WordPress является одним из самых популярных в мире разработчиков веб-сайтов, потому что он предлагает мощные функции и безопасную кодовую базу. Однако это не защищает WordPress или любое другое программное обеспечение от вредоносных атак DDoS, которые распространены в Интернете. DDoS-атаки могут замедлить работу веб-сайтов и в конечном итоге сделать их недоступными для пользователей. Эти атаки могут быть направлены как на маленькие, так и на большие сайты. Теперь вы можете быть удивлены, как веб-сайт малого бизнеса, использующий WordPress, может предотвратить такие DDoS-атаки с ограниченными ресурсами? В этом руководстве мы покажем вам, как эффективно остановить и предотвратить DDoS-атаку на WordPress. Наша цель – помочь вам научиться управлять безопасностью вашего сайта от DDoS-атак, как это делают профессионалы.

Что такое DDoS-атака

DDoS-атака, сокращение от DoS (Denial of Service), представляет собой тип кибер-атаки, которая использует скомпрометированные компьютеры и устройства для отправки или запроса данных с хост-сервера WordPress. Целью этих запросов является замедление и, в конечном итоге, сбой целевого сервера. DDoS-атаки являются развитой формой DoS-атак (отказ в обслуживании). В отличие от DoS-атак, они используют преимущества нескольких скомпрометированных машин или серверов, распределенных по разным регионам. Эти скомпрометированные машины образуют сеть, которую иногда называют ботнетом. Каждая затронутая машина действует как бот и запускает атаки на целевую систему или сервер. Это позволяет им некоторое время оставаться незамеченными и наносить максимальный урон, прежде чем их блокируют.

Даже крупнейшие интернет-компании уязвимы для DDoS-атак. В 2018 году GitHub, популярная платформа для размещения кода, стала свидетелем масштабной DDoS-атаки, которая отправляла 1,3 терабайта в секунду трафика на их серверы. Возможно, вы также помните пресловутую атаку 2016 года на DYN (поставщика услуг DNS). Эта атака получила всемирное освещение в новостях, поскольку она затронула многие популярные сайты, такие как Amazon, Netflix, PayPal, Visa, AirBnB, The New York Times, Reddit и тысячи других сайтов.

Почему DDoS-атаки происходят

Есть несколько мотивов DDoS-атак. Ниже приведены некоторые из них:

• Технически подкованные люди, которым просто скучно и которые находят это авантюрным;
• Люди и группы пытаются сделать это по политическим мотивам;
• Группы, нацеленные на веб-сайты и услуги определенной страны или региона;
• Целевые атаки на конкретные предприятия или поставщиков услуг с целью причинения им денежного ущерба;
• Шантажировать и требовать выкуп.

В чем разница между атакой грубой силы и атакой DDoS

Brute Force Attacks обычно пытаются взломать систему, угадывая пароли или выбирая случайные комбинации, чтобы получить несанкционированный доступ к системе. DDoS-атаки используются исключительно для того, чтобы просто вывести из строя целевую систему, сделать ее недоступной или замедлить ее. 

Какие повреждения могут быть вызваны DDoS-атакой

DDoS-атаки могут сделать сайт недоступным или снизить производительность. Это может привести к ухудшению взаимодействия с пользователем, потере бизнеса и снижению затрат на атаку, которые могут составлять тысячи долларов.

Вот разбивка этих затрат:

• Потеря бизнеса из-за недоступности сайта;
• Стоимость поддержки клиентов, чтобы ответить на вопросы, связанные с прерыванием обслуживания;
• Стоимость смягчения атаки путем найма служб безопасности или поддержки;
• Самая большая цена – плохой пользовательский опыт и репутация бренда.

Как остановить DDoS-атаку на WordPress

DDoS-атаки могут быть хитро замаскированы и с ними сложно бороться. Тем не менее, с некоторыми базовыми рекомендациями по безопасности вы можете предотвратить и легко остановить DDoS-атаки, влияющие на ваш сайт WordPress. Вот шаги, которые необходимо предпринять, чтобы предотвратить и остановить DDoS-атаки на вашем сайте WordPress.

1. Удалить DDoS/Brute Force Attack Verticals

Самое лучшее в WordPress – это то, что он очень гибкий. WordPress позволяет сторонним плагинам и инструментам интегрироваться в ваш сайт и добавлять новые функции. Для этого WordPress делает несколько API доступными для программистов. Эти API-интерфейсы представляют собой методы, с помощью которых сторонние плагины и службы могут взаимодействовать с WordPress. Тем не менее, некоторые из этих API-интерфейсов также могут быть использованы во время DDoS-атаки путем отправки тонны запросов. Вы можете безопасно отключить их, чтобы уменьшить эти запросы.

2. Отключить XML RPC в WordPress

XML-RPC позволяет сторонним приложениям взаимодействовать с вашим сайтом WordPress. Например, вам нужен XML-RPC, чтобы использовать приложение WordPress на вашем мобильном устройстве. Если вы, как и подавляющее большинство пользователей, не пользуетесь мобильным приложением, вы можете отключить XML-RPC, просто добавив следующий код в файл .htaccess вашего веб-сайта.

1 2 3 4 5

# Block WordPress xmlrpc.php requests <Files xmlrpc.php> order deny,allow deny from all </Files>

3. Отключить REST API в WordPress

API-интерфейс JSON REST позволяет плагинам и инструментам получать доступ к данным WordPress, обновлять содержимое и/или даже удалять их. Вот как вы можете отключить REST API в WordPress. Первое, что вам нужно сделать, это установить и активировать плагин Disable WP Rest API. Плагин работает «из коробки» и просто отключает REST API для всех неавторизованных пользователей.

4. Активировать WAF (брандмауэр приложений веб-сайта)

Отключение векторов атак, таких как REST API и XML-RPC, обеспечивает ограниченную защиту от DDoS-атак. Ваш сайт по-прежнему уязвим для обычных HTTP-запросов. Несмотря на то, что вы можете смягчить небольшую атаку DDOS, пытаясь поймать плохие IP-адреса компьютеров и блокируя их вручную, этот подход не очень эффективен при работе с крупными атаками DDoS. Самый простой способ заблокировать подозрительные запросы – активировать Website Application Firewalls (WAF). WAF действует как прокси между вашим веб-сайтом и всем входящим трафиком. Он использует интеллектуальный алгоритм, чтобы перехватывать все подозрительные запросы и блокировать их до того, как они попадут на сервер вашего сайта.

Мы рекомендуем использовать Sucuri, потому что это лучший плагин безопасности WordPress и фаерволл веб-сайта. Он работает на уровне DNS, что означает, что они могут поймать DDoS-атаку, прежде чем он сможет сделать запрос на ваш сайт. Цены на Sucuri начинаются с 20 долларов в месяц (оплачивается ежегодно). Он помогает блокировать сотни тысяч атак на нашем сайте. Кроме того, вы также можете использовать Cloudflare. Однако бесплатный сервис Cloudflare обеспечивает лишь ограниченную защиту от DDoS. Вам нужно подписаться как минимум на их бизнес-план для защиты от DDoS уровня 7, который стоит около 200 долларов в месяц.

WAF, работающие на уровне приложений, менее эффективны при атаке DDoS. Они блокируют трафик, как только он уже достиг вашего веб-сервера, поэтому он по-прежнему влияет на общую производительность вашего сайта.

5. Выясните, является ли это Brute Force или DDoS-атакой

Как перебор, так и DDoS-атаки интенсивно используют ресурсы сервера, поэтому их симптомы выглядят довольно схожими. Ваш сайт будет работать медленнее и может потерпеть падение. Вы можете легко узнать, является ли это атака Brute Force или DDoS-атака, просто просматривая отчеты о входе в плагин Sucuri. Просто установите и активируйте бесплатный плагин Sucuri, а затем перейдите на страницу Sucuri Security – Last Logins.

