Jak zatrzymać i zapobiec atakowi DDoS na WordPress

WordPress jest jednym z najpopularniejszych kreatorów stron internetowych na świecie, ponieważ oferuje potężne funkcje i bezpieczny kod. Jednak ta popularność czyni go celem ataków DDoS.

Hakerzy wykorzystują ataki DDoS do spowalniania stron internetowych i uniemożliwiania do nich dostępu użytkownikom. Ataki te mogą dotyczyć zarówno małych, jak i dużych witryn. Konsekwencje ataku DDoS mogą być poważne, prowadząc do utraty przychodów, uszczerbku na reputacji i frustracji odwiedzających.

WPBeginner był celem wielu z tych ataków i nauczyliśmy się, jak podejmować kroki w celu zminimalizowania ryzyka i zapewnienia bezpieczeństwa naszej witryny. Możesz się zastanawiać, jak mała witryna biznesowa korzystająca z WordPressa może zapobiegać takim atakom DDoS przy ograniczonych zasobach.

Ten przewodnik pokaże Ci, jak zapobiegać atakom DDoS i je zatrzymywać w WordPressie, pozwalając Ci pewnie zarządzać bezpieczeństwem Twojej strony internetowej przed atakami jak prawdziwy profesjonalista.

Czym jest atak DDoS?

DDoS (Distributed Denial of Service) to rodzaj cyberataku, który wykorzystuje skompromitowane komputery i urządzenia do wysyłania lub żądania danych z serwera hostingu WordPress. Celem tych żądań jest spowolnienie, a ostatecznie awaria docelowego serwera.

Ataki DDoS wyewoluowały z ataków DoS (Denial of Service). W przeciwieństwie do ataku DoS, wykorzystują one wiele skompromitowanych maszyn lub serwerów rozmieszczonych w różnych regionach.

Te skompromitowane maszyny tworzą sieć, którą czasami nazywa się botnetem. Każda zainfekowana maszyna działa jak bot i przeprowadza ataki na docelowy system lub serwer. Pozwala to na pewien czas pozostać niezauważonym i spowodować maksymalne szkody, zanim zostaną zablokowane.

Nawet największe firmy internetowe są podatne na ataki DDoS.

W 2018 roku GitHub, popularna platforma do hostowania kodu, był świadkiem masowego ataku DDoS, który wysłał 1,3 terabajta ruchu na sekundę do ich serwerów.

Możesz również pamiętać notoryczny atak z 2016 roku na DYN (dostawcę usług DNS). Atak ten zyskał światowe relacje medialne, ponieważ dotknął wiele popularnych witryn, takich jak Amazon, Netflix, PayPal, Visa, Airbnb, The New York Times, Reddit i tysiące innych witryn.

FAQ dotyczące DDoS

Oto kilka odpowiedzi na często zadawane pytania dotyczące ataków DDoS.

Dlaczego dochodzi do ataków DDoS?

Istnieje kilka motywacji stojących za atakami DDoS. Oto kilka powszechnych:

• Osoby technicznie zaawansowane, którym się nudzi, uważają to za przygodę
• Ludzie i grupy wysuwające polityczne punkty widzenia
• Grupy atakujące strony internetowe i usługi określonego kraju lub regionu
• Ukierunkowane ataki na konkretną firmę lub dostawcę usług w celu spowodowania strat finansowych
• Szantaż w celu zebrania pieniędzy z okupu

Jaka jest różnica między atakiem typu brute force a atakiem DDoS?

Ataki siłowe (brute force) próbują uzyskać nieautoryzowany dostęp do systemu poprzez zgadywanie haseł lub próbowanie losowych kombinacji.

Ataki DDoS służą wyłącznie do awarii docelowego systemu, czyniąc go powolnym lub niedostępnym.

Aby uzyskać więcej informacji, zapoznaj się z naszym przewodnikiem na temat blokowania ataków typu brute-force w WordPressie.

