افزونه‌های امنیتی وردپرس

۱۰ افزونه برتر امنیتی وردپرس برای بستن در به روی هکرها

پیش از آن که در خصوص افزونه‌های امنیتی وردپرس  صحبت کنیم، بیایید یک مثال بزنیم. مثلا شما یک خانه جدید می‌خرید. این سرمایه‌گذاری هیجان‌انگیز به یک پیش‌پرداخت هنگفت نیاز دارد که احتمالا به پرداخت آن عادت ندارید. پیش از هزینه خرید با هزینه‌های بازرسی شگفت‌زده خواهید شد. سپس نوبت پرداخت‌های بیمه است که تمام آن‌ها مستقیم از جیب شما پرداخت خواهد شد.

گفته می‌شود خرید خانه یکی از بهترین شیوه‌های سرمایه‌گذاری است، اما این سرمایه‌گذاری هزینه‌بر است. آیا نمی‌خواهید برای چنین سرمایه‌گذاری ارزشمندی (و چیزی که می‌تواند در آینده درآمدهای بزرگی برای شما در پی داشته باشد)، تا حداکثر توان خود از آن محافظت کنید؟

به همین جهت برای بیمه هزینه می‌کنید، سیستم‌های هشدار نصب کرده و چند دوربین امنیتی کار می‌گذارید. بسیاری از متخصصان پیشنهاد می‌کنند که حداقل روی در یک سیستم امنیتی نصب شود تا خلاف‌کارانی که نمی‌خواهند ریسک کنند را بترساند. تمام این ایمنی‌ها جهت محافظت از سرمایه اولیه، در کنار سرمایه بالقوه آینده است.

 

وقتی موضوع در خصوص امنیت سایت وردپرس است نیز باید همین طور فکر کنید.

راه‌اندازی یک وبلاگ، سایت تجارت الکترونیک یا کسب‌وکار کوچک به یک سرمایه‌گذاری اولیه جهت خدمات و کالاهایی چون هاستینگ، تم‌ها، افزونه‌ها و توسعه‌های وبسایت نیاز دارد. این شامل هیچ کمکی که باید استخدام شود مانند نماینده فروش یا نماینده خدمات مشتری نیست.

سرمایه‌گذاری اولیه برای امن کردن وبسایت جهت شروع کار کافی است. اما مهم‌تر این که شما مطمئن می‌شوید محافظت از درآمد بالقوه آینده را فراموش نکرده‌اید.

هسته وردپرس، به طور پیش‌فرض معیارهایی برای امنیت دارد، اما به هیچ وجه قابل مقایسه با کار افزونه‌های امنیتی معتبر نیستند. برای مثال، افزونه‌های برتر امنیتی وردپرس موارد زیر را به همراه می‌آورند:

• نظارت مستمر امنیتی
• اسکن کردن فایل‌ها
• اسکن جهت شناخت ویروس‌ها
• نظارت لیست‌سیاه‌
• تقویت امنیت
• عملیات‌های پس از هک شدن
• فایروال‌ها
• محافظت از حملات جست‌وجوی فراگیر
• اطلاع در زمان شناسایی تهدید امنیتی
• موارد دیگر

 

 

اولویت شما باید امنیت‌سازی هاستینگ باشد

امنیت سایت شما متناسب با توسعه سمت سرور و اساسی است که بر آن اجرا می‌شود. دلیل اهمیت آن همین است که پیش از توجه به افزونه‌های امنیتی وردپرس ، هاستی را برای وردپرس انتخاب کنید که به طور پیش‌فرض معیارهای امنیتی دارد. بسیاری از این محافظت‌ها در سطح سرور صورت می‌گیرند و می‌توانند بدون ضرر رساندن به عملکرد سایت بسیار موثرتر باشند. نیاز به ذکر نیست که دیگر نباید زمانی را صرف تنظیمات افزونه‌های امنیتی هدر دهید که هیچ وقت کارکرد یا هدف آن‌ها را درک نکنید.

 

 

مهم است که توجه داشته باشید بسیاری از افزونه‌های امنیتی به دلیل کارکردهای همیشه فعال و در حال اسکن خود، مشکلات عملکردی ایجاد می‌کنند. استفاده از راه‌حلی مانند کلاودفلر یا سوکوری پیشنهاد خوبیست. بلاگ پارمیسافت در خصوص نحوه کمک سوکوری به توقف آسان حمله DDoS را مطالعه کنید.

 

بهترین افزونه‌های امنیتی وردپرس

اگر عجله دارید، به راحتی روی یکی از لینک‌های زیر کلیک کنید تا افزونه‌های امنیتی را بررسی کرده و تصمیم خود را بگیرید. اگر مایلید تحلیل‌های عمیق ما را بخوانید، به مطالعه ادامه دهید!

