SummArg | Cursos y recursos para webmasters

25/10/2013

Dos plugins contra ataques brute force a nuestro WordPress

Los ataques brute force contra nuestros WordPress están a la orden del día desde hace un par de meses, y si bien las soluciones mas robustas pasan por tomar medidas desde el servidor hay que tener presente que la mayoría de las instalaciones WP están hechas en servidores compartidos.

Hace no mucho tiempo les comentabamos que uno de los nuestros plugins favoritos es el All in one WP Security & Firewall, que posee medidas de seguridad orientadas a diferentes tipos de vulnerabilidades que podrían encontrase en la plataforma. En esta semana sufrió una actualización que nos sorprendió gratamente: añadieron mas medidas de seguridad.

Mejoras en el login

Ampliaron las opciones para el login de usuarios, que van desde colocar un captcha hasta implementar un whitelist para ingresar. Se puede monitorear la actividad de los usuarios y llevar un control de los logins que fallaron (presumiblemente por ser bots).

brute1

Registro de usuarios moderado

Añadieron esta opción en el panel para que el administrador pueda moderar el registro de usuarios, ahora los usuarios deberán aguardar la aprobación de un administrador para estar completamente registrados.

brute2

Prevención de SPAM en los comentarios

Se añadieron algunas medidas para fortalecer la protección anti SPAM, como ser un bloque de CAPTCHA en el formulario de envío de comentario y una protección para bloquear spambots con solicitudes desde otros dominios. Sección para monitorear las IPS que mas SPAM intentan introducir al sitio.

brute3

Scanner de archivos

En esta versión introdujeron un detector manual y automático de cambios en archivos. Se puede correr el script de forma manual presionando un botón así como también se puede programar para que corra cada determinado tiempo, permitiendo añadir excepciones de archivos a revisar y enviando un reporte al mail que le indiquemos.

brute4

BruteProtect

brute5

Por otro lado, recientemente lanzaron este plugin que nos pareció realmente interesante. Su funcionamiento nos recordará a Askimet, pues consiste en una base de datos alimentada por todos los usuarios que tienen instalado el plugin y que han detectado intentos de ataque del tipo brute force. 

Para instalar el plugin solo debemos descargarlo y solicitar una API key, la que llegará a nuestro mail de forma automática. Sin mas ya estaremos gozando de la protección de BruteProtect y su inmensa comunidad de colaboradores.

Una IP que ataque a un WordPress cualquiera que tenga instalado este plugin, sufrirá las siguientes penalidades en CUALQUIER WordPress que tenga BruteProtect:

8 intentos fallidos en 8 horas = bloqueo de 8 horas
15 intentos fallidos en 24 horas = bloqueo de 48 horas
25 intentos fallidos en 7 días = bloqueo de 14 días
40 intentos fallidos en 1 mes = bloqueo de 2 meses
65 intentos fallidos en 1 año = bloqueo de 2 años

Vale la pena darle una oportunidad.

Dejar un comentario