Jakie szkody może spowodować atak DDoS?

Ataki DDoS mogą obniżyć wydajność strony internetowej lub uczynić ją niedostępną. Skutkuje to złym doświadczeniem użytkownika, utratą biznesu i kosztami związanymi z łagodzeniem skutków ataku, które mogą wynosić tysiące dolarów.

Oto zestawienie tych kosztów:

• Utrata biznesu z powodu niedostępności strony internetowej
• Koszt obsługi klienta w celu odpowiadania na zapytania związane z zakłóceniami usług
• Koszt łagodzenia ataku poprzez zatrudnienie usług bezpieczeństwa lub wsparcia
• Największym kosztem jest złe doświadczenie użytkownika i reputacja marki

Jak mogę zatrzymać i zapobiegać atakom DDoS w WordPress?

Ataki DDoS mogą być sprytnie ukryte i trudne do zwalczenia. Jednak dzięki kilku podstawowym najlepszym praktykom bezpieczeństwa możesz zapobiegać atakom DDoS i łatwo je zatrzymywać, aby nie wpływały na Twoją stronę WordPress.

Oto kroki, które należy podjąć, aby zapobiec atakom DDoS na Twoją witrynę i je zatrzymać:

1. Usuń pionowe elementy ataków DDoS / Brute Force
2. Aktywuj WAF (zapora aplikacji internetowej)
3. Zidentyfikuj, czy jest to atak siłowy, czy DDoS
4. Co robić podczas ataku DDoS
5. Jak zabezpieczyć swoją witrynę WordPress

Usuń pionowe elementy ataków DDoS / Brute Force

Najlepsze w WordPressie jest to, że jest on bardzo elastyczny. WordPress pozwala na integrację zewnętrznych wtyczek i narzędzi z Twoją stroną internetową i dodawanie nowych funkcji.

Aby to zrobić, WordPress udostępnia programistom kilka interfejsów API. Te interfejsy API to metody, za pomocą których zewnętrzne wtyczki i usługi WordPress mogą wchodzić w interakcję z WordPressem.

Jednak niektóre z tych interfejsów API mogą być również wykorzystywane podczas ataku DDoS poprzez wysyłanie dużej liczby żądań. Możesz je bezpiecznie wyłączyć, aby zmniejszyć liczbę tych żądań.

Wyłącz XML RPC w WordPress

XML-RPC pozwala aplikacjom innych firm na interakcję z Twoją witryną WordPress. Na przykład, potrzebujesz XML-RPC, aby używać aplikacji WordPress na swoim urządzeniu mobilnym.

Jeśli jesteś jak ogromna większość użytkowników, którzy nie korzystają z aplikacji mobilnej do zarządzania swoją witryną, możesz wyłączyć XML-RPC, po prostu dodając następujący kod do pliku .htaccess swojej witryny:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternatywne metody znajdziesz w naszym przewodniku, jak łatwo wyłączyć XML-RPC w WordPressie.

Wyłącz REST API w WordPress

WordPress JSON REST API pozwala wtyczkom i narzędziom na dostęp do danych WordPress, aktualizację treści i/lub nawet ich usuwanie. Oto jak można wyłączyć REST API w WordPress.

Zalecamy użycie wtyczki WPCode. Jest to najlepsza wtyczka do fragmentów kodu, która pozwoli Ci wyłączyć REST API za pomocą kilku kliknięć.

Więcej informacji znajdziesz w naszym przewodniku, jak wyłączyć JSON REST API w WordPressie.

Alternatywnie, możesz użyć wtyczki Disable WP Rest API. Wtyczka działa od razu i wyłączy REST API dla wszystkich niezalogowanych użytkowników.

Aktywuj WAF (zapora aplikacji internetowej)

Wyłączenie wektorów ataku, takich jak REST API i XML-RPC, zapewnia ograniczone zabezpieczenie przed atakami DDoS. Twoja witryna jest nadal narażona na normalne żądania HTTP.

