WordPress'i güvenli hale getirmek: işe yarayan sıra

“WordPress'i güvenli hale getirme” diye arama yapan, yirmi maddelik listeler bulur. Buradaki sorun maddelerin yanlış olması değil, eşit ağırlıkta yan yana durmalarıdır. İlk üçü, geri kalan on yedisinin toplamından daha fazla fayda sağlar.

1. sıra: güncellemeler, hem de zamanında

Ele geçirilen sitelerin çoğu incelikli bir saldırıyla değil, haftalardır güncellemesi bulunan bir eklentideki bilinen bir açık yüzünden düşer. Otomatik toplu taramalar tam olarak bunu arar.

Pratikte bu şu demektir: güvenlik güncellemeleri otomatik, özellik güncellemeleri kısa bir kontrolden sonra elle — ve her güncellemeden önce bir yedekleme noktası, böylece güncelleme korkusu onu erteleme nedenine dönüşmez.

İki yıldır güncelleme almamış bir eklenti, çalışıyor olsa bile bir risktir. Fırsat bu fırsat toparla: kullanılmayan şey devre dışı bırakılmamalı, silinmelidir.

2. sıra: giriş

En sık kullanılan ikinci kapı bir paroladır. Bu sırayla dört önlem:

1. Başarısız denemeleri sınırla — bu, otomatik tahmin denemelerinin zeminini ortadan kaldırır.
2. Parola gücünü zorunlu kıl, en azından yayımlama yetkisi olan herkes için.
3. İkinci faktörü aç, en azından yöneticiler için.
4. “admin” kullanıcı adına sahip hesap olmasın ve hiçbir rol gerekenden yüksek olmasın.

Giriş adresini taşımak beşinci bir maddedir, ama daha zayıf bir madde: toplu taramaları uzak tutar ve yükü azaltır, ama yukarıdaki dört önlemin hiçbirinin yerini tutmaz. Bunu kullanan, kaydetmeden önce yeni adresi not etmelidir.

3. sıra: sıkılaştırma — bir kez ayarla, sonra unut

• Yönetim panelinde dosya düzenlemeyi kapat — zararlı kod en çok oraya bırakılır
• Hiçbir şey ihtiyaç duymuyorsa XML-RPC'yi kapat
• Dizin listelemeyi engelle
• Uploads klasöründe PHP çalıştırılmasını önle
• REST API üzerinden kullanıcı numaralandırmayı kısıtla
• Güvenlik header'larını ayarla

Bu anahtarlar çalışma sırasında hiçbir maliyet getirmez ve her biri bilinen bir kestirme yolu kapatır. Tüm listenin en iyi çaba-fayda noktasıdırlar.

4. sıra: neyin değiştiğini görmek

Buradan itibaren konu artık önlemek değil, fark etmektir. İki şey işe yarar:

Çekirdek karşılaştırması, WordPress dosyalarını api.wordpress.org'un sağlama toplamlarıyla karşılaştırır. Değiştirilmiş bir çekirdek dosyası çok açık bir işarettir — orada kimsenin bir şeyi değiştirmek için meşru bir nedeni yoktur.

Dosya nöbetçisi bir anlık görüntü alır ve sapmaları bildirir. Ancak alındığı an kadar iyidir: bir bulaşmadan sonra alınan anlık görüntü, zararlı kodu normal durum ilan eder.

Site kanıtlanabilir biçimde temizken anlık görüntüyü al — en iyisi yeni bir kurulumdan hemen sonra ya da kontrol edilmiş bir geri yüklemeden sonra.

5. sıra: güvenlik duvarı ve tarama

İkisi de anlamlıdır ve ikisi de bilinçli olarak burada, aşağıda duruyor. PHP'deki bir güvenlik duvarı ancak WordPress başlarken çalışır — web sunucusunun önündeki bir güvenlik duvarının yerini tutmaz. Bir tarama her zararlı kodu değil, kalıplarına benzeyeni bulur.

Kural sayısından daha önemlisi yanlış alarmlarla nasıl başa çıkıldığıdır. Özeti sürekli kırmızı olan bir araç artık hiçbir şeyi korumaz — tıklayıp geçmeyi alışkanlık haline getirir. Bu yüzden güvenlik duvarının önce bir hafta yalnızca bildirmesine izin ver ve engellemesine izin vermeden önce kaydı gözden geçir.

Çoğu zaman en üstte duran ama oraya ait olmayanlar

Neredeyse tüm listelerin unuttuğu nokta

Bir güvenlik eklentisi olayları önler, bir yedek ise onları atlatır. İkisi arasında seçim yapmak zorunda kalan yedeği seçmelidir — diğer tüm önlemler başarısız olduğunda bile hâlâ işe yarayan tek önlem odur.

Sık sorulan sorular