Если вы видите большое количество случайных запросов входа в систему, то это означает, что ваш wp-admin подвергся атаке Brute Force.

Что делать во время DDoS-атаки

DDoS-атаки могут происходить, даже если у вас есть фаерволл-приложение или другие средства защиты. Такие компании, как CloudFlare и Sucuri, имеют дело с этими атаками на регулярной основе, и большую часть времени вы никогда не услышите об этом, поскольку они могут легко смягчить его. Однако в некоторых случаях, когда эти атаки велики, они все равно могут повлиять на вас. В этом случае лучше быть готовым к смягчению проблем, которые могут возникнуть во время и после атаки DDoS. Вот несколько вещей, которые вы можете сделать, чтобы минимизировать влияние DDoS-атаки.

1. Оповещение членов вашей команды

Если у вас есть команда, вам нужно сообщить коллегам о проблеме. Это поможет им подготовиться к запросам в службу поддержки, найти возможные проблемы и помочь во время или после атаки.

2. Сообщите клиентам о неудобстве

DDoS-атака может повлиять на работу пользователей на вашем сайте. Если вы управляете магазином WooCommerce, ваши клиенты могут не иметь возможности разместить заказ или войти в свою учетную запись. Вы можете объявить через свои учетные записи в социальных сетях, что у вашего веб-сайта возникли технические проблемы, и все скоро вернется в норму. Если атака велика, вы также можете использовать свой почтовый маркетинговый сервис, чтобы общаться с клиентами и просить их следить за обновлениями в социальных сетях. Если у вас есть VIP-клиенты, возможно, вы захотите воспользоваться услугой служебной телефонной связи, чтобы совершать отдельные телефонные звонки и сообщать им о том, что вы работаете над восстановлением служб. Общение в эти трудные времена имеет огромное значение для поддержания репутации вашего бренда.

3. Обратитесь в службу поддержки хостинга и безопасности

Свяжитесь с вашим провайдером WordPress. Атака, свидетелем которой вы являетесь, может быть частью более масштабной атаки, направленной на их системы. В этом случае они смогут предоставить вам последние новости о ситуации. Обратитесь в службу фаерволла и сообщите им, что ваш сайт подвергается DDoS-атаке. Они могут разрешить ситуацию еще быстрее и предоставить вам больше информации. В провайдерах брандмауэров, таких как Sucuri, вы также можете установить свои настройки в режим Paranoid, который помогает блокировать множество запросов и сделать ваш сайт доступным для обычных пользователей.

Как предотвратить DDoS-атаку

1. Используйте сеть доставки контента (CDN)

CDN – это сервисы, которые кэшируют копии вашего сайта в своих центрах обработки данных. Самые популярные CDN предлагают дата-центры по всему миру и выступают в качестве посредника между вами и посетителями вашего сайта. Когда это возможно, ваш CDN будет обслуживать кэшированную копию вашего сайта со своих серверов, что приведет к меньшей нагрузке на ваш. Более того, CDN также могут помочь вам сократить общее время загрузки, поскольку они созданы с учетом производительности. CDN действуют как своего рода перерыв в DDoS-атаках, предотвращая переполнение вашего сайта результирующим трафиком. Они могут обнаруживать аномальные паттерны в трафике и, если все масштабируется слишком быстро, могут действовать для смягчения атаки. Некоторые CDN, такие как Cloudflare, также действуют как обратный прокси-сервер, который может дополнительно защитить ваш сайт WordPress от DDoS-атак.

2. Подпишитесь на специальную службу защиты от DDoS

3. Переключитесь на нового хостинг-провайдера

Большинство веб-хостингов в восторге от своей производительности. Однако очевидно, что не все из них находятся на одном уровне с точки зрения производительности. Некоторые серверы веб-хостинга резко замедляются даже при умеренной нагрузке, что делает этих провайдеров сомнительным выбором, если вы сталкиваетесь с DDoS-атакой. Хорошей новостью является то, что большинство авторитетных провайдеров веб-хостинга реализуют определенный уровень защиты от потоков трафика на уровне сервера. Например, SiteGround использует аппаратный брандмауэр и следит за необычным количеством соединений. Другим примером является WP Engine, который интегрируется с Cloudflare из коробки, чтобы обеспечить защиту от DDoS для всех своих планов. Это два наших любимых веб-хостинга WordPress, но они далеко не единственные варианты, которые предлагают защиту от DDoS.