اکثر افزونه‌های امنیتی با ارزش قیمتی دارند. اما تعدادی نیز هستند که با عملکرد محدود به طور رایگان عرضه می‌شوند.

 

 

 

 

 

 

 

 

• امنیت سوکوری، بازرسی، اسکن ویروس و تقویت امنیت
• امنیت iThemes
• امنیت Wordfence
• WP fail2ban
• فایروال و امنیت وردپرس در یک پکیج
• Jetpack
• SecuPress
• امنیت BulletProof
• VaultPress
• ارزیاب گوگل- احراز هویت دو مرحله‌ای

 

 

 

درک این‌که هر افزونه برای شما چه کاری انجام خواهد داد مهم‌ است. در نهایت موضوع این است که دست هکرها را از سرمایه‌گذاری شما کوتاه نگه داشته شود و این گاهی به معنای خرج کردن کمی پول خواهد بود.

 

۱-امنیت سوکوری- بازرسی، اسکن ویروس و تقویت امنیت

اولین مورد از افزونه‌های امنیتی وردپرس که معرفی می‌کنیم افزونه امنیتی سوکوری است. افزونه امنیتی سوکوری نسخه‌های رایگان و پولی ارائه می‌دهد. کار بیشتر وبسایت‌ها با نسخه رایگان راه می‌افتد. برای مثال برای فایروال وبسایت باید یکی از برنامه‌های پولی سوکوری را بگیرید، اما هر وب‌مستری فکر نمی‌کند که به چنان امنیتی نیاز دارد.

 

 

در خصوص امکانات رایگان می‌توان به فعالیت بازرسی امنیتی افزونه اشاره کرد که بر نحوه محافظت افزونه از سایت شما نظارت می‌کند. این افزونه نظارت یکپارچه فایلی، نظارت بر لیست‌سیاه، اطلاعیه‌های امنیتی و تقویت امنیت دارد. برنامه‌های پرمیوم کانال‌های خدمات‌رسانی مشتری را باز کرده و اسکن‌های بیشتری انجام می‌دهند. برای مثال ممکن است بخواهید که هر ۱۲ ساعت اسکن کاملی صورت بگیرد. برای آن، در ماه چیزی حدود ۱۷ دلار باید پرداخت کنید.

 

بهترین امکانات امنیت سوکوری

• متغیرهای مختلفی از گواهی SSL را ارائه می‌دهد. باید برای آن‌ها هزینه پرداخت کنید، اما در بسته‌ها در دسترس است.
• خدمات مشتری به صورت چت‌های فوری و ایمیل در دسترس است.
• وقتی چیزی در وبسایت شما مشکل داشته باشد به طور فوری ایمیلی دریافت می‌کنید.
• در بعضی برنامه‌ها محافظت پیشرفته از حملات DDoS در دسترس است.
• اگر نخواهید پول بیشتری صرف کنید همچنان ابزار مفیدی برای نظارت بر لیست‌سیاه، اسکن ویروس، نظارت یکپارچگی فایل و تقویت امنیت دریافت خواهید کرد.

 

۲-امنیت iThemes

افزونه امنیتی iThemes (که پیش‌تر به عنوان امنیت بهتر WP شناخته می‌شد) یکی از راه‌های تاثیرگذاری است که می‌توانید با آن از سایت خود محافظت کنید. این افزونه بیش از ۳۰ کار برای جلوگیری از چیزهایی مثل هک یا ورود افراد ناخواسته ارائه می‌دهد. تمرکز بالایی بر شناخت آسیب‌پذیری‌های افزونه‌ها، نرم‌افزارهای تاریخ گذشته و کلمه‌های عبور ضعیف دارد.

 

 

با وجود این که بعضی ویژگی‌های امنیتی ابتدایی در نسخه رایگان لحاظ شده‌اند، به شدت پیشنهاد می‌شود آن را به امنیت حرفه‌ای iThemesبا قیمت پایین ۸۰ دلار در سال به‌روز کنید. این شامل پشتیبانی از تیکت، یک سال به‌روز رسانی افزونه و پشتبانی از دو وبسایت می‌شود. اگر می‌خواهید از سایت‌های بیشتری محافظت کنید، این گزینه را دارید که به برنامه گران‌تر به‌روز رسانی کنید.

امنیت حرفه‌ای iThemes به مانند دیگر نسخه‌های حرفه‌ای ویژگی‌هایی مانند تقویت کلمه‌عبور، قفل سایت به روی کاربران خطرناک، بک‌آپ از پایگاه‌داده و احراز هویت دو مرحله‌ای را نیز شامل می‌شود. این‌ها تنها راه‌هایی برای محافظت از سایت با افزونه امنیتی وردپرس هستند. شما می‌توانید مجموع ۳۰ معیار امنیتی را فعال کنید و امنیت حرفه‌ای iThemes را بسیار ارزشمند سازید.

