Cómo prevenir ataques de fuerza bruta en WordPress y Drupal

Los ataques de fuerza bruta son uno de los tipos de ataque más antiguos y comunes que todavía vemos hoy en Internet. Estos ataques a menudo no son muy complejos y, en teoría, son fáciles de detener y mitigar, pero aun así ocurren y tienen éxito, sobre todo porque las personas son muy malas eligiendo buenas contraseñas o aplicando buenos hábitos de control de acceso.

XML-RPC: los CMS con XML_RPC suelen ser atacados mediante fuerza bruta con el fin de adivinar la contraseña de administrador e iniciar sesión en su sitio web WordPress o Drupal.

XML-RPC es una forma sencilla y portátil de realizar llamadas a procedimientos remotos a través de HTTP. Se puede utilizar con Perl, Java, Python, C, C++, PHP y muchos otros lenguajes de programación. WordPress, Drupal y la mayoría de los sistemas de gestión de contenidos admiten XML-RPC. XML-RPC es una forma sencilla y portátil de realizar llamadas a procedimientos remotos a través de HTTP. Se puede utilizar con Perl, Java, Python, C, C++, PHP y muchos otros lenguajes de programación. WordPress, Drupal y la mayoría de los sistemas de gestión de contenidos admiten XML-RPC.

Le recomendamos deshabilitar todas las solicitudes a xmlrpc.php desde el archivo .htaccess, antes de que la solicitud llegue a WordPress o Drupal. Simplemente pegue el siguiente código en su archivo .htaccess

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Este método es la forma más sencilla de prevenir el ataque, pero puede deshabilitar ciertas funciones remotas del CMS. Si lo necesita, puede explorar otros métodos más complejos para lograr el mismo objetivo.

WP-LOGIN: Se han producido varios ataques de fuerza bruta a gran escala contra wp-login.php de WordPress, procedentes de una gran cantidad de direcciones IP comprometidas repartidas por todo el mundo. Una gran botnet de unos 90,000 servidores comprometidos ha estado intentando acceder a sitios web WordPress probando continuamente nombres de usuario y contraseñas para entrar en el panel de administración de WordPress.

Le recomendamos proteger las solicitudes a wp-login.php desde el archivo .htaccess, antes de que la solicitud llegue a WordPress. Simplemente pegue el siguiente código en su archivo .htaccess

# Block WordPress xmlrpc.php requests
<Files wp-login.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Los pasos anteriores son medidas preliminares para proteger su CMS. Le recomendamos leer los enlaces siguientes para conocer otros pasos que refuercen la seguridad de su instalación de WordPress.

Lecturas recomendadas

1. http://codex.wordpress.org/Hardening_WordPress
2. https://www.wordfence.com/blog/2015/12/announcing-the-wordpress-security-learning-center-free-for-the-community/
3. https://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/
4. https://codex.wordpress.org/FAQ_My_site_was_hacked