Kat en Muis, van 2015 naar 2016!

Kat en Muis, van 2015 naar 2016!
datum-geschreven 1 jan 2016

2015 is weer voorbij, een druk jaar waarbij wij van WPbeveiligen en de hackers niet stil gezeten hebben.

Enkele cijfers

De heren van WPscan hebben de teller op 3979 gevonden lekken staan. Dit zijn lekken in plugins, thema’s en WordPress bij elkaar.

De heren van Sucuri hebben een Brute Force Monitor die bijhoudt hoeveel brute force attacks de websites ervaren die SUCURI heeft beveiligd.
Het gemiddelde hiervan ligt op 15 miljoen per dag.

Zoals je op Brute Force Monitor kunt zien, is het aantal aanvallen maandelijks toegenomen en zien we in November-December enkele pieken van 48 miljoen Brute Force attacks!

De beveiliging: next level

We hebben het afgelopen jaar veel innovaties voorbij zien komen om de brute force attacks tegen te gaan.

Limit Login Attempts standaard via Installatron

Denk aan de plugins die standaard meegeleverd werden door Installatron zoals de Limit Login Attempts. Maar deze is inmiddels al weer 2 jaar niet ge-update wat de plugin onbruikbaar maakt in de snel veranderende wereld van hackers en beveiliging.

plugin niet bijgewerkt

Het WordPress admin “verstoppen”

We hebben ook de plugins voorbij zien komen die de standaard wp-admin url verwijzen via de Htaccess en zo zorgen dat de reguliere url niet te vinden is.

Dat moest nog even door-ontwikkeld worden aangezien de eerste tijd alleen de wp-admin omgeleid werd maar de wp-login.php nog gewoon beschikbaar was en de brute force attacks zo nog door konden gaan.

De hackers begonnen deze truc al snel door te krijgen en benaderde de Htaccess om te kijken waar de brute force attacks dan wel heen konden, en of dit niet gewoon aan te passen was.

Plugins vereisten daarna weer dat de Htaccess onschrijfbaar gemaakt wordt door de schrijfrechten op 444 te zetten wat betekent dat het alleen leesbaar is maar niet aan te passen.

WordPress beveiligings releases

WordPress heeft ook een paar functies toegevoegd die de veiligheid van het CMS bevorderen.

Denk aan de eis om een sterk wachtwoord in te stellen.
Deze functie is geweldig irritant aangezien je een half boodschappenlijstje moet invullen voordat het wachtwoord goed is. Maar het was wel nodig, aangezien velen de voor-of-achternaam met enkele 1234 cijfers gebruikten en dit als eerste getest wordt door een Brute Force Bot.

Wij hebben nog een artikel over wachtwoorden geschreven met tips hoe je een goed wachtwoord kan kiezen en onthouden.

sterk wachtwoord wordpress

De Ithemes Security plugin is nog een stapje verder gegaan en vereiste een andere username met een afwijkende front-end naam.

Het moge duidelijk zijn dat de username “admin” echt uit den boze is.

De beveiliging van servers bij de hosting

Wie nog het meeste last hebben van de gehackte websites zijn de hosters waar de websites staan.

server hosters

Een gehackte website vraagt namelijk het maximale van een server waardoor websites op een gedeelde server traag worden of zelfs tijdelijk niet kunnen laden.

Tevens raakt een gehele server met meerdere websites op de Mail Blacklist waardoor mails mogelijk niet verzonden kunnen worden of niet meer aankomen.

Voor de hosters was 2015 een heel druk jaar waarbij dagelijks WordPress websites offline gezet moesten worden om de server en de andere gebruikers/websites te beschermen.

Wat kan een hoster eraan doen?

Niet veel, ze geven websites namelijk vrijheden die een site nodig heeft.

Het is aan de eigenaar van de website om te zorgen dat de website geen spam gaat versturen. Een server scant wel op bestanden en e-mails maar de hackers hebben hier weer trucs op bedacht. Denk aan de base64 codering en aan het wisselen van scripts.

Kortom: een kat en muis spelScreenshot-93 Jan. 01 20.57

Er zijn op de achtergrond nog tientallen aanpassingen gemaakt aan WordPress, aan beveiligings plugins, hele teams werken dag-in-dag aan updates, fixes en aan preventieve opties om de site, de server en het CMS WordPress te beveiligen.

muis

En aan de andere kant zitten honderden geniale hackers te broeden op scripts om hun reclame mee te kunnen injecteren in websites. Denk aan hackers over de hele wereld die geen werk hebben maar toch een inkomen nodig hebben, ze zijn misschien goed opgeleid en weten alles van servers, van code en exploits.

2015 was een bewogen jaar, in 2016 verwachten wij geen all-in-one solution op het gebied van beveiliging aangezien hackers in de meerderheid zijn.

En daarom gaan wij er in 2016 weer tegenaan om de websites die wij onder handen krijgen te herstellen & te beveiligen.

En wij doen dit vakkundig, volgens een geavanceerd protocol en geven garantie!

2016 – WPbeveiligen staat weer 7 dagen per week tot uw beschikking!

Meer WordPress: , , , ,

De meeste artikelen worden geschreven door Mathieu Scholtes, de eigenaar van WPBeveiligen. Op de hoogte blijven van het laatste WordPress nieuws? WordPress tips? WordPress aanbiedingen?
Connect dan op Linked-in!

Heb je een vraag? Tip of gedachte? Deel die!

Abonneer
Breng me op de hoogte
guest
2 Reacties
Inline Feedbacks
Bekijk alle reacties
Luuk

Is het niet ook de taak van de hoster dat een website op een shared server die veel verkeer veroorzaakt door een hack, “afgeknepen¨ wordt? Of onmiddellijk afgesloten wordt? Dat moet toch ook te automatiseren zijn?