 

بهترین امکانات امنیت iThemes

• این از افزونه‌های امنیتی وردپرس است که تغییر فایل را شناسایی می‌کند. این مهم است زیرا بسیاری از وب‌مسترها متوجه نمی‌شوند که فایل‌هایشان تغییر داده شده است.
• اضافه کردن یک لایه محافظت بیشتر به لاگین با یکپارچگی reCAPTCHA گوگل.
• این افزونه فایل‌های هسته‌ای وردپرس شما را با نسخه فعلی وردپرس مقایسه می‌کند و به شما کمک می‌کند که در صورت وجود هر ویروسی در آن‌ها فایل‌ها، متوجه شوید.
• در وردپرس، saltها و کلیدها را به‌روز کنید تا به کلیدهای احراز هویت یک لایه پیچیدگی بیشتر اضافه کنید.
• می‌توانید یک وضعیت «فاصله افتادگی» را تنظیم کنید برای زمان‌هایی که به‌روز رسانی‌های منظم انجام نمی‌دهید یا می‌خواهید داشبورد وردپرس خود را به طور کامل روی تمام کاربران قفل کنید.
• دیگر ضروریات مانند شناسایی ۴۰۴، محافظت از حملات جست‌وجوی فراگیر و تقویت قدرتمند واژه عبور.

 

۳-امنیت Wordfence

امنیت Wordfence یکی از محبوب‌ترین افزونه‌های امنیتی وردپرس است و دلایل خوبی هم دارد. این افزونه ارزشمند سادگی را با ابزار محافظت قدرتمند مانند ویژگی‌های امنیتی تقویت لاگین و ابزار امنیتی ریکاوری از حادثه ترکیب می‌کند. یکی از اصلی‌ترین مزیت‌های wordfence این است که می‌توانید دید خوبی نسبت به روندهای کلی ترافیک و تلاش‌ها برای هک به دست بیاورید.

 

 

Wordfence یکی از بهترین راه‌حل‌های رایگان را ارائه می‌دهد. از بلاک‌های فایروال گرفته تا حملات جست‌وجوی فراگیر. اما نسخه پرمیوم برای یک سایت، با قیمت ۹۹ دلار در سال شروع می‌شود. سازندگان این افزونه همچنین هزینه‌ را برای توسعه‌دهندگان کمتر می‌کنند و در صورت ورود برای کلیدهای چندگانه سایت، تخفیف‌های قابل توجهی می‌دهند. برای مثال به کار گیری افزونه برای ۲۵ کلید قیمت را برای هر سایت به حدود ۲۹ دلار در سال کاهش می‌دهد. به طور کلی اگر در حال توسعه چند سایت هستید و می‌خواهید از تمام آن‌ها محافظت کنید، در نظر گرفتن wordfence ارزشمند است.

 

بهترین ویژگی‌های امنیت Wordfence

• نسخه رایگان برای سایت‌های کوچک‌تر به مقدار کافی قدرتمند است.
• توسعه‌دهندگان وقتی برای کلیدهای چندگانه سایت ثبت‌نام می‌کنند می‌توانند پول بسیاری ذخیره کنند.
• از یک مجموعه فایروال کامل با ابزارهایی برای بلاک کشور، بلاک‌های دستی، محافظت از حملات جست‌وجوی فراگیر، دفاع از تهدیدهای آنی و برنامه فایروال وب برخوردار است.
• بخش اسکن افزونه با ویروس، تهدیدهای آنی و اسپم مقابله می‌کند.
• افزونه به طور زنده با مشاهده چیزهایی مانند فعالیت گوگل crawl، لاگین‌ها و لاگ اوت‌ها، مشاهدات افراد و بات‌ها بر ترافیک نظارت دارد.
• به ابزارهای خاصی مانند گزینه ورود با تلفن همراه یا بازرسی کلمه‌عبور دسترسی پیدا می‌کنید.
• فیلتر اسپم کامنت‌ها نیاز به نصب افزونه مجزا برای این کار را از بین می‌برد.

 

۴-WP fail2ban

WP fail2ban یک ویژگی دارد اما ویژگی مهمی است: محافظت از حمله جست‌وجوی فراگیر. افزونه رویکرد متفاوتی را به کار می‌گیرد که بسیاری آن را موثرتر از چیزی می‌دانند که از بعضی افزونه‌های امنیتی وردپرس ارائه می‌دهند. WP fail2ban با استفاده از LOG_AUTH تمام تلاش‌ها برای لاگین را فارغ از طبیعت یا موفقیت آن‌ها در این امر در syslog   ثبت می‌کند. شما این گزینه را دارید که بلاک سخت یا آسانی اجرا کنید که از شیوه سنتی انتخاب یکی از آن‌ها متفاوت‌ است.

 

 

چیزی زیادی در خصوص پیکربندی افزونه WP fail2ban وجود ندارد که بدانید. در واقع تنها کاری که باید انجام دهید این است که آن را نصب کرده و اجازه دهید جادوی خود را آغاز کند. همچنین افزونه امنیتی حملات جست‌وجوی فراگیر کاملا رایگان است پس نباید نگران خرج کردن پولی باشید. این افزونه قطعا متمایز است چرا که کاربران به طور مداوم گزارش می‌دهند که بی عیب و نقص کار می‌کند.

 

بهترین ویژگی‌های WP fail2ban

• انتخاب بین بلاک سخت یا آسان.
• یکپارچگی با سرورهای پروکسی و کلاودفلر.
• ثبت کامنت‌ها برای جلوگیری از کامنت‌های ویروسی یا اسپم.
• این افزونه همچنین اطلاعاتی را در خصوص اسپم، پینگ‌بک‌ها و شمارش کاربران ثبت می‌کند.
• همچنین این گزینه را دارید که یک شورت‌کد ایجاد کنید تا بلافاصله کابران را پیش از آن که شانسی برای دسترسی به فرآیند لاگین پیدا کنند، بلاک کند.

 

۵-فایروال و امنیت وردپرس در یک بسته

فایروال و امنیت وردپرس به عنوان یکی از پر امکانات‌ترین افزونه‌های امنیتی وردپرس رایگان، رابط‌کاربری آسان و خدمات مشتری مناسب ارائه می دهد بدون این که برنامه پرمیومی داشته باشد. این یک افزونه امنیتی به شدت بصری با گراف‌ها و معیارها است که به تازه‌کارها معیارهایی چون قدرت را نشان دهد و بگوید که برای قدرتمندتر ساختن سایت، به انجام چه کاری نیاز دارید.

 

 

امکانات این افزونه به سه دسته تقسیم می‌شوند: ساده، متوسط و پیشرفته. از این رو اگر یک توسعه‌دهنده پیشرفته هستید، همچنان می‌توانید از افزونه سود ببرید. راه اصلی کارکرد این افزونه محافظت از حساب‌های کاربری شما، بلاک تلاش‌های اجباری برای لاگین و بهبود امنیت ثبت‌نام کاربر. در این افزونه امنیت فایل و پایگاه‌داده نیز جای گرفته است.

 

بهترین ویژگی‌های فایروال و امنیت وردپرس در یک بسته

• افزونه امینت وردپرس یک ابزار لیست‌سیاه دارد که در آن می‌توانید برای بلاک کردن یک کاربر شرایط خاصی تعیین کنید.
• می‌توانید از فایل‌های .htaccess و .wp-config بک‌آپ بگیرید. همچنین اگر مشکلی ایجاد شود، ابزاری برای بازیابی آن‌ها وجود دارد.
• افزونه یک گراف دارد که میزان قدرتمندی سایت شما را نشان داده و یک گراف دارد که نقاطی در حوزه‌های مشخصی از سایت شما را تعیین می‌کند. برای یک کاربر معمولی، این یکی از بهترین ویژگی‌ها است تا به طور بصری ببیند که در سایت چه می‌گذرد.
• افزونه رایگان بوده و در مسیر استفاده از آن ویژگی پولی وجود ندارد.

 

 

۶-جت پک

اکثر افرادی که از وردپرس استفاده می‌کنند با جت‌پک آشنا هستند و جت‌پک یکی از معروف‌ترین افزونه‌های امنیتی وردپرس است. دلیل اصلی آن این است که جت‌پک ویژگی‌های بسیاری دارد اما همچنین دلیل آن این است که توسط افراد وردپرس ساخته شده است. جت‌پک پر از ماژول‌هایی است که برای تقویت شبکه اجتماعی شما، محافظت از اسپم و سرعت سایت تعبیه شده است. ویژگی‌های بسیاری در جت‌پک وجود دارند که قطعا ارزش گشت‌وگذار در آن را دارند.

 

 

در جت‌پک همچنین ابزارهای امنیتی دیگری نیز وجود دارند که افزونه را برای افرادی که به دنبال ذخیره پول و یک راه‌حل معتبر هستند جذاب می‌کند. برای مثال ماژول محافظت رایگان بوده و فعالیت‌های مشکوک را بلاک می‌کند. محافظت از حمله جست‌وجوی فراگیر و لیست‌سفید نیز توسط کارکرد امنیتی ساده جت‌پک پشتیبانی می‌شود.

یعنی در امنیت، نسخه‌های پولی جت‌پک قدرتمندتر هستند. برای مثال برنامه یک‌ساله به ازای ۹۹ دلار، ویژگی‌های اسکن ویروس، بک‌آپ‌های برنامه‌ریزی شده وبسایت و اگر مشکلی پیش بیاید، بازیابی را دارد. همچنین برنامه یک‌ ساله به ازای ۲۹۹ دلار اسکن‌های ویروس هنگام مطالبه و بک‌آپ‌های لحظه‌ای جهت محافظت در آخرین حد را دارد.

بهترین ویژگی‌های جت‌پک

• برنامه رایگان امنیت مناسبی برای یک سایت کوچک دارد. سپس می‌توانید برنامه را به نسخه‌ پرمیومی که به طور منطقی قیمت‌گذاری شده به‌روز رسانی کنید و پشتیبانی کامل به همراه افزونه‌ای دریافت کنید که یکی از بهترین‌های موجود در بازار است.
• برنامه‌های پرمیوم افزونه را به بیشتر به یک مجموعه تبدیل می‌کنند که شامل منافعی مانند بک‌آپ‌ها، محافظت از اسپم و اسکن امنیتی می‌شود.
• به‌روز رسانی‌های افزونه کاملا از طریق جت‌پک مدیریت می‌شوند.
• همچنین بر زمان خرابی سایت نظارت دارید.
• جت‌پک افزونه‌ای است که نیاز به افزونه‌های دیگر را از بین می‌برد. برای مثال ویژگی‌هایی برای بازاریابی ایمیلی، شبکه‌های اجتماعی، سفارشی‌سازی سایت و بهینه‌سازی دارد.

برای مطالعه‌ی ادامه‌ی متن به افزونه‌های امنیتی وردپرس مراجعه کنید.

نحوه جلوگیری از حمله DDOS

نحوه جلوگیری از حمله DDOS

امروز می‌خواهیم چند گام و روش حل مسئله‌ای را که در مقابل یک حمله DDoS در یک سایت کوچک تجارت الکترونیک وردپرس داشتیم به شما نشان دهیم. حمله‌های DDoS ممکن است ناگهان ظاهر شده و سایت‌های کوچک‌تر معمولا شکننده‌تر هستند، چرا که هنگام رخ دادن چنین حمله‌ای، به طور کامل آماده نیستند. اجازه دهید یک سوال مطرح کنیم. اگر سایت شما فردا مورد حمله قرار بگیرد چه خواهید کرد؟ اگر هیچ ایده‌ای ندارید، احتمالا باید این مقاله را نشان‌گذاری کرده و بخوانید.

حمله DDoS چیست؟

DDoS عبارت مخفف حمله منع سرور توزیع شده است. هدف اولیه حمله DDoS این است که سرور وب شما را بیش از حد شلوغ کرده و آن را فلج کرده یا از کار بیندازند. یکی از موارد ناامیدکننده این حمله‌ها این است که به طور عمومی حمله‌کننده چیزی به دست نیاورده و چیزی هم هک نمی‌شود. مشکل بزرگ DDoS شلوغ شدن بیش از حد آن برای بارگذاری است. به احتمال بسیار زیاد خواهید دید که پهنای باند شما به میزان قابل توجهی بالا رفته و این می‌تواند برای شما صدها یا حتی هزاران دلار هزینه در پی داشته باشد. اگر در یک میزبان (هاست) ارزان‌تر یا اشتراکی هستید، ممکن است به راحتی منجر به تعلیق حساب شما شود.

در ۲۱ اکتبر ۲۰۱۶، بزرگ‌ترین حمله DDoS (مرتبط با DNS) تاریخ رخ داد و سایت‌های بزرگی مانند PayPal، Spotify، Twitter، Reddit و eBay را پایین کشید. حتی بعضی آن را روز نابودی DNS در اینترنت خواندند. با رشد اینترنت، افزایش حمله‌های DDoS با یک نرخ هشدار دهنده موضوع تعجب‌آوری نیست. در واقع با توجه به داده‌های تهیه شده از easyDNS، حمله‌های DDos طی زمان بدتر می‌شوند. برای بعضی سایت‌ها تنها زمان مطرح است تا با چنین حمله‌ای روبه‌رو شوند. 

 

توقف یک حمله DDoS در یک سایت کوچک دانلودهای دیجیتال آسان

در این مطالعه موردی، یک سایت تجارت الکترونیک کوچک داریم که EDD اجرا می‌کرد. این سایت به طور معمول در پهنای باند، روزانه تنها ۳۰ تا ۴۰ MB تولید می‌کرد و چند صد بازدید کننده داشت. در ژوئن گذشته، ناگهان شروع به استفاده بسیار از پهنای باند کرده و گوگل Analytics نیز هیچ ترافیک مضاعفی را نشان نمی‌داد. سایت ناگهان به انتقال روزانه ۱۵ الی ۱۹ GB داده در روز رسید. افزایشی ۴۶۵۰ درصدی! این تنها یک افزایش کوچک در بات ترافیک نیست.

