2020’de WordPress Güvenlik Tehditleri ve Nasıl Önlenir

WordPress’in web üzerindeki egemenliğinin bir fiyatı var. En popüler CMS olmak, onu bilgisayar korsanları için en karlı ve karlı hedef haline getirir. 2019’da Sucuri tarafından temizlenen hacklenen web sitesinin% 94’ü WordPress’te çalışıyordu. Diğer CMS platformları iki haneye bile ulaşamadı. Bu yüksek sayı, WordPress’in savunmasız olduğu anlamına gelmez. Aslında, WordPress güvenlik ekibi güvenlik açığını yamalamak için iyi bir iş çıkardı. Ancak WP’yi ayarlamak için yüklenebilen binlerce eklenti ve tema, hackleme potansiyeli için yeni yollar açıyor. Hatta bazı durumlarda olmayan eski siteleri bile dikkate almaz.
Sonuç olarak, güvenlik tehditleri her WP web sitesi sahibi için büyük bir endişe olmalıdır. Bilgisayar korsanları her zaman yeni güvenlik açığı aradığından, yeni tehditler ortaya çıkmaya devam ediyor. Sitenizin korunmasına yardımcı olmak için, 2020’de farkında olmak için en iyi WordPress güvenlik tehditlerini göreceğiz. Daha iyi fikirler elde etmek için 2019 Sucuri Web Sitesi Tehdit Araştırma Raporunun bulgularını araştıracağız. Kötü amaçlı yazılım araştırma ve onarım ekibimiz, trend olan tehditlerin daha kapsamlı bir resmini elde etmek için 2019 yılında müşterilerimizden bu verileri toplar.
Spam SEO, web sitesi saldırıları açısından iktidarda, Spam SEO hala bilgisayar korsanları için en popüler yöntemdir. Bu teknik, iyi itibarını kullanmak için sızan web sitesine anahtar kelimeler ve içerik enjekte edilmesini içerir. Ayrıca, spam SEO enjeksiyonları ziyaretçileri aldatmaca sayfasına yönlendirebilir. 2019 sırasında ekibimiz, web sitesinin% 62’sinin, 2018’de bulduğumuz% 51,3’ten bir artış olan temizlik sırasında spam SEO enfeksiyonlarına sahip olduğunu buldu. En popüler enfeksiyon türü, istenmeyen içeriğe sahip web sitelerini enfekte etmek için veritabanlarını hedefliyor. Genellikle birden fazla enfeksiyon buluruz, ortalama spam SEO vakası ile 12 farklı enfeksiyonumuz var. Spam spam hevesli belirleme, sitenin itibarına ciddi şekilde zarar verebilir ve sonuçta ana arama motoru tarafından siyah listeye neden olabilir. Bu nedenle, WordPress sahiplerinin 2020’de Spam SEO saldırılarını her zaman hatırlaması akıllıcadır. Bununla birlikte, bu en popüler CMS seçimlerine en popüler saldırı biçimidir. Arka kapı biraz azalıyor – ancak yine de daha kötü bir sorundur, 2019’da web sitesinde en yaygın olarak bulunan ikinci kötü amaçlı yazılım türü sayesinde Spam SEO yeniden enfeksiyon%15 gerçekleşir: Backdoors. Hacker, sızan ortama erişebileceklerinden emin olmak için arka kapıyı kurar. Tespit edilmeden sahneye dönebilmenin yolu bu. 2019’da hacklenen web sitesinin yaklaşık% 47’sini bulsak da, 2018’de aslında% 68’den düştü.
Backdoors genellikle temel güncellemeler, eklentiler veya temalar sırasında silinir. Bir veritabanı arka kapısını bulmak ve silmek diğer kötü amaçlı yazılım türlerinden daha kolaydır. Ancak azalttıkları için sorun olmadıkları anlamına gelmez. Web sitesi yeniden enfeksiyonu geçtiğimiz yıl daha yaygın hale geldi, web sitesi güvenlik ekibimiz en büyük hacminin enfeksiyonların enfeksiyonlarının spam SEO ve jenerik kötü amaçlı yazılımlarla enfekte olmuş siteler için meydana geldiğini buldu. Ancak WordPress kullanıcıları için özellikle 2019’daki en önemli enfeksiyonlardan biri WP-VCD enfeksiyonundan geldi. Bu durumda, etkilenen bölge ortalama%40 yeniden enfeksiyon oranı görür. Ekibimiz 5.000’den fazla WP-VCD ile enfekte web sitesini temizledi ve enfekte olmuş bir dosya bırakmanın yeniden enfeksiyona neden olabileceğini buldu. Bunların çoğu için ilk enfeksiyon temanın bir kopyası veya korsan veya null eklentidir, bu nedenle sadece bir kullandığınızdan emin olun Bu güvenlik sorununu önlemek için resmi WordPress deposundan geçerli eklenti. WordPress Core dosyası 2019’da enfeksiyon noktasında savunmasız bulundu, müşterimizin CMS uygulamalarının% 56’sının enfeksiyon noktasında sona erdiğini gördük. Bu sayı önceki analizimizden bu yana değişmedi. Bununla birlikte, WordPress kullanıcıları CMS güncellemelerini korumakta çok iyi görünüyor, çünkü WP kurulumunun% 49’unun modası geçmiş olduğunu gördük. Bu, diğer popüler CMS uygulamalarından çok daha düşüktür.
WordPress neden rakiplerden bu kadar daha düşük? Araştırmamız, sürüm 3.7’de tanıtılan otomatik arka plan güncellemesinin, kullanıcılara otomatik güncelleme özellikleri içermeyen yazılıma kıyasla mükemmellik sağladığını buldu.
Update_option (), daha yüksek bir ciddiyetle güvenlik açığına katkıda bulunur 2019’da gördüğümüz en yaygın hata sömürüsünden biri WordPress Updge_option () işlevini hedefleyen saldırılarda bir artış. Bu, Option veritabanı tablosundaki herhangi bir girişi güncellemek için yasal olarak kullanılır. Ancak, izin düzgün yapılandırılmamışsa, saldırgan yönetici erişimi alabilir veya veri enjekte edebilir. Ne yazık ki, bazı eklentiler yönetici kullanıcılarının update_option () düzenlemesine izin verir. Bu sadece bir sorun olmasa da, güvenlik sınavının eksikliği saldırganın değeri değiştirmesine izin verir. Bu, WordPress’te bir saldırganın dahili seçenekleri düzenleme olasılığını açar. Bu sorunu önlemek için her zaman eklentileri, temaları ve diğer üçüncü taraf bileşenlerini güncelleyin. En son güvenlik yaması, WordPress ortamınızı güvenlik açığından korumak için çok önemlidir. Kriptominasyon tehdidi, 2018’den önemli ölçüde azaldı, WordPress sitesinin sahibi için olumlu bir şey, kriptominin çok endişe verici olmamasıdır. 2018 yılında 2018’de 100’den toplam dokuz yeni Cryptominer alanı kara listeye alındı. