Så udover at følge med i, hvilke moduler der opdages sårbarheder i, har jeg følt det nødvendigt, at finde muligheder for at sikre mine sites, uden selv at skulle holde øje med opdateringer i tide og utide. Jeg har kravlet bjerget af plugins til WordPress igennem, i forsøg på at komme rundt i de fleste aspekter af sikkerhed.
Her er hvad jeg har fundet anvendeligt, og pt. benytter:
- Secure WordPress [2]: En all-round-forhøjning af sikkerheden på sitet. Det blokerer underlige forespørgsler, fjerner informationer om versionsnumre og detaljerede fejlbeskeder, der typisk gør det nemmere for hackere at finde informationer om hvilke exploits der er brugbare.
- Mute Screamer [3]: En implementation af PHP-IDS, et Intrusion Detection System til PHP-applikationer. Mute Screamer inspicerer de forespørgsler brugerne, og angriberne, sender til WordPress. Det er nemt at skrue på forskellige tærskelværdier, for f.eks. hvor meget der skal til for at sende en angriber til en fejlside, eller direkte på en blacklist. Det er også til at få tilsendt emails ved forsøg på angreb.
- Akismet [4]: Et meget kendt modul, der tjekker alle kommentarer for spam. Det er ikke direkte beskyttende mod hacking, men det er effektivt til at forhindre at der ender en masse spam på dit site. Hvis en angriber ser et site fyldt med spam i kommentarerne, virker det oplagt at sitet måske er mindre vedligeholdt, og dermed mere sårbart overfor alvorligere angreb.
- Update Notifier [5]: Tjekker dagligt alle dine installerede moduler (og eventuelt temaer) for opdateringer, og sender dig en email, hvis der er opdateringer du endnu ikke har installeret. Det er en nem måde at vedligeholde WordPress på, uden selv aktivt at skulle holde øje hele tiden.
- WordPress Database Backup [6]: dækker det backup-mæssige aspekt af sikkerheden. De flade filer i WordPress laver jeg backup af via FTP. Men databasen synes jeg det var lidt mere bøvlet at få jævnlig backup af. Da det typisk er databasen der ryger, ved et SQL Injection angreb, er det vigtigt at tage backup af denne. WordPress Database Backup kan indstilles til f.eks. at sende en databasebackup afsted pr email, hver uge.
Herudover bruger jeg en række andre plugins til bl.a. kontaktform, Search Engine Optimization, automatiske Google-oversættelser, caching og XML-sitemaps. Men de har væsenligt mindre med sikkerhed at gøre.
Hvad gør du for at beskytte din WordPress?
Har du andre gode WordPress-moduler, eller har du gode tips til at sikre WordPress-serveren andre steder? – F.eks. et IDS/IPS til databasen eller lignende.
Hej Lars, tak for plugin-listen… Det letter arbejdet en del med at overvåge sine WordPress-installationer.
— Mads
Tak for listen, ud over Akismet anti spam så brugte jeg ingen anden form for sikkerhed.
Tak for listen, der er et par stykker jeg ikke havde stiftet bekendtskab med tidligere
Hej Lars
Tak for en god liste. Jeg har haft disse kørende i et uges tid. Jeg har haft fem intrusions i PHP-IDS over de sidste par dage. Kan man gøre andet end at sætte plug-in’et til at sætte dem på blacklist?
Mvh.
Michael