WordPress-Sicherheit – Brute-Force-Angriffe auf die Admin-Anmeldung verhindern

Warum ist WordPress ein Angriffsziel?

WordPress ist heute eine der am häufigsten genutzten Website-Lösungen im Internet. Dadurch ist es auch sehr oft Ziel schädlicher Aktivitäten. In letzter Zeit gibt es einen Trend zu vermehrten Brute-Force-Angriffen, die darauf abzielen, als Benutzer mit Administratorrechten Zugriff auf WordPress zu erhalten. Das liegt zum Teil an der Beschaffenheit von WordPress und daran, wie es sich zu der Website-Lösung entwickelt hat, die es heute ist. WordPress wurde ursprünglich als einfache Blogging-Software konzipiert. Es wird jedoch häufig für viele andere Zwecke eingesetzt, etwa für E-Commerce, Foren, persönliche Tagebücher usw. Dadurch werden diese Websites als Angriffsziele wertvoller. Angreifer wollen häufig entweder diesen Datenverkehr stören oder auf irgendeine Weise Informationen von diesen Websites erlangen.

Was ist ein Brute-Force-Angriff?

Eine Methode, um an Informationen zu gelangen – vor allem an Anmeldedaten –, ist der sogenannte BRUTE-FORCE-Angriff. Wie der Name schon sagt, wird der Angriff nicht verschleiert und ist keineswegs effizient. Man könnte von einem „Schrotflinten-Ansatz“ sprechen. Der Server wird schlicht mit Anfragen überhäuft, um eine einzige Sache zu finden: die korrekten Anmeldedaten für Ihre WordPress-Website. Angreifer infizieren häufig andere Computersysteme und lassen diese dann versuchen, sich beim WordPress-Administrator anzumelden. Die folgende Abbildung zeigt grafisch, wie der Angriffsverkehr von vielen Standorten ausgehen und sich mit dem normalen Website-Verkehr vermischen kann. Der Angriff kann auch nur von einem einzigen Standort aus erfolgen, die Methode zum Knacken der Anmeldung ist jedoch dieselbe: Es wird einfach der Reihe nach nach Ihren Anmeldedaten gesucht. Brute-Force-Angriffe können zudem die Ressourcennutzung der Website erhöhen. Sie versuchen daher nicht nur, Ihre Sicherheitsvorkehrungen zu durchbrechen, sondern treiben auch die Ressourcennutzung in die Höhe, wenn mehrere Versuche auf die WordPress-Anmeldung stattfinden.

--


Brute-Force-Angriffe auf WordPress verhindern

Da WordPress nicht mehr nur als Blogging-Lösung genutzt wird, legen die Betreiber von WordPress-Websites weniger Wert auf die Benutzerverwaltung. Dies kann ebenfalls ein Faktor sein, der zum Problem beiträgt. Administratoren von WordPress-Websites sollten ihre Passwörter regelmäßig ändern und ihre Benutzerlisten überprüfen, um sicherzustellen, dass keine Personen hinzugefügt wurden, die dort nicht aufgeführt sein sollten. Das gilt insbesondere für Benutzer mit Administratorrechten. Außerdem gibt es WordPress-Websites, bei denen sich Personen nicht registrieren müssen, um Kommentare zu verfassen oder andere Aktionen auszuführen. Um unbefugten Zugriff zu verhindern, empfehlen wir Folgendes:

• Sperren Sie den Zugriff auf WP-LOGIN.PHP mithilfe der HTACCESS-Datei, indem Sie ein zusätzliches Passwort verlangen
• Sperren Sie den Zugriff auf die WP-LOGIN.PHP über die HTACCESS-Datei, indem Sie nur bestimmte IP-Adressen oder IP-Adressbereiche zulassen
• Suchen Sie ein Plugin, das den Zugriff auf die Anmeldeseite nach einer bestimmten Anzahl von Versuchen verhindert. Das Plugin sollte anschließend eine Sperrzeit einhalten, bevor der nächste Anmeldeversuch zugelassen wird.

Die ersten beiden Methoden mit der .htaccess-Datei werden empfohlen, da sie dazu beitragen, eine übermäßige Ressourcennutzung zu verhindern.
Mit dem Plugin ist dies nicht garantiert, es sei denn, das Plugin kann den Zugriff unabhängig davon begrenzen, wie oft Anmeldeversuche unternommen werden. Die folgenden Informationen enthalten Beispiele für die oben aufgeführten Codelösungen für die .htaccess-Datei

.HTACCESS-Methode, um die Benutzeranmeldung mithilfe eines zusätzlichen Passworts für den Zugriff auf wp-login zu sperren:
Hinweis: Der folgende Code gehört in die .htaccess-Datei, die sich in dem Verzeichnis befindet, in dem Sie WordPress installiert haben

<FilesMatch "\.wp-login.php$">
AuthName "WordPress"
AuthType Basic
AuthUserFile /home/username/.htpasswd
Require valid-user
</FilesMatch>

.HTACCESS-Methode, um die Benutzeranmeldung für bestimmte IP-Adressen oder IP-Adressbereiche zu sperren:
Hinweis: Der folgende Code muss in der .htaccess-Datei im Ordner WP-ADMIN stehen. Falls dort keine vorhanden ist, erstellen Sie eine leere Textdatei, benennen Sie sie .htaccess und speichern Sie sie im Ordner wp-admin

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Admin Access Only"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# IP-Adresse von Admin 1 auf die Whitelist setzen
allow from xx.xx.xx.xxx
# IP-Adresse von Admin 2 auf die Whitelist setzen
allow from xx.xx.xx.xxx
</LIMIT>