Prevenga el ataque de la fuerza bruta a WordPress " Drupal

Los ataques de la fuerza bruta son uno de los tipos más antiguos y comunes de ataques que todavía vemos en Internet hoy. Estos ataques a menudo no son muy complejos y son teóricamente fáciles de detener y mitigar, pero todavía suceden y tienen éxito; en su mayoría, porque la gente es muy mala al elegir buenas contraseñas, o al emplear buenos hábitos de control de acceso.

XML-RPC: CMS con XML RPC son atacados comúnmente por BFA en intento adivinar contraseña de administrador y acceder a su sitio web WordPress, Drupal.

XML-RPC es una forma sencilla y portátil de hacer llamadas de procedimiento remoto sobre HTTP. Puede ser utilizado con Perl, Java, Python, C, C++, PHP y muchos otros idiomas de programación. WordPress, Drupal y la mayoría de los sistemas de gestión de contenidos soportan XML-RPC.XML-RPC es una manera sencilla y portátil de hacer llamadas de procedimiento remoto sobre HTTP. Puede ser utilizado con Perl, Java, Python, C, C++, PHP y muchos otros idiomas de programación. Los sistemas de gestión de contenidos y de gestión de WordPress, Drupal y la mayoría de los contenidos soportan XML-RPC.

Recomendamos que deshabilita todas las solicitudes xmlrpc.php del archivo .htaccess antes de que la solicitud sea aprobada incluso en WordPress o Drupal. Simplemente pega el siguiente código en su archivo .htaccess

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Este método es la forma más simple de prevenir el ataque pero puede desactivar ciertas características remotas de CMS. Puedes explorar otros métodos más complejos para lograr lo mismo si es necesario.

WP-LOGIN: Ahora han habido varios ataques de fuerza bruta wp-login.php a gran escala, provenientes de una gran cantidad de direcciones IP comprometidas diseminadas por todo el mundo. Un gran botnet de alrededor de 90,000 servidores comprometidos ha estado intentando entrar en sitios web de WordPress tratando continuamente de adivinar el nombre de usuario y contraseña para entrar en el panel de administración de WordPress.

Recomendamos que usted asegure wp-login.php solicitudes del archivo .htaccess antes de que la solicitud se pase incluso a WordPress. Simplemente pega el siguiente código en su archivo .htaccess

# Block WordPress xmlrpc.php requests
<Files wp-login.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Los pasos anteriores son preliminares para asegurar su CMS. Recomendamos leer los enlaces a continuación para pasos adicionales para asegurar su instalación de WordPress.

Lecturas recomendadas

1. http://codex.wordpress.org/Hardening_WordPress
2. https://www.wordfence.com/blog/2015/12/announcing-the-wordpress-security-learning-center-free-for-the-community/
3. https://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/
4. https://codex.wordpress.org/FAQ_My_site_was_hacked