WordPress'te DDoS Saldırıları Nasıl Önlenir?

Birçok ülkede pandemi tüm hızıyla devam ederken ve çevrimiçi işletmelerin patlamasıyla birlikte dijital saldırılar daha sık ve tehdit edici hale geliyor. En yaygın ve tehlikeli olanlardan bazıları DDoS saldırılarıdır . Bu kılavuzda, WordPress sitenize DDoS saldırılarını nasıl önleyeceğinizi göstereceğiz.

DDoS Saldırıları Nelerdir?

DDoS (Dağıtılmış Hizmet Reddi) saldırılarının nasıl önleneceğine geçmeden önce, ne olduklarını anlayalım. Basitçe söylemek gerekirse, bir DDoS saldırısı, bilgisayar korsanlarının sahte trafiğe sahip bir web sitesinin sunucularını bunaltmak için kullandığı birçok bağlı çevrimiçi cihazı içeren bir tür hizmet reddi (DoS) saldırısıdır .

DDoS saldırılarında, bu bağlı makineler ve sunucular, saldırıları ayrı ayrı ancak aynı anda başlatarak, engellenmeden önce bir süre fark edilmeden gitmelerine izin verir. Bu taktikle, bu saldırıların etkisini kolayca yoğunlaştırabilir, yavaşlatabilir ve sonunda hedefledikleri sunucuyu çökertebilirler.

DDoS saldırılarıyla ilgili ilginç bir şey , sunucunuza doğrudan erişmeye ve ihlal etmeye çalışmamalarıdır . Bunun yerine, kullanıcıların erişememesi için web sitesinin ve sunucuların belirli bir süre çökmesini sağlamayı amaçlıyorlar. Ancak, DDoS saldırıları, sunucunun güvenliğini ihlal etmek için bir kılıf olarak kullanılabilir.

Peki bir DDoS saldırısının kurbanı olursanız ne olur? Bilgisayar korsanları sunucunuzu başarıyla çökerttiyse, başınız belada olabilir. Bant genişliği gibi diğer masraflardan bahsetmiyorum bile, sisteminizi kurtarmak size binlerce dolara mal olabilir. Daha da önemlisi, saldırı trafiğinize, itibarınıza ve satış sonuçlarınıza zarar verecektir.

DDoS saldırıları yaygın mıdır?

Evet onlar. Aslında, DDoS saldırıları giderek daha yaygın hale geliyor. Son araştırmalara göre şu anda her 60 saniyede bir 16 DDoS saldırısı oluyor ! Ve sadece 2019'da dünya çapında 8,4 milyondan fazla DDoS saldırısı gerçekleşti.

Tüm bu sorunlardan kaçınmak için WordPress sitenize DDoS saldırılarını önlemek son derece önemlidir. Bu kılavuzda, bunlardan kaçınmak ve web sitenizi güvende tutmak için ne yapmanız gerektiğini size göstereceğiz.

WordPress'te DDoS Saldırıları Nasıl Önlenir?

Bunlar, WordPress'te DDoS saldırılarını önlemek ve sitenizi etkileyen bilgisayar korsanlarından kaçınmak için bazı fikirlerdir .

1. wp-login.php'ye erişimi engelle
2. Bir WAF'yi etkinleştirin
3. Web sitesi trafiğini denetleme
4. wp-admin alanına erişimi kısıtlayın
5. Ülke engellemeyi etkinleştir
6. DDoS Saldırı API'sini Devre Dışı Bırak
   1. XML RPC API'si
   2. REST API'si
7. WordPress'i düzenli olarak güncelleyin

1. wp-login.php'ye erişimi engelleyin

wp-login.php dosyası, bilgisayar korsanlarının WordPress'te DDoS saldırıları için kullandığı en yaygın yollardan biridir. Örneğin, QuadLayers'ta wp-login.php dosyalarına günde 250 defadan fazla erişimi engelleriz!

Cloudflare gibi bir hizmet kullanıyorsanız, birinin wp-login.php dosyalarınıza kaç kez erişmeye çalıştığını kontrol edebilirsiniz. Ve bu sayının ne kadar yüksek olduğuna şaşıracaksınız. Bu dosyalara erişimi engellemek, WordPress'te DDoS saldırılarını önlemenin en iyi yollarından biridir.

Çoğu güvenlik hizmeti, wp-login.php'ye erişimi engellemek için farklı seçenekler sunar. Cloudflare kullanıyoruz, bu nedenle size bu hizmetle wp-login.php dosyalarına yapılan saldırıları nasıl engelleyeceğinizi göstereceğiz. Cloudflare'in ücretsiz planı, 5 taneye kadar kural belirlemenize izin verir, böylece bunu hiç para harcamadan yapabilirsiniz.

