So verhindern Sie DDoS-Angriffe in WordPress

Veröffentlicht: 2020-08-18

Mit der Pandemie in vielen Ländern und der Explosion von Online-Geschäften werden digitale Angriffe immer häufiger und bedrohlicher. Einige der häufigsten und gefährlichsten sind DDoS-Angriffe . In dieser Anleitung zeigen wir dir, wie du DDoS-Angriffe auf deine WordPress-Seite verhindern kannst .

Was sind DDoS-Angriffe?

Bevor wir uns mit der Verhinderung von DDoS-Angriffen (Distributed Denial of Service) befassen, wollen wir zunächst verstehen, was sie sind. Einfach ausgedrückt ist ein DDoS-Angriff eine Art Denial-of-Service-Angriff (DoS) , an dem viele verbundene Online-Geräte beteiligt sind, die Hacker verwenden, um die Server einer Website mit gefälschtem Datenverkehr zu überlasten .

Bei DDoS-Angriffen starten diese verbundenen Maschinen und Server Angriffe separat, aber gleichzeitig, sodass sie einige Zeit unbemerkt bleiben, bevor sie blockiert werden. Mit dieser Taktik können sie die Auswirkungen dieser Angriffe leicht verstärken, den Server, auf den sie abzielen, verlangsamen und schließlich zum Absturz bringen.

Eine interessante Sache bei DDoS-Angriffen ist, dass sie nicht versuchen, Ihren Server zu durchbrechen und direkt darauf zuzugreifen . Stattdessen zielen sie darauf ab, die Website und die Server für eine bestimmte Zeit zum Absturz zu bringen, damit Benutzer nicht darauf zugreifen können. DDoS-Angriffe können jedoch als Deckmantel verwendet werden, um die Sicherheit des Servers zu verletzen.

Was passiert also, wenn Sie Opfer eines DDoS-Angriffs werden? Wenn Hacker Ihren Server erfolgreich zum Absturz gebracht haben, könnten Sie in Schwierigkeiten geraten. Es kann Sie Tausende von Dollar kosten, Ihr System wiederherzustellen, ganz zu schweigen von anderen Ausgaben wie Bandbreite. Noch wichtiger ist, dass der Angriff Ihren Traffic, Ihren Ruf und Ihre Verkaufsergebnisse belastet.

Sind DDoS-Angriffe üblich?

Ja, sind Sie. Tatsächlich werden DDoS-Angriffe immer häufiger. Aktuellen Studien zufolge gibt es derzeit alle 60 Sekunden 16 DDoS-Attacken ! Und allein im Jahr 2019 gab es weltweit mehr als 8,4 Millionen DDoS-Angriffe.

Um all diese Probleme zu vermeiden, ist es von größter Bedeutung, DDoS-Angriffe auf Ihre WordPress-Site zu verhindern . In diesem Leitfaden zeigen wir Ihnen, was Sie tun können, um sie zu vermeiden und Ihre Website sicher zu halten.

So verhindern Sie DDoS-Angriffe in WordPress

Dies sind einige Ideen, um DDoS-Angriffe in WordPress zu verhindern und Hacker zu vermeiden, die Ihre Website beeinträchtigen.

  1. Zugriff auf wp-login.php blockieren
  2. Aktivieren Sie eine WAF
  3. Überwachen Sie den Website-Verkehr
  4. Beschränken Sie den Zugriff auf den wp-admin-Bereich
  5. Ländersperre aktivieren
  6. Deaktivieren Sie die DDoS-Angriffs-API
    1. XML-RPC-API
    2. REST-API
  7. Aktualisieren Sie WordPress regelmäßig

1. Blockiere den Zugriff auf wp-login.php

Die Datei wp-login.php ist einer der häufigsten Pfade, die Hacker für DDoS-Angriffe in WordPress verwenden. Zum Beispiel blockieren wir bei QuadLayers den Zugriff auf die wp-login.php- Dateien mehr als 250 Mal pro Tag!

Wenn du einen Dienst wie Cloudflare verwendest, kannst du überprüfen, wie oft jemand versucht hat, auf deine wp-login.php- Dateien zuzugreifen. Und Sie werden überrascht sein, wie hoch diese Zahl ist. Das Blockieren des Zugriffs auf diese Dateien ist eine der besten Möglichkeiten, DDoS-Angriffe in WordPress zu verhindern.

Die meisten Sicherheitsdienste bieten verschiedene Optionen, um den Zugriff auf wp-login.php zu blockieren. Wir verwenden Cloudflare, daher zeigen wir Ihnen, wie Sie mit diesem Dienst Angriffe auf die wp-login.php-Dateien blockieren können. Mit dem kostenlosen Plan von Cloudflare können Sie bis zu 5 Regeln einrichten, sodass Sie dies tun können, ohne Geld auszugeben.

