2015 is weer voorbij, een druk jaar waarbij wij van WPbeveiligen en de hackers niet stil gezeten hebben.
Enkele cijfers
De heren van WPscan hebben de teller op 3979 gevonden lekken staan. Dit zijn lekken in plugins, thema’s en WordPress bij elkaar.
De heren van Sucuri hebben een Brute Force Monitor die bijhoudt hoeveel brute force attacks de websites ervaren die SUCURI heeft beveiligd.
Het gemiddelde hiervan ligt op 15 miljoen per dag.
Zoals je op Brute Force Monitor kunt zien, is het aantal aanvallen maandelijks toegenomen en zien we in November-December enkele pieken van 48 miljoen Brute Force attacks!
De beveiliging: next level
We hebben het afgelopen jaar veel innovaties voorbij zien komen om de brute force attacks tegen te gaan.
Limit Login Attempts standaard via Installatron
Denk aan de plugins die standaard meegeleverd werden door Installatron zoals de Limit Login Attempts. Maar deze is inmiddels al weer 2 jaar niet ge-update wat de plugin onbruikbaar maakt in de snel veranderende wereld van hackers en beveiliging.
Het WordPress admin “verstoppen”
We hebben ook de plugins voorbij zien komen die de standaard wp-admin url verwijzen via de Htaccess en zo zorgen dat de reguliere url niet te vinden is.
Dat moest nog even door-ontwikkeld worden aangezien de eerste tijd alleen de wp-admin omgeleid werd maar de wp-login.php nog gewoon beschikbaar was en de brute force attacks zo nog door konden gaan.
De hackers begonnen deze truc al snel door te krijgen en benaderde de Htaccess om te kijken waar de brute force attacks dan wel heen konden, en of dit niet gewoon aan te passen was.
Plugins vereisten daarna weer dat de Htaccess onschrijfbaar gemaakt wordt door de schrijfrechten op 444 te zetten wat betekent dat het alleen leesbaar is maar niet aan te passen.
WordPress beveiligings releases
WordPress heeft ook een paar functies toegevoegd die de veiligheid van het CMS bevorderen.
Denk aan de eis om een sterk wachtwoord in te stellen.
Deze functie is geweldig irritant aangezien je een half boodschappenlijstje moet invullen voordat het wachtwoord goed is. Maar het was wel nodig, aangezien velen de voor-of-achternaam met enkele 1234 cijfers gebruikten en dit als eerste getest wordt door een Brute Force Bot.
Wij hebben nog een artikel over wachtwoorden geschreven met tips hoe je een goed wachtwoord kan kiezen en onthouden.
De Ithemes Security plugin is nog een stapje verder gegaan en vereiste een andere username met een afwijkende front-end naam.
Het moge duidelijk zijn dat de username “admin” echt uit den boze is.
De beveiliging van servers bij de hosting
Wie nog het meeste last hebben van de gehackte websites zijn de hosters waar de websites staan.
Een gehackte website vraagt namelijk het maximale van een server waardoor websites op een gedeelde server traag worden of zelfs tijdelijk niet kunnen laden.
Tevens raakt een gehele server met meerdere websites op de Mail Blacklist waardoor mails mogelijk niet verzonden kunnen worden of niet meer aankomen.
Voor de hosters was 2015 een heel druk jaar waarbij dagelijks WordPress websites offline gezet moesten worden om de server en de andere gebruikers/websites te beschermen.
Wat kan een hoster eraan doen?
Niet veel, ze geven websites namelijk vrijheden die een site nodig heeft.
Het is aan de eigenaar van de website om te zorgen dat de website geen spam gaat versturen. Een server scant wel op bestanden en e-mails maar de hackers hebben hier weer trucs op bedacht. Denk aan de base64 codering en aan het wisselen van scripts.
Kortom: een kat en muis spel
Er zijn op de achtergrond nog tientallen aanpassingen gemaakt aan WordPress, aan beveiligings plugins, hele teams werken dag-in-dag aan updates, fixes en aan preventieve opties om de site, de server en het CMS WordPress te beveiligen.
En aan de andere kant zitten honderden geniale hackers te broeden op scripts om hun reclame mee te kunnen injecteren in websites. Denk aan hackers over de hele wereld die geen werk hebben maar toch een inkomen nodig hebben, ze zijn misschien goed opgeleid en weten alles van servers, van code en exploits.
2015 was een bewogen jaar, in 2016 verwachten wij geen all-in-one solution op het gebied van beveiliging aangezien hackers in de meerderheid zijn.
En daarom gaan wij er in 2016 weer tegenaan om de websites die wij onder handen krijgen te herstellen & te beveiligen.
En wij doen dit vakkundig, volgens een geavanceerd protocol en geven garantie!
2016 – WPbeveiligen staat weer 7 dagen per week tot uw beschikking!
Waarom Ithemes Security zo populair is
Math Schol
+31 858 200 807
info@wpbeveiligen.nl