Panoda Güvenlik Duvarı > Güvenlik Duvarı Kuralları > Güvenlik Duvarı kuralı oluştur seçeneğine gidin. Kurala bir ad verin ve boşlukları aşağıdaki bilgilerle doldurun:

• Alan : URI Yolu
• Operatör : içerir
• Değer : /wp-login.php

Alternatif olarak, İfade Önizleme bölümüne aşağıdaki kodu kopyalayıp yapıştırabilirsiniz:

 (http.request.uri.path "/wp-login.php" içerir)

Kaydet düğmesini tıklayın ve hazırsınız.

2. Bir WAF'yi etkinleştirin

WAF, Web Uygulaması Güvenlik Duvarı'nın kısaltmasıdır ve web siteniz için başka bir koruma katmanı görevi görür. Görünüşe göre kötü niyetli istekleri belirlemek ve engellemek için akıllı bir algoritma kullanarak sitenizi tehlikeli trafiğe karşı korur. Bu şekilde, yalnızca iyi trafik almanızı sağlar.

Aralarından seçim yapabileceğiniz birçok WAF çözümü vardır. Hangisini kullanacağınıza karar vermeden önce korumanın sitenize uygun olup olmadığını, fiyatını ve kullanım kolaylığını kontrol edin. Yıllar boyunca bunlardan birkaçını kullandıktan sonra, Sucuri'yi şiddetle tavsiye ediyoruz. Ücretsiz bir eklentisi ve tek bir site için yılda 199 USD'den başlayan birkaç profesyonel planı vardır. Cloudflare da mükemmel bir seçimdir. Ayda 20 USD karşılığında ücretsiz bir eklenti ve DDoS saldırı azaltma özellikli profesyonel planlar sunar.

Ayrıca, sitenizin tüm kötü amaçlı yazılım türlerine karşı genel korumasını iyileştirmek için bazı güvenlik ipuçlarını izlemenizi öneririz.

3. Web Sitesi Trafiğini Denetleyin

Trafikte büyük bir artış mutlaka iyi haber anlamına gelmez. Her zaman olmasa da DDoS saldırıları genellikle çok büyük miktarda trafik şeklinde olur. Bu hacimsel saldırılar ağ tabanlıdır ve bazen yeni ziyaretçilerle karıştırılmaktadır. Web sitenize tonlarca yeni ziyaretçi geldiğini görürseniz, yeni kullanıcılar mı yoksa sitenizi kapatmaya çalışan biri mi olduğunu kontrol edin.

Bunun için en iyi çözüm, izleme araçları yüklemek ve günlüklerinizi kontrol etmelerini ve istek/ziyaretçi sayısı aniden artarsa ​​sizi uyarmalarını sağlamaktır. Bu şekilde WordPress sitenize yapılan DDoS saldırılarını engellemiş olursunuz.

Yeni ziyaretçiler ve DDoS saldırıları arasında ayrım yapmak için şunlara dikkat etmek isteyebilirsiniz:

• Trafik kaynağı: Trafiğiniz hedeflediğiniz bölgeden mi geliyor? Örneğin, yerel müşterileri hedefliyorsanız ancak yurt dışından büyük trafik alıyorsanız, garip bir şeyler oluyor demektir.
• Trafik saati: Yerel saatle 3:00'te bir ziyaret artışına tanık olursanız, saldırılar da olabilir.
• İşletmenizin özellikleri: İşletmenizin türünü de dikkate alın. Örneğin mayo ve plaj kıyafeti satıyorsanız, yaz aylarında ziyaretçi artışı normaldir.

Google botlarının ve diğer arama motoru tarayıcılarının bazen web sitenize şüpheli isteklerde bulunduğunu lütfen unutmayın. Botları değil, DDoS saldırılarını engelleyeceğinizden emin olmak için aralarındaki farka dikkat edin.

4. wp-admin alanına erişimi kısıtlayın

WordPress'teki en önemli aktivitelerin tümünü kontrol ettiğiniz yer burası olduğundan, wp-admin alanına erişebilen tek kişi siz olmalısınız. Ancak, wp-admin alanına erişimi kısıtlarken, eklentiler ve temalar tarafından kullanılan /wp-admin/admin-ajax.php ve /wp-admin/theme-editor.php gibi belirli dosyaları eklemediğinizden emin olun. wp-admin alanına dışarıdan erişmeniz gerekiyor. Ek olarak, IP'nizi ve yönlendirenin web sitenizden ne zaman geldiğini hariç tutabilirsiniz.