Gehen Sie im Dashboard zu Firewall > Firewall-Regeln > Firewall-Regel erstellen . Geben Sie der Regel einen Namen und füllen Sie die Lücken mit den folgenden Informationen aus:

So verhindern Sie DDoS-Angriffe in WordPress – Wp-admin.php

  • Feld : URI-Pfad
  • Operator : enthält
  • Wert : /wp-login.php

Alternativ können Sie den folgenden Code kopieren und im Abschnitt Ausdrucksvorschau einfügen:

 (http.request.uri.path enthält „/wp-login.php“)

Klicken Sie auf die Schaltfläche Speichern und schon sind Sie fertig.

 2. Aktivieren Sie eine WAF
 WAF ist die Abkürzung für Web Application Firewall und dient als weitere Schutzschicht für Ihre Website. Es schützt Ihre Website vor gefährlichem Datenverkehr, indem es einen intelligenten Algorithmus verwendet, um scheinbar böswillige Anfragen zu identifizieren und zu blockieren. Auf diese Weise können Sie nur guten Verkehr erhalten.
		


 Es stehen viele WAF-Lösungen zur Auswahl. Bevor Sie sich entscheiden, welchen Sie verwenden, prüfen Sie, ob der Schutz für Ihre Website geeignet ist, sowie den Preis und die Benutzerfreundlichkeit. Nachdem wir im Laufe der Jahre einige davon verwendet haben, empfehlen wir Sucuri sehr. Es hat ein kostenloses Plugin und ein paar Pro-Pläne, die bei 199 USD pro Jahr für eine einzelne Site beginnen. Cloudflare ist auch eine ausgezeichnete Wahl. Es bietet ein kostenloses Plugin und Pro-Pläne mit DDoS-Angriffsminderung für 20 USD pro Monat.
 Darüber hinaus empfehlen wir Ihnen, einige Sicherheitstipps zu befolgen, um den Gesamtschutz Ihrer Website vor allen Arten von Malware zu verbessern.
		


 3. Überwachen Sie den Website-Verkehr
 Ein großer Verkehrsanstieg bedeutet nicht unbedingt gute Nachrichten. Auch wenn dies nicht immer der Fall ist, erfolgen DDoS-Angriffe in der Regel in Form einer enormen Menge an Datenverkehr. Diese volumetrischen Angriffe sind netzwerkbasiert und werden manchmal mit neuen Besuchern verwechselt. Wenn Sie Tonnen von neuen Besuchern sehen, die auf Ihre Website kommen, überprüfen Sie, ob es sich um neue Benutzer handelt oder ob jemand versucht, Ihre Website vom Netz zu nehmen.
 Die beste Lösung dafür ist die Installation von Überwachungstools, die Ihre Protokolle überprüfen und Sie benachrichtigen, wenn die Anzahl der Anfragen/Besucher plötzlich ansteigt. Auf diese Weise verhindern Sie DDoS-Angriffe auf Ihre WordPress-Site.
		


 Um zwischen neuen Besuchern und DDoS-Angriffen zu unterscheiden, sollten Sie Folgendes beachten:
  •  Traffic-Quelle: Kommt Ihr Traffic aus der Zielregion? Wenn Sie beispielsweise lokale Kunden ansprechen, aber enormen Traffic aus Übersee erhalten, dann passiert etwas Seltsames.
  •  Zeit des Datenverkehrs: Wenn Sie um 3:00 Uhr Ortszeit eine Welle von Besuchen beobachten, könnten dies auch die Angriffe sein.
  •  Besonderheiten Ihres Unternehmens: Berücksichtigen Sie auch Ihren Unternehmenstyp. Wenn Sie zum Beispiel Bade- und Strandmode verkaufen, ist ein Besucheransturm im Sommer normal.
 Bitte beachten Sie, dass Google-Bots und andere Suchmaschinen-Crawler manchmal verdächtige Anfragen an Ihre Website senden. Beachten Sie den Unterschied zwischen ihnen, um sicherzustellen, dass Sie DDoS-Angriffe blockieren, nicht die Bots.
		