 

 

پس از دیدن این افزایش، لاگ‌های سرور باید بررسی می‌شدند تا موضوع شناسایی شود. این دسته مسائل به راحتی ممکن است از کنترل خارج شوند. اطلاعات ۷ روز گذشته نشان دادند که صفحه، حساب یا سایت ۵۱۱۰۰۰ بار خوانده شده بودند و در مجموع ۶۶ GB ترافیک ایجاد کرده بودند. این آمار برای سایتی است که در ماه به طور معمول کمی بیش از ۱ GB داده ایجاد می‌کند. پس فورا متوجه شدیم که اتفاقی رخ داده است.

تحلیل IP های ۱۰ مشتری برتر در ۷ روز آخر فعالیت‌های مشکوکی را نشان می‌داد. اکثر آن‌ها بالای ۱۰۰۰۰ درخواست داده بودند و تعداد این مشتریان کم بود. به یاد داشته باشید این سایت کوچکی است که در ماه به طور مجموع باید تنها چند هزار درخواست داشته باشد.

 

 

برای کسب داده همیشه می‌توانید به گوگل اعتماد کنید. با ورود تعدادی از این IP ها در جست‌وجوی گوگل، متوجه شدیم که اکثر آن‌ها تنها آدرس‌های پروکسی هستند. یعنی کسی به احتمال بالا می‌خواسته ترافیک خود را پنهان کند.

 

 

تغییر آدرس‌ها

اولین کاری که کردیم تغییر آدرس صفحه یا حساب به چیز متفاوتی بود. این همیشه معیار اول خوبی است. اما این حمله را تنها برای مدت زمان کوتاهی متوقف کرد تا آن‌ها آدرس جدید را پیدا کنند. به یاد داشته باشید که چون این یک سایت تجارت الکترونیک است، باید صفحه حساب عمومی داشته باشد. به طور مشخص در یک وبلاگ ساده، تغییر آدرس لاگین وردپرس و پنهان کردن کامل آن می‌تواند بسیاری از این حمله‌ها را متوقف کند، اما در این مورد کارساز نخواهد بود. ما به این کار امنیت وردپرس به وسیله ابهام می‌گوییم.

 

هک یا حمله جست‌وجوی فراگیر؟

موضوع دیگری که می‌توانید در این موقعیت‌ها تایید کنید این است که این یک تلاش برای هک نیست و در این مورد نیز نبود. لاگ وقایع‌نگاری ایمنی وردپرس یک افزونه عالی برای نظارت و بررسی این است که آیا تلاش ناموفقی برای ورود به یک صفحه وجود داشته یا خیر. همچنین می‌توانید لاگ‌های خود را چک کنید تا ببینید آیا فعالیت‌‌های پسین در تعداد بالا رخ داده است یا خیر. به نظر می‌رسید این تنها یک حمله DDoS ساده است که در آن به سادگی انبوهی از ترافیک به یک بخش از سایت فرستاده شده و تلاش شده تا بیش از حد شلوغ شود.

بلاک IP

اگر در حال کار روی سرور خود هستید، گام بعدی احتمالا این خواهد بود که یک افزونه بلاک IP یا firewall مانند WordFence را نصب کنید. اما مانند دیگر هاست‌های مدیریت شده وردپرس، به دلایل مختلف اینجا اجازه فعالیت چنین افزونه‌هایی را نمی‌دهیم. اول از همه این که ممکن است تاثیر بسیار زیادی بر عملکرد شما داشته باشند. به خصوص بر قابلیت‌های اسکن. دوم این که ما با پلت‌فرم ابر گوگل، از متعادل‌ساز‌های بار استفاده می‌کنیم که سبب می‌شود بسیاری از قابلیت‌های بلاک کننده IP افزونه‌ها، آن‌طور که قرار بوده کار کند، جواب ندهد.

از این رو ما ابزار خودمان را ساختیم. می‌توانید به راحتی با وارد کردن دستی آدرس‌های IP با استفاده از IP Deny tool در داشبورد MyKinsta ، آدرس‌ها را بلاک کنید. همچنین می‌توانید همیشه با تیم پشتیبانی ما تماس برقرار کنید چرا که ما همیشه از بلاک جغرافیایی حمایت می‌کنیم.

