All-In-One Security vs. Kakapo Security: punkty czy dowody?

All-In-One Security to popularna bezpłatna wtyczka bezpieczeństwa z systemem punktowym: każde włączone zabezpieczenie podnosi wynik bezpieczeństwa. To motywuje — i kusi, by przestawiać przełączniki, których działania się nie zna.

Krótka odpowiedź

AIOS obejmuje ochronę logowania, hardening, prosty firewall i zmiany w plikach, jest bezpłatny i łatwo dostępny. Liczba punktów pokazuje postęp, ale nie mówi nic o tym, ile daje które zabezpieczenie.

Kakapo Security rezygnuje z punktacji i stawia na możliwość wglądu: 40 wzorców firewalla i 22 wzorce skanowania znajdują się w dostarczanym kodzie źródłowym, do tego lista podejść, które w pomiarach dawały zbyt wiele fałszywych alarmów. Dziennik aktywności jest powiązany w łańcuch i obliczany względem wartości z pliku wp-config.php.

Czym się różnią

Dlaczego bez punktacji

Punktacja zakłada, że zabezpieczenia da się sumować. A nie da się: szybkie aktualizacje i drugi składnik uwierzytelniania razem dają więcej niż tuzin drobnych przełączników hardeningu — ale w systemie punktowym liczą się tak samo.

Gorszy jest drugi efekt: kto optymalizuje pod 100 punktów, włącza także rzeczy, które na jego stronie mają skutki uboczne. Przełącznik, który daje jeden punkt i psuje kreator stron, to zły interes.

Jeśli używasz narzędzia z punktacją: nie włączaj niczego, czego działania nie potrafisz wyjaśnić jednym zdaniem. Liczba punktów nie jest celem.

Kiedy All-In-One Security jest lepszym wyborem

• Chcesz zacząć za darmo
• Lubisz prowadzoną konfigurację z widocznym postępem
• Potrzebujesz tylko ochrony logowania i podstawowego hardeningu

Kiedy Kakapo Security jest lepszym wyborem

• Chcesz móc przeczytać, czego się szuka
• Potrzebujesz dziennika, po którym widać późniejsze zmiany
• Nic nie ma trafiać do usługi bezpieczeństwa
• Opiekujesz się kilkoma stronami w ramach jednej licencji

Przejście: co trzeba zrobić

1. Zanotuj zmieniony adres logowania, jeśli jest ustawiony — inaczej zablokujesz sam siebie.
2. Sprawdź, jakie reguły zostały zapisane w .htaccess; wtyczki bezpieczeństwa chętnie zostawiają tam swoje bloki.
3. Zainstaluj Kakapo Security i wpisz klucz licencyjny.
4. Najpierw ustaw firewall na „Obserwuj” (po niemiecku: „Beobachten“) i pozwól mu działać przez tydzień.
5. Zarejestruj stan plików, dopóki da się wykazać, że strona jest czysta.
6. Wyłącz starą wtyczkę, a potem przełącz na „Blokuj” (po niemiecku: „Blockieren“).

Czego żadna z nich nie zastąpi

Wtyczka bezpieczeństwa to jedna warstwa, a nie dach. Trzy rzeczy pozostają twoim zadaniem i w praktyce zapobiegają większej liczbie incydentów niż jakiekolwiek ustawienie firewalla.

• Aktualizacje. Zdecydowana większość udanych włamań wykorzystuje luki, na które od dawna istniała aktualizacja.
• Kopie zapasowe. Tylko one liczą się po incydencie — i tylko one pomagają także wtedy, gdy wcale nie zostałeś zaatakowany, tylko sam coś popsułeś.
• Uporządkowane dostępy. Każdy dostęp, którego nikt już nie potrzebuje, to drzwi, których nikt już nie pilnuje.

Te trzy rzeczy nie kosztują pieniędzy ani nie wymagają szczególnej wiedzy. Kto o nie dba, z wtyczką bezpieczeństwa zyskuje wiele. Kto nie dba, kupuje sobie wtyczką przede wszystkim lepsze samopoczucie.

Gdzie Kakapo Security celowo nic nie robi

Żeby oczekiwania były trafne, oto granice czarno na białym: logowanie dwuskładnikowe wysyła kody e-mailem, aplikacje uwierzytelniające nie są obsługiwane. Nie ma utrzymywanej bazy sygnatur złośliwego kodu — skanowanie szuka wzorców, a nie znanych szkodników z nazwy. Porównanie podatności przyjmuje wprawdzie adres źródła, ale domyślnie żadnego nie dostarcza. Do tego firewall działa w WordPressie, a nie przed nim — ataku, który przeciąża serwer, wtyczka PHP nie przechwyci, obojętnie która.

To, co robi zamiast tego, jest ściśle określone i sprawdzalne: rozpoznaje i odrzuca wzorce, porównuje pliki rdzenia z sumami kontrolnymi z api.wordpress.org, zauważa zmiany w plikach i zapisuje każdą decyzję w łańcuchu, którego nie da się później niepostrzeżenie zmienić. Kto potrzebuje tych czterech rzeczy, trafił dobrze. Kto szuka bazy sygnatur — nie.

Przy każdej wtyczce bezpieczeństwa sprawdź, gdzie działa firewall. Przed serwerem lepiej radzi sobie z przeciążeniem, w WordPressie jest dokładniejszy przy żądaniach kierowanych do samego WordPressa. Jedno i drugie naraz jest możliwe tylko wtedy, gdy współpracuje hostingodawca.

Najczęściej zadawane pytania