Atak brute-force na logowanie, jak się bronić
Atak brute-force („siłowy") polega na tym, że program automatycznie próbuje setek i tysięcy kombinacji loginu i hasła, aż trafi na właściwą. Nie musi Cię znać ani wybierać, boty skanują cały internet i pukają do każdego panelu logowania, jaki znajdą. Jeśli hasło jest słabe, to tylko kwestia czasu.
Jak poznać, że to się dzieje
Objawy bywają subtelne: strona czasem zwalnia, w logach serwera widać setki prób logowania z różnych adresów, przychodzą maile o „zablokowanym koncie". Czasem pierwszy sygnał to dopiero moment, gdy nie możesz się zalogować, bo ktoś zmienił hasło.
Pięć rzeczy, które realnie pomagają
- Mocne, unikalne hasło do panelu, długie, najlepiej z menedżera haseł.
- Logowanie dwuskładnikowe (2FA): nawet znając hasło, atakujący nie wejdzie bez kodu.
- Limit nieudanych prób: po kilku błędach konto lub adres jest czasowo blokowany.
- Brak konta o nazwie „admin": nie ułatwiaj botom połowy roboty.
- Ukrycie/zmiana adresu logowania: utrudnia automatom znalezienie panelu.
Sama zmiana hasła na mocne i włączenie 2FA eliminuje zdecydowaną większość takich ataków. To dwie rzeczy, które warto zrobić dziś.
Blokada na poziomie serwera i XML-RPC
Poza samym WordPressem warto ograniczyć próby logowania na poziomie serwera oraz wyłączyć XML-RPC, który pozwala zgadywać hasła hurtowo. To domyka drogę, którą omija się zwykły formularz logowania.
Spokój zamiast pilnowania
Ciągłe pilnowanie logów i blokad to zajęcie na pełny etat. Dlatego w ramach stałej opieki ustawiamy te zabezpieczenia raz, a porządnie, i monitorujemy nietypowe próby dostępu.
Chcesz sprawdzić, czy Twój panel jest odpowiednio chroniony? Odezwij się, przejrzymy zabezpieczenia logowania.