 

 

اما بسته به مدت زمان و مقیاس حمله، بلاک کردن IP ها می‌تواند یک فرآیند تمام ناشدنی باشد که در غالب موارد به سرعت لازم مسئله را حل نمی‌کند. بسیاری از حملات DDoS زمانی که از یک ناحیه بلاک می‌شوند، از یک ناحیه دیگر سر در می‌آورند یا آدرس‌های پروکسی یا IP را تغییر می‌دهند. پس در این مثال بهره بردن از راه‌حل DDoS که بتواند فرآیند را با قوانین از پیش ساخته و کامپایل شده خودکار کند از داده‌هایی به ارزش چند سال منطقی خواهد بود.

 

انتقال سایت به کلاودفلر راه‌گشا نبود

در بسیاری مواقع کلاودفلر در توقف بعضی ترافیک بات‌های ساده خوب عمل می‌کند اما وقتی برنامه مجانی در کار باشد، محافظ DDoS آن‌ها بهترین نیست. در واقع ما سایت را به کلاودفلر منتقل کردیم و ترافیک‌های مشکوک بیشتری اضافه شدند. هر چند فکر می‌کنیم این تنها به خاطر افزایش تلاش‌های آن‌ها در اثر حمله بوده است. همان‌طور که می‌بینید درخواست‌ها به حدود ۵۰ هزار در ساعت نزدیک می‌شد. بخش CDN آن‌ها عالی کار می‌کند اما اگر نیازهای بیشتری دارید، احتمالا باید هزینه بپردازید.

 

 

سپس «محدود کردن نرخ» را در سایت اجرا کردیم.  محدود کردن نرخ به شما امکان این را می‌دهد که ترافیک مبتنی بر قوانین را مطابق یک آدرس ایجاد کرده و سپس فعالیت‌ها را مطابق با آن محدود یا لغو کنید. این قابلیت را می‌توانید در برنامه مجانی فعال کنید و به ازای هر ۱۰ هزار درخواست باید ۰۵/۰ دلار بپردازید. اما در نرخی که ما درخواست‌ها را می‌دیدیم، هر ماه ۳۶ میلیون درخواست وجود داشت که خود ۱۸۰ دلار برای هر ماه هزینه در پی داشت. پس مشخصا این راه‌حلی نبود که مشکل را درست کند. و البته که تمام راه‌های قوانین الگویی را امتحان کردیم.

 

 

توجه: هزینه محدود کردن نرخ بر اساس تعداد درخواست‌های خوب (نه بلاک شده) تعیین می‌شود. درخواست‌های خوبی که با قوانین تعریف شده شما در طول تمام وبسایت‌هایتان تطابق دارند.اما در این مورد جواب نمی‌داد.

قدم بعدی که از قبل می‌دانستیم پیش روی خود داریم، نگاه به یک برنامه فایروال حقیقی وب بود. بسیاری از کابران این را نمی‌دانند، اما برنامه رایگان کلاودفلر شامل این مورد نمی‌شود و این موضوعی است که این روزها برای متوقف کردن حملات DDoS لازم است. پس گزینه بعدی به‌روز رسانی برنامه کلاودفلر به نسخه حرفه‌ای با ۲۰ دلار در ماه بود. این جایی است که باید کمی زمان گذاشته و راه‌حل‌های ثالث را نیز مقایسه کنیم.

 

مقایسه کلاودفلر با سوکوری

از دید ما، در حال حاضر بهترین راه‌حل‌ها برای برنامه فایروال وبی که اجرای آن‌ها در هر نوع سایتی آسان است، کلاودفلر و سوکوری هستند. ما به هیچ یک از این دو شرکت وابستگی نداریم، اما اگر نگاهی به این دو بیندازید خواهید دید که در سوکوری به ازای هزینه خود امکانات بهتری دریافت می‌کنید. بیایید به برنامه این دو که هر یک ماهیانه ۲۰ دلار هزینه دارند نگاهی بیندازیم.

 

کلاودفلر

با برنامه حرفه‌ای کلاودفلر تنها می‌توانید محافظ DDoS لایه‌های ۳ و ۴ را داشته باشید (در خصوص لایه‌های ۳ و ۴ حملات DDoS اینجا بیشتر بخوانید). این کمک می‌کند تا حملاتTCP SYN، UDP  و ICMP را در سرور لبه متوقف کنید تا به سرور اصلی شما نرسند. برای استفاده از محافط لایه ۷ باید به برنامه ۲۰۰ دلار در ماه به‌روز رسانی کنید. به یاد داشته باشید که این یک سایت بسیار کوچک تجارت الکترونیک است پس ۲۰۰ دلار در ماه بسیار هزینه‌بر خواهد بود و فراتر از هزینه‌های هاست سایت است.

