Der Server hat meine IP-Adresse in der Firewall blockiert, als ich auf den WordPress-Administrationsbereich zugreifen wollte

Das Problem wird wahrscheinlich durch die auf Ihrer Domain aktivierte Web Application Firewall ModSecurity™ verursacht.
Was macht ModSecurity™?Nachfolgend finden Sie eine Liste der wichtigsten Einsatzszenarien:

• • Echtzeitüberwachung der Anwendungssicherheit und Zugriffskontrolle

• • • Im Kern ermöglicht Ihnen ModSecurity den Zugriff auf den HTTP-Datenverkehr in Echtzeit sowie dessen Überprüfung. Das genügt für eine Sicherheitsüberwachung in Echtzeit. Durch den persistenten Speichermechanismus von ModSecurity eröffnet sich eine zusätzliche Dimension: Sie können Systemelemente über einen längeren Zeitraum verfolgen und Ereigniskorrelationen durchführen. Auf Wunsch können Sie Zugriffe zuverlässig blockieren, da ModSecurity Anfragen und Antworten vollständig zwischenspeichert (Buffering).

• • Vollständige Protokollierung des HTTP-Datenverkehrs

• • • Webserver protokollieren herkömmlicherweise nur sehr wenig, wenn es um sicherheitsrelevante Daten geht. Standardmäßig wird kaum etwas aufgezeichnet, und selbst mit umfangreichen Anpassungen erhalten Sie nicht alle benötigten Informationen. Mir ist bisher noch kein Webserver begegnet, der vollständige Transaktionsdaten protokollieren kann. ModSecurity bietet Ihnen die Möglichkeit, alles zu protokollieren, was Sie benötigen, einschließlich der Rohdaten von Transaktionen, die für forensische Analysen unerlässlich sind. Außerdem legen Sie fest, welche Transaktionen protokolliert werden, welche Teile einer Transaktion aufgezeichnet werden und welche Teile bereinigt (anonymisiert) werden.

• • Kontinuierliche passive Sicherheitsbewertung

• • • Eine Sicherheitsbewertung wird meist als aktive, geplante Maßnahme verstanden, bei der ein unabhängiges Team beauftragt wird, einen simulierten Angriff durchzuführen. Die kontinuierliche passive Sicherheitsbewertung ist eine Variante der Echtzeitüberwachung, bei der Sie sich nicht auf das Verhalten externer Parteien, sondern auf das Verhalten des Systems selbst konzentrieren. Sie fungiert gewissermaßen als Frühwarnsystem, das Spuren vieler Auffälligkeiten und Sicherheitslücken erkennen kann, bevor diese ausgenutzt werden.

• • Härtung von Webanwendungen

• • • Einer meiner liebsten Einsatzzwecke für ModSecurity ist die Reduzierung der Angriffsfläche. Dabei schränken Sie gezielt die HTTP-Funktionen ein, die Sie akzeptieren möchten (z. B. Anfragemethoden, Anfrage-Header, Inhaltstypen usw.). ModSecurity kann Sie bei der Durchsetzung vieler solcher Einschränkungen unterstützen, entweder direkt oder in Zusammenarbeit mit anderen Apache-Modulen. All dies fällt unter die Härtung von Webanwendungen. So lassen sich beispielsweise viele Probleme bei der Sitzungsverwaltung sowie Cross-Site-Request-Forgery-Schwachstellen beheben.

Weitere Informationen finden Sie unter https://www.modsecurity.org/



Warum hat ModSecurity™ mich im Screenshot blockiert? Auf dem Server verwenden wir das Regelwerk OWASP ModSecurity Core Rule Set (CRS), um Ihre Website vor schädlichen Angriffen zu schützen, etwa SQL Injection (SQLi), Cross Site Scripting (XSS), Local File Inclusion (LFI), Remote File Inclusion (RFI), Remote Code Execution (RCE), PHP Code Injection, HTTP-Protokollverletzungen, HTTPoxy, Shellshock, Session Fixation, Scanner-Erkennung, Metadaten-/Fehlerlecks sowie die Project Honey Pot Blacklist. Weitere Informationen finden Sie unter https://modsecurity.org/crs/ . Konkret wurde Ihr Zugriff auf die URL durch die Regeln mit den Nummern 930130 und 949110 blockiert.

Was bewirken die Regeln 930130 und 949110?
Regel 930130 schränkt Versuche ein, direkt auf Dateien zuzugreifen. Sie erkennt Versuche, Quellcode von Anwendungen, Metadaten, Zugangsdaten und Versionsverwaltungsverläufe abzurufen, die möglicherweise im Web-root erreichbar sind. Das bedeutet, dass Sie, wenn Sie versuchen, auf https://residenceduhamel.com/wp-admin.php zuzugreifen, obwohl WordPress vorgibt, dass der Zugriff über folgende Adresse erfolgen sollte: https://residenceduhamel.com/wp-admin// die dann weitergeleitet wird auf https://residenceduhamel.com/wp-admin.php Regel 930130 des ModSecurity-OWASP-Regelwerks stuft dies als falsche Methode und wahrscheinlich böswilligen Zugriff ein und blockiert Ihre IP-Adresse.

Regel 949110 ist eine Regel zur Überschreitung des Anomalie-Scores bei eingehenden Anfragen (Inbound Anomaly Score Exceeded, Gesamtwert: 5). Die Regel berechnet für jeden Webzugriff einen Score und blockiert den Zugriff, wenn die Gesamtsumme den festgelegten Wert überschreitet.

Sie benötigen es nicht und möchten es ausschalten? ModSecurity™ ist grundsätzlich eine wirksame, bewährte Web Application Firewall. Möglicherweise verursacht sie jedoch im Verhältnis zum gebotenen Sicherheitsgewinn zu viele Probleme, das Regelwerk erzeugt Fehlalarme (False Positives), oder Sie benötigen für diese Website auf dem Server nur ein geringeres Sicherheitsniveau und können die Sicherheit auf Anwendungsebene selbst verwalten. Für solche Fälle haben wir die Möglichkeit geschaffen, ModSecurity™ für die Domain über die Domainverwaltung in cPanel zu deaktivieren. So deaktivieren Sie ModSecurity™ für eine Domain

Navigieren Sie bitte zu cPanel > Sicherheit > ModSecurity™. Auf dieser Seite sehen Sie die folgenden Optionen




Im obigen Bild habe ich mit einem roten Pfeil die Schaltfläche markiert, mit der Sie ModSecurity für die gewählte Domain deaktivieren, während andere Websites weiterhin geschützt bleiben. Klicken Sie bitte auf die Option „Deaktivieren“, um ModSecurity für die Domain vollständig zu deaktivieren.

Sollte sich Ihr Problem dadurch nicht lösen lassen, erstellen Sie bitte ein Ticket beim technischen Support, damit wir die Angelegenheit genauer untersuchen können.