Chociaż możesz zminimalizować niewielki atak DDoS, próbując wyłapać złe adresy IP maszyn i blokując je ręcznie, to podejście jest mniej skuteczne w przypadku dużego ataku.

Najprostszym sposobem na zablokowanie podejrzanych żądań jest aktywacja zapory sieciowej aplikacji internetowej.

Zapora aplikacji internetowej działa jako pośrednik między Twoją witryną a całym przychodzącym ruchem. Wykorzystuje inteligentny algorytm do przechwytywania wszystkich podejrzanych żądań i blokowania ich, zanim dotrą do serwera Twojej witryny.

Zalecamy używanie Sucuri, ponieważ jest to najlepsza wtyczka bezpieczeństwa WordPress i zapora sieciowa dla stron internetowych. Działa na poziomie DNS, co oznacza, że może przechwycić atak DDoS, zanim ten zdąży wysłać żądanie do Twojej witryny.

Ceny dla Sucuri zaczynają się od 199,99 USD rocznie.

Używamy Sucuri na WPBeginner. Zobacz nasze studium przypadku, jak pomogli zablokować setki tysięcy ataków na naszą stronę internetową.

Alternatywnie możesz użyć Cloudflare. Jednak darmowa usługa Cloudflare zapewnia tylko ograniczoną ochronę przed DDoS. Aby uzyskać ochronę przed DDoS warstwy 7, musisz wykupić co najmniej ich plan biznesowy, który kosztuje około 200 USD miesięcznie.

Zobacz nasz artykuł na temat Sucuri vs. Cloudflare, aby uzyskać szczegółowe porównanie.

Zidentyfikuj, czy jest to atak siłowy, czy DDoS

Zarówno ataki siłowe, jak i DDoS intensywnie wykorzystują zasoby serwera, co oznacza, że ich objawy wyglądają dość podobnie. Twoja witryna będzie działać wolniej i może ulec awarii.

Możesz łatwo dowiedzieć się, czy jest to atak siłowy, czy atak DDoS, przeglądając raporty logowania wtyczki Sucuri.

Po prostu zainstaluj i aktywuj darmowy plugin Sucuri, a następnie przejdź do strony Sucuri Security » Last Logins.

Jeśli widzisz dużą liczbę losowych prób logowania, oznacza to, że Twój wp-admin jest atakowany siłą. Aby temu zaradzić, zapoznaj się z naszym przewodnikiem, jak blokować ataki siłowe w WordPress.

Co robić podczas ataku DDoS

Ataki DDoS mogą wystąpić nawet wtedy, gdy masz zaimplementowaną zaporę sieciową aplikacji internetowej i inne zabezpieczenia. Firmy takie jak CloudFlare i Sucuri regularnie radzą sobie z tymi atakami, a przez większość czasu nigdy o nich nie słyszysz, ponieważ potrafią je łatwo zminimalizować.

Jednak w niektórych przypadkach, gdy te ataki są duże, nadal mogą Cię dotknąć. W takim przypadku najlepiej być przygotowanym na łagodzenie problemów, które mogą pojawić się podczas i po ataku DDoS.

Oto kilka rzeczy, które możesz zrobić, aby zminimalizować wpływ ataku DDoS.

1. Poinformuj członków swojego zespołu

Jeśli masz zespół, musisz poinformować współpracowników o problemie.

Pomoże im to przygotować się na zapytania od klientów, wypatrywać potencjalnych problemów i pomóc w trakcie lub po ataku.

2. Poinformuj klientów o niedogodnościach

Atak DDoS może wpłynąć na doświadczenie użytkownika na Twojej stronie internetowej. Jeśli prowadzisz sklep WooCommerce, Twoi klienci mogą nie być w stanie złożyć zamówienia ani zalogować się na swoje konta.