 

سوکوری

با برنامه ۲۰ دلار در ماه سوکوری، در کنار محافط DDoS لایه‌های ۳ و ۴، محافظ لایه ۷ را نیز خواهید داشت. این به شما کمک می‌کند که تغییرات ناگهانی در ترافیک را خودکار شناسایی کرده و شما را از سیل‌های POST و حمله‌های DNS محور محافظت می‌کند و این حملات هیچ وقت به سرور اصلی شما نمی‌رسند. پس از همان ابتدا، کاهش حملات DDoS بهتری را با سوکوری خواهید دید و در این مثال، ما برای حملات سیلی HTTP به لایه ۷ نیاز داشتیم.

حمله سیلی HTTP یک نوع حمله لایه ۷ است که از درخواست‌های معتبر GET یا POST استفاه می‌کند تا مانند بازیابی‌های معمول داده در آدرس طی بخش‌های SSL (عکس، اطلاعات و …)، اطلاعات به دست بیاورد. سیل GET/POST یک حمله حجمی است که از بسته‌های ویروسی، تکنیک‌های جاسوسی یا انعکاسی استفاده نمی‌کند.

سوکوری همچنین در برنامه ۷۰ دلار در ماه خود تعادل‌ساز بار را نیز ارائه می‌دهد در حالی که کلاودفلر بخش‌های پرداختی کمی دارد که مربوط به جنبه‌های مختلف این ویژگی باشد. بخش‌هایی مانند قیمت‌گذاری استفاده محور که در آن به تعادل‌سازی بارگذاری بر حسب موقعیت جغرافیایی نیاز دارید.

هر دوی آن‌ها قابلیت‌های مشابهی دارند مانند این ویژگی که می‌توانند به صفحات خاصی یا بلاک کردن IP ها و … چالشی را اضافه کنند. اما تا جایی که به محافظت DDoS مربوط می‌شود، سوکوری امکانات بیشتری ارائه می‌دهد. ما همچنین رابط کاربری لیست‌سیاه سوکوری و نحوه تنظیمات بخش‌های خاصی را در مقایسه با کلاودفلر واقعا می‌پسندیم.

و به یاد داشته باشید، هیچ شرکتی نمی‌تواند محافظت DDoS 100 درصدی را برای شما تضمین کند. تنها کاری که آن‌ها می‌توانند انجام دهند این است که به شما کمک کنند به طور خودکار آن‌ها را متوقف کنید.

 

انتقال سایت به سوکوری

انتقال سایت به سوکوری بسیار ساده است. به مانند کلاودفلر، به طور فنی چیزی وجود ندارد که بخواهید نصب کنید، چرا که مانند یک سرویس پروکسی کامل عمل می‌کند. این یعنی شما DNS های خود را به سمت آن‌ها هدایت می‌کنید و سپس آن‌ها به هاست شما هدایت می‌شوند و اساسا برنامه فایروال وب (WAF) در این میان قرار می‌گیرد.

به عقیده ما داشبورد آن‌ها به جذابیت یا مدرنی کلاودفلر نیست، اما زمانی که پای WAF در میان باشد، تنها چیزی که باید اهمیت داشته باشد خوب کار کردن آن است. همان‌طور که در پایین مشاهده می‌کنید، به طور کلی IP میزبان فعلی شما را شناسایی کرده و آن‌ها برای شما یک فایروال تهیه می‌کنند. این چیزی است که شما DNS خود را به سمتش هدایت می‌کنید (یک رکورد اسمی + رکورد AAAA).

 

 

 

شما می‌توانید در چند دقیقه در سوکوری کار را شروع کنید که در خصوص حمله DDoS فعلی اتفاق خوبی است. تنها زمان انتظار برای اشاعه DNS است. آن‌ها یک CDN انیکست HTTP/2 را نیز لحاظ می‌کنند. پس این چیزی بیشتر از یک فایروال است. همچنین می‌تواند به افزایش سرعت سایت وردپرس شما کمک کند. اما شما می‌توانید در سوکوری به طور اختیاری از CDN خود مانند KeyCDN به راحتی استفاده کنید.

آن‌ها یک گواهی رایگان SSL را با  Let’s Encrypt لحاظ می‌کنند اما می‌توانید گواهی خود را نیز آپلود کنید. نکته منفی این است که Let’s Encrypt خودکار نبوده و شما باید یک تیکت ایجاد کنید. اما فرآیند رایج گواهی SSL آن‌ها سریع است. یک راهنمایی دیگر برای عملکرد این است که احتمالا باید گزینه کشینگ سایت را فعال کنید. این باعث می‌‌شود به جای استفاده از حافظه کش سوکوری، کش سرور اصلی شما حفظ شود. به احتمال بسیار زیاد تنظیمات کش را در حال حاضر همان‌طور که می‌خواهید در در هاست وردپرس خود دارید.

 

 

برای مطالعه‌ی ادامه‌ی متن به حمله DDoS در سایت بلاگ پارمیسافت مراجعه کنید.