5 jan 2017
Als je de WordPress website veilig wilt houden, is het goed om op bestandsniveau te zien wat er gebeurt. Een helder overzicht van alle activiteiten op de server zorgt ervoor dat hackers geen kans hebben en dat je in kunt grijpen voordat Google, Adwords en diverse bronnen je website blokkeren.
Bestandsniveau, overzicht van de activiteiten op de server.. dat is ongetwijfeld taal die alleen begrepen wordt door webmasters.
Een korte uitleg over deze termen en de werking erachter
WordPress op bestandsniveau
WordPress bestaat uit diverse onderdelen op de server om volledig te werken. Denk hierbij aan het administratiepanel, die staat op de server. Maar ook de weergave van je thema, de hoofdpagina, registratiepagina’s en meer.
Als hackers met die bestanden kunnen rommelen krijgen ze veel voor elkaar. Denk aan het ontvangen van klantgegevens, inloggegevens, het doorsturen van bezoekers naar hun eigen sites.
Overzicht van de activiteiten
Alsof dat nog niet erg genoeg is, kunnen ze ook een bestandje toevoegen waarmee ze e-mails gaan versturen via je website, via je adres! En dat bestandje wil je niet op de server hebben!
Kortom, weten welke activiteiten plaatsvinden op je server is heel belangrijk.
Hoe kun je zien wat er op de server gebeurt?
Als je een keyboardverslaafde bent, zoals wij, kun je met een FTP programma op de server kijken, of via de filemanager van Directadmin/Cpanel.
Maar het kan gemakkelijker!
Met deze beveiligingsplugin: Website File Changes Monitor * voor WordPress kun je zien wat er op je server gebeurt. De plugin is op moment van schrijven redelijk nieuw, en is gratis in gebruik.
*In het verleden raadde we iThemes Security aan, maar die geeft de laatste maanden te weinig veranderingen aan in de logboeken.
Als ik een plugin installeer, worden ook bestanden veranderd of aangemaakt. Worden die wijzigingen dan ook gemeld en hoe weet ik dan welke veranderingen bij de installatie van de plugin horen?
Een beveiligingsplugin met log-functie zal die wijzigingen ook registreren.
Wanneer je zelf een nieuwe installatie doet is de kans op een gelijktijdige hack heel klein.
Maar mochten wij vermoeden of horen van hacks die deze timing gebruiken voor injecties kijken we naar:
1. De wijzigingsdatum van een bestand
2. De bestandspaden, gaat het bestand wel de plugin-map in
3. De naam van de bestanden al is dit erg lastig als er gewone namen gebruikt worden
Als je vermoed dat er wijzigingen gedaan zijn tussentijds kun je ook een scanner of dienst gebruiken die de bestanden scant.
Bij een van mijn websites gebruik ik nu WP Cerber Security. Die geeft op het dashboard alle keren dat een hacker/hackprogramma aan het “rondkijken” was. En ook alle inlogpogingen. Als een security plugin goed werkt, zouden er geen bestanden ongewenst gewijzigd moeten kunnen worden.
Een beveiligingsplugin houdt bepaalde dingen tegen (afhankelijk van de functies die je aan/uit zet)
+ Het blokkeert bekende IP adressen die geregistreerd staan als hackbots
+ Het blokkeert veelgebruikte methodes om achter de instellingen van je website te komen
+ Het stelt een maximum aan het aantal inlogpogingen
+ Het toont code die “verdacht” is
+ En nog veel meer. (Met verstand van zaken en de gevolgen kun je de afstellen.)
Maar naast het beveiligen hangt de reputatie van de plugin af van hoe goed die je website beveiligt zonder de privileges van plugins, het thema en WordPress te beperken.
Als ze iets te streng zijn, de beveiliging iets te strak staat worden gebruikers al buitengesloten bij bezoeken van pagina’s waar 404’s op staan. Dus missende afbeeldingen of doodlopende links.
De privileges die de plugins hebben om hun rol te kunnen vervullen mag een beveiligingsplugin nooit beperken.
Wanneer plugins niet meer gaan werken zal men de beveiligingsplugin verwijderen en een andere kiezen.
Hackers en bots maken daarom vaak gebruik van de aanwezige code en mogelijkheden die een plugin biedt (ook wel lekken genoemd), en gebruiken die toegestane mogelijkheden om bestanden of gebruikersrollen aan te passen of aan te maken.
Welke beveiligensplugin bedoelen jullie? Er staat geen link naar.
Dank je! je hebt gelijk, we hebben de link nu toegevoegd.
mooi dat ik nu weet hoe ik de server kan monitoren. ik keek wel eens of er iets gewijzigd was in de site maar ik keek nooit op de server. en dat wil ik zeker niet handmatig gaan doen!
ik moet alleen even kijken hoe ik de plugin kan instellen want dat is een beetje ingewikkeld