4. Поставьте фаерволл

Возможно, вы уже знакомы с концепцией фаерволлов. Фаерволл – это часть программного обеспечения, которая защищает ваш компьютер от несанкционированного доступа с использованием собственного набора предварительно запрограммированных правил. Вы можете настроить фаерволл, чтобы ограничить число пользователей, обращающихся к вашему веб-сайту в течение определенного периода, и отфильтровывать посетителей, которые могут быть ботами. Если вы установите для этого числа что-то разумное, этого может быть достаточно, чтобы остановить большинство DDoS-атак, не влияя на работу пользователя.

Один из способов сделать это в WordPress – через плагины. Например, Wordfence включает функцию ограничения скорости, которую вы можете использовать, чтобы ограничить количество пользователей и автоматических сканеров, имеющих доступ к вашему веб-сайту.

5. Черный список подозрительных IP-адресов

Этот метод немного более практичен, чем другие подходы к защите от WordPress DDoS. Он включает в себя мониторинг того, какие IP-адреса пытаются получить доступ к вашему веб-сайту, и внесение в черный список тех, которые показывают подозрительную активность, таких как:

• Повторные попытки входа
• Неоправданно большое количество посещений
• IP-кластеры, наводняющие ваш сайт трафиком.

WordPress позволяет вам занести в черный список IP-адреса на уровне сервера, настроив файл .htaccess.

Вы также можете использовать плагины, такие как All In One WP Security & Firewall для достижения той же цели.

Однако вам потребуется способ мониторинга подозрительной активности IP-адресов, и этот метод не поможет вам предотвратить DDoS-атаки. Тем не менее, если вы быстрые, вы можете смягчить их – и это бесплатно.

6. Сделайте обслуживание и мониторинг WordPress приоритетом

Когда дело доходит до управления вашим сайтом, иногда лучшей формой защиты является профилактика. В ваших усилиях по минимизации вероятности DDoS-атаки на ваш сайт WordPress важно сделать приоритетным регулярное обслуживание и мониторинг. Регулярное обслуживание вашего сайта поможет поддерживать его в идеальном состоянии и в конечном итоге уменьшит количество уязвимостей, доступных для использования злоумышленниками. Регулярный мониторинг может помочь вам обнаружить подозрительную активность, прежде чем она нанесет значительный ущерб.

Есть много задач, связанных с надлежащим обслуживанием и мониторингом, в том числе:

• Обновления для WordPress, плагинов и тем
• Мониторинг работоспособности
• Автоматизированные резервные копии
• Оптимизация скорости
• Сканирование и удаление вредоносных программ.

Решение этих задач может занять много времени, но это необходимо. Профессиональное обслуживание дает вам душевное спокойствие, зная, что о вашем сайте заботятся должным образом. Кроме того, вы освобождаете время в своем собственном графике, чтобы сосредоточиться на других неотложных вопросах бизнеса.

Заключение

WordPress совершенно безопасен. Тем не менее, как самый популярный в мире конструктор сайтов, он часто становится целью хакеров. К счастью, существует множество рекомендаций по безопасности, которые вы можете применить на своем веб-сайте, чтобы сделать его еще более безопасным. Мы надеемся, что эта статья помогла вам научиться блокировать и предотвращать DDoS-атаки на WordPress.

Я вам также очень рекомендую попробовать плагин Clearfy от WPShop, он недорогой, но стоит своих денег, не пожалеете.

Если вам нужны услуги программиста на Вордпресс, пишите мне, есть опытная и ответственная команда.