest niezbędne, aby zmniejszyć liczbę żądań otrzymywanych przez witrynę. Ta funkcja umożliwia użytkownikom zostawianie komentarzy na Twoim blogu lub stronie internetowej za pomocą pingbacka. Niestety jest również często nadużywany przez osoby atakujące DDoS.

   Aby to zrobić, przejdź do Ustawienia> Dyskusja , a następnie kliknij „ Wyłącz pingi i trackbacki ”.

   Gdy to zrobisz, przewiń w dół, aż zobaczysz XML-RPC Pingbacks . Kliknij „ Wyłącz ” obok i zapisz zmiany .

   Jeśli nie ma możliwości wyłączenia funkcji pingback XML-RPC na stronie ustawień motywu lub panelu wtyczek (na przykład w samym WordPressie), możesz również rozważyć użycie wtyczki zabezpieczającej. Dobre wtyczki do rozważenia obejmują WordFence lub Sucuri Security.

5. Regularnie aktualizuj WordPress, aby zmniejszyć luki w zabezpieczeniach

   Aby chronić swoją witrynę przed atakami DDoS, powinieneś aktualizować WordPress i jego wtyczki, motywy i wtyczki bezpieczeństwa. Deweloperzy często przeglądają te aplikacje, aby wyeliminować niedociągnięcia, takie jak luki w zabezpieczeniach – oprócz wprowadzania nowych funkcji.

   Możesz zaktualizować WordPress ręcznie lub automatycznie, wykonując następujące kroki:

   1. Zaloguj się do swojego konta na stronie WordPress
   2. Kliknij Pulpit nawigacyjny w lewym menu nawigacyjnym
   3. Wybierz aktualizacje
   4. Zaktualizuj wtyczki pokazane na tym ekranie

   Wielu hostów internetowych oferuje również klientom opcję automatycznej aktualizacji WordPress za pośrednictwem panelu sterowania hostingu. Aby dowiedzieć się więcej na ten temat, porozmawiaj ze swoim dostawcą usług hostingowych.

   Ponadto zawsze uważaj na wtyczki, które zdecydujesz się dodać do swojej witryny WordPress. Nie wszystkie wtyczki są jednakowej jakości. Niektóre wprowadzają paskudne luki lub błędy, takie jak blokowanie dostępu do pulpitu administracyjnego WordPress.

6. Wyłącz REST API

   WordPress ma domyślnie włączone REST API. Ta funkcja jest potencjalnym wektorem ataków DDoS, ponieważ umożliwia użytkownikom zewnętrznym wysyłanie żądań do serwera. Atakujący mogą to wykorzystać, aby przytłoczyć witrynę lub spowodować jej awarię.

   Jednak interfejs API REST nie jest konieczny, aby WordPress działał, był bezpieczny lub wydajny. W przypadku wyłączenia nie stracisz żadnej funkcji, którą obecnie posiadasz w swojej witrynie — pozostanie ona taka, jaka była przed wyłączeniem interfejsu API REST.

   Najlepszym sposobem na wyłączenie WordPress REST API jest użycie wtyczki takiej jak Perfmatters. Wtyczki takie jak ta pozwolą Ci łatwo modyfikować niektóre ustawienia za pomocą przycisków przełączania – nie jest konieczne kodowanie.

Wniosek

WordPress to świetna platforma do tworzenia i zarządzania treścią. Ale nie jest doskonały i nie ochroni Cię przed wszystkimi zagrożeniami bezpieczeństwa. Musisz aktywnie chronić swoją witrynę, dlatego zalecamy korzystanie z zapory sieciowej lub innych podobnych usług, które mogą skanować ruch przychodzący ze źródeł zewnętrznych.

Nawet jeśli zlekceważysz wszystkie inne opcje, dobry hosting i niezawodny CDN to minimum niezbędne do ochrony Twojej witryny WordPress przed atakami DDoS.