 4. Beschränke den Zugriff auf den wp-admin-Bereich
 Du solltest der einzige sein, der Zugriff auf den wp-admin- Bereich erhalten kann, da du hier alle wichtigen Aktivitäten in WordPress steuerst. Achte jedoch beim Einschränken des Zugriffs auf den wp-admin- Bereich darauf, bestimmte Dateien wie /wp-admin/admin-ajax.php und /wp-admin/theme-editor.php , die von Plugins und Themes verwendet werden, nicht einzubeziehen müssen von außen auf den wp-admin-Bereich zugreifen. Zusätzlich können Sie Ihre IP ausschließen und wann der Referrer von Ihrer Website kommt.
 Wenn Sie einen Sicherheitsdienst verwenden, sollte dies nicht schwer zu konfigurieren sein. In unserem Fall haben wir es mit Cloudflare so gemacht:
		


 Gehen Sie im Dashboard zu Firewall > Firewall-Regeln > Firewall-Regel erstellen . Füllen Sie nach dem Benennen der Regel die Lücken mit den folgenden Informationen aus: 
So verhindern Sie DDoS-Angriffe in WordPress - WP-Admin-Bereich
  •  Feld: URI-Pfad
  •  Betreiber: enthält
  •  Wert: /wp-admin/
 [UND]
  •  Feld: URI-Pfad
  •  Operator: enthält nicht
  •  Wert: /wp-admin/admin-ajax.php
 [UND]
  •  Feld: URI-Pfad
  •  Operator: enthält nicht
  •  Wert: /wp-admin/theme-editor.php
 [UND]
  •  Feld: Referrer
  •  Operator: enthält nicht
  •  Wert: quadlayers.com
 [UND]
  •  Feld: IP-Adresse
  •  Operator: enthält nicht
  •  Wert: 182.189.59.210
 Andernfalls können Sie einfach auf Ausdruck bearbeiten klicken und den folgenden Code einfügen:
 (http.request.uri.path enthält „/wp-admin/“ und nicht http.request.uri.path enthält „/wp-admin/admin-ajax.php“ und nicht http.request.uri.path enthält „/ wp-admin/theme-editor.php“ und nicht http.referer enthält „quadlayers.com“ und ip.src ne 182.189.59.210)
 5. Ländersperre aktivieren
 Länderblockierung ist ähnlich wie eine Website-Firewall eine Art Geoblocking, das dazu dient, das Risiko von Angriffen auf Ihre Website zu minimieren. Obwohl Websitebesitzer die Möglichkeit von DDoS-Angriffen nicht allein durch Länderblockierung ausschließen können, ist es eine typische Praxis, den Schutz vor den Angriffen zu erhöhen und gleichzeitig die Unternehmensrichtlinien einzuhalten. Da in letzter Zeit eine große Anzahl von Cyberangriffen aus einigen wenigen Ländern kam, sollten Sie erwägen, sie daran zu hindern, mit Ihrer Website zu interagieren.
 Als eines der Sicherheits-Plugins, das eine einfache Länderblockierung ermöglicht, ist Sucuri dafür eine ausgezeichnete Wahl.
 6. Deaktivieren Sie DDoS-Angriffs-APIs
 Das Prinzip dieser Methode besteht darin, mehrere APIs zu deaktivieren, damit Hacker sie nicht verwenden können, um Angriffe auf Ihre WordPress-Site zu starten. Normalerweise sind diese APIs die Gateways für Plugins und Dienste von Drittanbietern, die in eine Website integriert werden sollen. Hacker nutzen sie jedoch häufig aus, um DDoS- oder Brute-Force-Angriffe zu starten.
 Es gibt zwei APIs, die Sie deaktivieren sollten:
 6.1) XML-RPC-API
 Diese API hilft Drittanbieter-Apps bei der Interaktion mit Ihrer Website, insbesondere bei der Verwendung der WordPress-App auf Ihrem Mobiltelefon. Die schlechte Nachricht ist, dass es eines der häufigsten Ziele von DDoS-Angriffen ist . Wenn also die meisten Ihrer Benutzer nicht die mobile Version von WordPress verwenden, sollten Sie diese API deaktivieren, um DDoS-Angriffe zu verhindern.
 Um die XML-RPC-API zu deaktivieren und alle ihre Anfragen zu blockieren, fügen Sie einfach den folgenden Code zur .htaccess -Datei Ihrer Website hinzu.
 # Blockieren Sie alle WordPress xmlrpc.php-Anfragen
<Dateien xmlrpc.php>
Befehl verweigern, zulassen
abgelehnt von allen
</Dateien>
 6.2) REST-API
 Eine weitere API, die deaktiviert werden kann, um DDoS-Angriffe in WordPress zu verhindern, ist die REST-API. Diese API ermöglicht Plug-ins und Tools von Drittanbietern den Zugriff auf WordPress-Daten sowie das Ändern und Löschen von Inhalten. Der einfachste Weg, diese API zu deaktivieren, besteht darin, das kostenlose Plugin Disable WP Rest API herunterzuladen.
