如果有人不断尝试登录到我的WordPress管理面板,该怎么办?
我有一个使用WordPress开发的网站。如果有人不断尝试登录到我的WordPress管理面板,该怎么办?
自从最近3个月以来,有人不断尝试登录到我的WordPress管理面板。他们使用不同的IP地址EVERYTIME。我想他们正在使用:蛮力攻击
要我使用的是安装到我的网站,我还安装了“限制登录尝试”
从“Sucuri安全“Sucuri安全”插件的安全性目的“插件,他们给我发邮件失败登录后:
消息是这个样子:
1失败的登录尝试(1点锁定(S))从IP:109.17 3.88.245
最后用户尝试:管理员
1失败的登录尝试(1点锁定(S))从IP:37.194.196.180
1失败的登录尝试(1点锁定(S))从IP :83.174.209.143
现在,在最近45分钟内,他们试图登录31次。
现在该怎么办?
使用强密码。 :)
这种类型的事情发生的时间,不只是针对网站,人们试图蛮力任何事情,SMTP,POP3和IMAP服务器,SSH服务器,常用的应用程序,如WordPress的,等
最重要的是要确保如果使用密码验证,那些密码(所有这些密码!)抵制暴力企图。这意味着有足够的熵,即。足够长,来自多个角色类别,不使用字典单词等。使用字母,大写字母和数字的10个字符长的随机密码对于暴力来说是非常不可行的。
除此之外,您可以实施某种类型的主动监控,在几次不成功的密码尝试后禁止用户和/或请求IP地址一段时间等。这些对策提高了攻击者的防护范围,但是足够强大的非字典密码对于Wordpress网站来说可能足够好。 (所以这是一个基于风险的事情,如果你可能失去的价值是10000美元,你不想花费50000美元来保护它。)
第一个也是最明显的答案:使用一个长而强的密码字母,数字,最好是其他字符)。
如果您这样做,他们以这种特定方式访问您的网站的几率接近于零。
考虑与登录尝试的数目上的每小时,或每年基础:
31登录/ 45分钟=每分钟0.7 aproximately登录。
乘上的分钟再予在一年的数量:24小时
60分钟* * 365天=大约367'920登录尝试 在一年的空间。
对于一个好的密码,这个数字是如此之小以至于“暴力攻击”实际上是微不足道的。
我不会责怪你,如果你仍然想提高你的安全性。如果是这样,您应该查看two factor authentication for WordPress的选项(即在登录之前需要一些额外的信息来确认您的身份)。
PS:我还没有亲自尝试过这些,但如果我在你的鞋子里,我可能会给Google Authenticator plugin一枪。
感谢您的建议。 :) –
有什么办法可以从哪个国家知道攻击者在做什么? –
从理论上讲,IP地址可以告诉你一些关于尝试连接来自哪里的信息,但这很容易通过使用代理来绕过 - 所以*可能,是*,但不可能以可信的方式。 =) – Kjartan