Bir güvenlik hizmeti kullanıyorsanız, bunu yapılandırmak zor olmamalıdır. Bizim durumumuzda, bunu Cloudflare kullanarak şöyle yaptık:

Panoda Güvenlik Duvarı > Güvenlik Duvarı Kuralları > Güvenlik Duvarı kuralı oluştur seçeneğine gidin. Kuralı adlandırdıktan sonra, boşlukları aşağıdaki bilgilerle doldurun:

• Alan: URI Yolu
• Operatör: içerir
• Değer: /wp-admin/

[VE]

• Alan: URI Yolu
• Operatör: içermez
• Değer: /wp-admin/admin-ajax.php

[VE]

• Alan: URI Yolu
• Operatör: içermez
• Değer: /wp-admin/theme-editor.php

[VE]

• Alan: Yönlendiren
• Operatör: içermez
• Değer: quadlayers.com

[VE]

• Alan: IP Adresi
• Operatör: içermez
• Değer: 182.189.59.210

Aksi takdirde, İfadeyi düzenle'ye tıklayıp aşağıdaki kodu yapıştırmanız yeterlidir:

 (http.request.uri.path "/wp-admin/" içerir ve http.request.uri.path "/wp-admin/admin-ajax.php" içermez ve http.request.uri.path "/" ifadesini içermez wp-admin/theme-editor.php" ve http.referer "quadlayers.com" ve ip.src ne 182.189.59.210 içerir)

5. Ülke Engellemeyi Etkinleştirin

Bir web sitesi güvenlik duvarına benzer şekilde, ülke engelleme, web sitenizin saldırıya uğrama riskini en aza indirmeye yarayan bir tür coğrafi engellemedir. Site sahipleri, tek başına ülke bloke ederek DDoS saldırılarının olasılığını ekarte edemese de, kurumsal politikalara uyarken saldırılara karşı korumayı yükseltmek tipik bir uygulamadır. Son zamanlarda birkaç ülkeden çok sayıda siber saldırı geldiğinden, bunların web sitenizle etkileşim kurmasını engellemeyi düşünebilirsiniz.

Ülkelerin kolayca bloke edilmesini sağlayan güvenlik eklentilerinden biri olan Sucuri, bunun için mükemmel bir seçimdir.

6. DDoS Saldırı API'lerini Devre Dışı Bırakın

Bu yöntemin ilkesi, bilgisayar korsanlarının WordPress sitenize saldırı başlatmak için kullanmamaları için birkaç API'yi devre dışı bırakmaktır. Normalde bu API'ler, üçüncü taraf eklentilerin ve hizmetlerin bir web sitesine entegre edilmesi için ağ geçitleridir. Ancak, bilgisayar korsanları genellikle DDoS veya kaba kuvvet saldırıları başlatmak için bunlardan yararlanır.

Devre dışı bırakmayı düşünmeniz gereken iki API vardır:

6.1) XML RPC API'si

Bu API, özellikle cep telefonunuzda WordPress uygulamasını kullanmak için üçüncü taraf uygulamaların sitenizle etkileşime girmesine yardımcı olur. Kötü haber şu ki , en yaygın DDoS saldırı hedeflerinden biri . Bu nedenle, kullanıcılarınızın çoğu WordPress'in mobil sürümünü kullanmıyorsa, DDoS saldırılarını önlemek için bu API'yi devre dışı bırakmayı düşünebilirsiniz.

XML RPC API'sini devre dışı bırakmak ve tüm isteklerini engellemek için aşağıdaki kodu web sitenizin .htaccess dosyasına eklemeniz yeterlidir.

 # Tüm WordPress xmlrpc.php isteklerini engelle
<Dosyalar xmlrpc.php>
sipariş reddetme, izin verme
herkesten inkar
</Dosyalar>

6.2) REST API'si

WordPress'te DDoS saldırılarını önlemek için devre dışı bırakılabilen bir diğer API, REST API'dir. Bu API, üçüncü taraf eklentilerin ve araçların WordPress verilerine erişmesine ve içeriği değiştirmesine ve silmesine izin verir. Bu API'yi devre dışı bırakmanın en kolay yolu, Disable WP Rest API ücretsiz eklentisini indirmektir.

İndirdikten sonra etkinleştirin ve hazırsınız. Araç hemen çalışacak ve oturum açmamış tüm kullanıcılar için REST API'yi başka bir yapılandırma olmadan devre dışı bırakacaktır.

