Brute-force útoky na WordPress: Jak fungují a jak jim předcházet

Pokusy o přihlášení k WordPressu přicházejí často automaticky a nemusí znamenat, že si útočník vybral právě váš web. Bot zkouší různá hesla, případně kombinace získané z uniklých databází. Když se trefí, může převzít administraci. A i neúspěšné pokusy mohou zbytečně zatěžovat server. Jak útoky rozpoznat a které ochrany mají největší smysl?

Co je brute-force útok

Brute-force útok spočívá v opakovaném zkoušení přihlašovacích údajů, dokud se nepodaří najít správnou kombinaci. Pokusy obvykle automatizují skripty nebo botnety a často míří na známou přihlašovací stránku WordPressu wp-login.php.

Terčem může být také rozhraní XML-RPC, které některé weby využívají pro vzdálenou správu a propojení se službami. WordPress upozorňuje, že automatizované pokusy mohou zatěžovat web, i když se útočníkovi přihlásit nepodaří.

Brute-force útoky se někdy zaměňují s dalšími způsoby hádání hesel:

• Password spraying – útočník zkouší jedno nebo několik běžných hesel u většího počtu účtů.
• Credential stuffing – využívá přihlašovací údaje uniklé z jiných služeb a ověřuje, zda je uživatelé nepoužívají také na WordPressu.

Všechny tyto postupy míří na přihlašování, ale fungují trochu jinak. Proto samotné omezení počtu pokusů z jedné IP adresy nemusí stačit. Při útoku se může zapojit mnoho různých adres. OWASP doporučuje kombinovat více ochranných opatření.

Co útočník získá úspěšným přihlášením

Následky závisí na oprávněních napadeného účtu. Přístup k administrátorskému účtu může útočníkovi umožnit změnit obsah webu, přidat další uživatele, upravit nastavení nebo zneužít administraci k vložení škodlivého kódu. U účtu s nižšími oprávněními bývají možnosti omezenější, přesto může jeho převzetí představovat problém.

Rizikem je také samotný provoz pokusů. Velké množství požadavků na přihlašovací stránku může spotřebovávat prostředky serveru a zpomalit web. Provozovatel tak může řešit nejen zabezpečení účtů, ale i dostupnost webu.

Jak se proti útokům bránit

Účinná ochrana nestojí na jediném nastavení. Vyplatí se spojit bezpečné přihlašovací údaje, další ověření identity a omezení automatických požadavků:

• Používejte silná a jedinečná hesla – každý účet, zejména administrátorský, by měl mít vlastní dlouhé heslo. Nepoužívejte stejné údaje jako u e-mailu nebo jiných služeb. Uniklé heslo by útočníci mohli vyzkoušet také na vašem webu. Správce hesel pomůže s tvorbou i bezpečným ukládáním hesel. Vyhněte se také snadno odhadnutelným přihlašovacím jménům, například admin, a pravidelně kontrolujte, kdo má administrátorská oprávnění.
• Zapněte dvoufázové ověření – dvoufázové ověření (2FA) přidává k heslu další krok, například kód z autentizační aplikace nebo potvrzení bezpečnostním klíčem. Pokud útočník heslo uhodne nebo ho získá z jiné služby, bez druhého faktoru se do účtu nepřihlásí. Ochranu nastavte především administrátorům a dalším uživatelům s vyššími oprávněními.
• Omezte počet pokusů o přihlášení – limity mohou zpomalit automatické zkoušení hesel. Nastavit je lze pomocí bezpečnostního pluginu, na webovém serveru nebo přes WAF či CDN. Ochrana na úrovni WAF či CDN může podezřelé požadavky zastavit dříve, než zatíží hosting. Příliš přísné limity ale mohou zablokovat i běžného uživatele, proto je nastavte s ohledem na způsob přihlašování na web.
• Prověřte XML-RPC a pravidla WAF – pokud XML-RPC nepoužíváte, zvažte jeho vypnutí. Jestli ho web potřebuje například kvůli propojení s další službou, omezte počet požadavků a sledujte, zda se přes něj nešíří podezřelá aktivita. Pravidla WAF nebo bezpečnostní výzvy na přihlašovací stránce nejprve otestujte, aby nekomplikovaly přístup oprávněným uživatelům.
• Sledujte přihlášení a udržujte web aktuální – záznamy o úspěšných i neúspěšných přihlášeních mohou odhalit neobvyklou aktivitu. Pozornost věnujte například náhlému nárůstu chybných pokusů nebo přihlášení z neznámého místa. Pravidelně aktualizujte WordPress, pluginy i šablony a uchovávejte zálohy, ze kterých lze web v případě napadení obnovit.

Žádné z těchto opatření samo o sobě nezaručí, že se útokům vyhnete. V kombinaci ale výrazně ztíží automatizované hádání hesel a zvýší šanci, že si podezřelé aktivity všimnete včas. Pokud se objeví neznámé úspěšné přihlášení, změňte přístupové údaje, zkontrolujte uživatelské účty a ověřte, zda v administraci nebo na webu nepřibyly neznámé změny.

Pomůže změna adresy přihlášení

WordPress používá známou přihlašovací adresu wp-login.php, na kterou často míří automatizované skenery a jednoduché boty. Pokud ji změníte, můžete část těchto pokusů odfiltrovat a omezit zbytečný provoz v záznamech webu. Změna ale útočníkovi nezabrání v přístupu k dalším částem webu a zkušenější bot může upravenou adresu odhalit nebo vyzkoušet jinou cestu k přihlášení.

Skrytí přihlašovací stránky proto berte jen jako doplňkovou vrstvu. Nenahradí silná jedinečná hesla, dvoufázové ověření ani omezení počtu pokusů. Při změně si také poznamenejte novou adresu a ověřte, že přes ni fungují všechna potřebná přihlášení a nástroje. Pokud se k ní nedostanete, může být nutné upravit nastavení pluginu nebo ho dočasně vypnout přes administraci hostingu.

Ochrana funguje jako celek

Brute-force útokům se nejlépe brání kombinací silných hesel, dvoufázového ověření, omezení přihlašovacích pokusů a pravidelné kontroly webu. Pokud chcete část zabezpečení svěřit poskytovateli, podívejte se na WordPress hosting CZECHIA.COM.

CZECHIA.COM u WordPress hostingu blokuje pokusy o přihlášení ze zahraničí, zajišťuje aktualizace a weby denně zálohuje. Tyto funkce doplňují vlastní bezpečnostní opatření, nenahrazují ale silná hesla ani ochranu administrátorských účtů.