Możesz ogłosić za pośrednictwem swoich kont w mediach społecznościowych, że Twoja strona internetowa ma problemy techniczne i wszystko wkrótce wróci do normy.

Jeśli atak jest duży, możesz również skorzystać z usługi marketingu e-mailowego, aby komunikować się z klientami i poprosić ich o śledzenie Twoich aktualizacji w mediach społecznościowych.

Jeśli masz klientów VIP, możesz chcieć skorzystać z usługi telefonicznej dla firm, aby wykonywać indywidualne połączenia i informować ich o tym, jak pracujesz nad przywróceniem usług.

Komunikacja w tych trudnych czasach ma ogromne znaczenie dla utrzymania silnej reputacji Twojej marki.

3. Skontaktuj się z pomocą techniczną hostingu i bezpieczeństwa

Skontaktuj się ze swoim dostawcą hostingu WordPress. Atak na Twoją witrynę może być częścią większego ataku wymierzonego w ich systemy. W takim przypadku będą oni w stanie przekazać Ci najnowsze informacje o sytuacji.

Skontaktuj się ze swoim dostawcą usług zapory sieciowej i poinformuj go, że Twoja strona internetowa jest celem ataku DDoS. Mogą oni być w stanie szybciej złagodzić sytuację i dostarczyć Ci więcej informacji.

Dzięki dostawcom zapór sieciowych, takim jak Sucuri, możesz również ustawić swoje ustawienia w trybie „Paranoidalnym”, który pomaga blokować wiele żądań i sprawia, że Twoja witryna jest dostępna dla zwykłych użytkowników.

Jak zabezpieczyć swoją witrynę WordPress

WordPress jest całkiem bezpieczny od razu po instalacji. Jednak jako najpopularniejszy kreator stron internetowych na świecie, jest on często celem hakerów.

Na szczęście istnieje wiele najlepszych praktyk bezpieczeństwa, które możesz zastosować na swojej stronie internetowej, aby uczynić ją jeszcze bezpieczniejszą.

Przygotowaliśmy kompletny, krok po kroku przewodnik po bezpieczeństwie WordPressa dla początkujących. Przeprowadzi Cię przez najlepsze ustawienia bezpieczeństwa WordPressa, aby chronić Twoją witrynę i jej dane przed powszechnymi zagrożeniami.

Możesz również zapoznać się z innymi artykułami dotyczącymi poprawy bezpieczeństwa WordPress:

• Jak przeprowadzić audyt bezpieczeństwa WordPress (kompletna lista kontrolna)
• Najlepsze wtyczki bezpieczeństwa WordPress do ochrony Twojej witryny (porównanie)
• Najlepsze skanery bezpieczeństwa WordPress do wykrywania złośliwego oprogramowania i włamań
• Jak przeskanować swoją witrynę WordPress pod kątem potencjalnie złośliwego kodu
• Najważniejsze powody, dla których strony WordPress są hakowane (& jak temu zapobiec)
• Jak chronić swoją witrynę WordPress przed atakami typu brute force
• Jak znaleźć tylne drzwi w zhakowanej witrynie WordPress i je naprawić
• Jak monitorować aktywność użytkowników w WordPress za pomocą dzienników audytu bezpieczeństwa
• Jak dodać nagłówki bezpieczeństwa HTTP w WordPress (przewodnik dla początkujących)

Mamy nadzieję, że ten artykuł pomógł Ci dowiedzieć się, jak blokować i zapobiegać atakom DDoS na WordPress. Możesz również zapoznać się z naszym przewodnikiem na temat zapobiegania atakom SQL Injection na WordPress oraz naszej niezbędnej listy kontrolnej kluczowych zadań konserwacyjnych WordPressa do regularnego wykonywania.

Jeśli podobał Ci się ten artykuł, zasubskrybuj nasz kanał YouTube po samouczki wideo WordPress. Możesz nas również znaleźć na Twitterze i Facebooku.