 Nachdem Sie es heruntergeladen haben, aktivieren Sie es und Sie sind fertig. Das Tool funktioniert sofort und deaktiviert die REST-API für alle nicht angemeldeten Benutzer ohne weitere Konfiguration.
 7. Aktualisieren Sie WordPress regelmäßig
 Die regelmäßige Aktualisierung von WordPress verhindert nicht nur DDoS-Angriffe, sondern schützt Ihre Website auch vor vielen anderen Arten von Angriffen und Hacks. Deshalb müssen Sie regelmäßig aktualisieren:
  1.  WordPress-Installation, Themes und Plugins
  2.  PHP-Version auf dem Server
  3.  Apache, MySQL und OS
  4.  Alle anderen Skripte und Software
 Was tun, wenn Sie in WordPress einem DDoS-Angriff ausgesetzt sind?
 Auch wenn Sie sich im Voraus vorbereiten und versuchen können, DDoS-Angriffe in WordPress zu verhindern, was sollten Sie tun, wenn Sie angegriffen werden? Dies sind die Sofortmaßnahmen, die Sie während eines DDoS-Angriffs ausführen sollten:
 1. Informieren Sie Ihr Team
 Wenn Sie in Krisenzeiten zusammenarbeiten, erhalten Sie die größtmögliche Kraft. Achten Sie bei einem DDoS-Angriff darauf, Ihre Teammitglieder zu warnen, damit sie wissen, was passiert, und Ihnen bei Gegenmaßnahmen helfen können.
 2. Benachrichtigen Sie Ihre Kunden
 Dies ist besonders wichtig, wenn es sich bei der angegriffenen Website um einen WooCommerce-Shop handelt, da Kunden sich während dieser Zeit nicht bei ihrem Konto anmelden oder Produkte kaufen können. Wenn Sie in einem so kritischen Moment keine Ankündigung und Erklärung abgeben, kann dies Ihrem Ruf schaden. Wir empfehlen Ihnen daher, sie per E-Mail oder über soziale Medien darüber zu informieren, dass Ihre Website technische Fehler aufweist und bald wieder online sein wird.
 3. Wenden Sie sich an Ihren Hosting- und Sicherheitsanbieter
 Nachdem Sie Kollegen und Kunden benachrichtigt haben, wenden Sie sich auch an Ihren WordPress-Hosting-Anbieter. Da Angreifer auf ihre Systeme abzielen könnten, ist es besser, dass sie davon wissen, und sie können Ihnen sogar in der Situation helfen. Darüber hinaus ist es wichtig, sich an dieser Stelle mit Ihrem Sicherheitsanbieter in Verbindung zu setzen. Da der Umgang mit Angriffen in ihrem Metier liegt, können sie Ihnen dabei helfen, bessere und schnellere Gegenmaßnahmen zu formulieren.
 4. Antworten implementieren
 Sollten Sie einsatzbereite Gegenmaßnahmen haben, kommen diese zur Rettung. Normalerweise funktionieren die Gegenmaßnahmen sofort, sobald Angriffe stattfinden. Es ist besser, wenn Sie dies im Voraus vorbereiten. Wenn Sie jedoch keine spezialisierte Sicherheitslösung vorbereitet haben, wenden Sie sich an Ihren Sicherheitsanbieter, da die meisten von ihnen Notfallmaßnahmen anbieten.
 5. Werten Sie die Leistung der Gegenmaßnahmen aus
 Vergessen Sie nicht, die Leistung der Gegenmaßnahmen zu bewerten, da sie auch stattfinden! Sind sie wirksam? Oder gewinnen die Angreifer? Auf diese Weise können Sie Ihre Reaktionen anpassen, falls ein anderer Angriff auf Sie zukommt. Hoffen wir, dass es nicht der Fall sein wird, aber Vorbeugen ist besser als Heilen.
 Fazit
 Alles in allem sind DDoS-Angriffe heutzutage sehr häufig. Je mehr Ihre WordPress-Website wächst, desto attraktiver wird sie für Hacker. Sie können diese Angriffe jedoch verhindern und sich darauf vorbereiten, indem Sie vorbeugende Maßnahmen ergreifen. Die oben genannten Schritte helfen Ihnen nicht nur, DDoS-Angriffe in WordPress zu verhindern, sondern auch dazu, Ihre Website im Allgemeinen vor Angriffen zu schützen.
 Aber was ist, wenn Sie bereits angegriffen werden? Keine Panik. Befolgen Sie die oben genannten Empfehlungen, um die Probleme zu reduzieren und Ihre Website so schnell wie möglich zum Laufen zu bringen. Möchten Sie die Sicherheit Ihrer Website weiter verbessern? Beachten Sie unsere Sicherheitstipps!
 Haben Sie andere nützliche Taktiken, um DDoS-Angriffe zu verhindern? Bitte teilen Sie es uns im Kommentarbereich unten mit!