7. WordPress'i Düzenli Olarak Güncelleyin

WordPress'in düzenli olarak güncellenmesi yalnızca DDoS saldırılarını engellemekle kalmaz, aynı zamanda web sitenizi diğer birçok saldırı ve hack türüne karşı korur. Bu yüzden düzenli olarak güncellemelisiniz:

1. WordPress kurulumu, temaları ve eklentileri
2. Sunucudaki PHP sürümü
3. Apache, MySQL ve İşletim Sistemi
4. Diğer komut dosyaları ve yazılımlar

WordPress'te bir DDoS Saldırısı altındaysanız ne yapmalısınız?

WordPress'te önceden hazırlanıp DDoS saldırılarını önlemeye çalışsanız bile, saldırı altındaysanız ne yapmalısınız? Bir DDoS saldırısı sırasında yapmanız gereken acil yanıtlar şunlardır:

1. Ekibinizi bilgilendirin

Kriz çıktığında birlikte çalışmak size en yüksek gücü verecektir. Bir DDoS saldırısı altındayken, ekip üyelerinizi neler olduğunun farkında olmaları ve karşı önlemler konusunda size yardımcı olabilmeleri için uyardığınızdan emin olun.

2. Müşterilerinizi bilgilendirin

Bu, özellikle saldırı altındaki web sitesi bir WooCommerce mağazasıysa önemlidir, çünkü müşteriler bu süre zarfında hesaplarına giriş yapamaz veya ürün satın alamaz. Böyle kritik bir anda hiçbir duyuru ve açıklama yapmamak itibarınızı zedeleyebilir. Bu nedenle, sitenizde teknik hatalar olduğunu ve yakında tekrar çevrimiçi olacağını e-posta veya sosyal medya aracılığıyla onlara bildirmenizi öneririz.

3. Barındırma ve güvenlik sağlayıcınızla iletişime geçin

İş arkadaşlarınızı ve müşterilerinizi uyardıktan sonra WordPress barındırma sağlayıcınızla da iletişime geçin. Saldırganlar sistemlerini hedef alıyor olabileceğinden, bunu bilmeleri daha iyidir ve hatta size durumla ilgili yardımcı olabilirler. Bunun da ötesinde, bu noktada güvenlik sağlayıcınızla iletişime geçmek çok önemlidir. Saldırılarla uğraşmak onların işi olduğundan, daha iyi ve daha hızlı karşı önlemler formüle etmenize yardımcı olabilirler.

4. Yanıtları uygulayın

Dağıtıma hazır herhangi bir karşı önleminiz varsa, kurtarmaya geldikleri zaman budur. Normalde, saldırılar gerçekleşir gerçekleşmez karşı önlemler hemen işe yarayacaktır. Bunu önceden hazırlarsanız daha iyi olur. Ancak, herhangi bir özel güvenlik çözümü hazırlamadıysanız, çoğu acil durum yanıtı sunduğundan güvenlik sağlayıcınıza danışın.

5. Karşı önlem performansını değerlendirin

Karşı önlem performansını da gerçekleştiği için değerlendirmeyi unutmayın! Etkili mi? Yoksa saldırganlar mı kazanıyor? Bu şekilde, yolunuza başka bir saldırı gelirse yanıtlarınızı ayarlayabilirsiniz. Umalım ki durum böyle olmasın ama önlem almak tedavi etmekten daha iyidir.

Çözüm

Sonuç olarak, DDoS saldırıları günümüzde çok sık görülmektedir. WordPress web siteniz ne kadar büyürse, bilgisayar korsanları için o kadar çekici hale gelir. Ancak önleyici tedbirler uygulayarak bu saldırıları önleyebilir ve hazırlayabilirsiniz. Yukarıda bahsedilen adımlar, yalnızca WordPress'te DDoS saldırılarını önlemenize yardımcı olmakla kalmayacak, aynı zamanda web sitenizi genel olarak saldırılardan korumanıza da yardımcı olacaktır.

Ama ya zaten saldırı altındaysanız? Panik yapma. Sorunları azaltmaya çalışmak ve sitenizi mümkün olan en kısa sürede çalışır duruma getirmek için yukarıda belirtilen önerileri izleyin. Sitenizin güvenliğini daha da artırmak mı istiyorsunuz? Güvenlik ipuçlarımıza göz atın!

DDoS saldırılarını önlemek için başka yararlı taktikleriniz var mı? Lütfen aşağıdaki yorum bölümünde bizimle paylaşın!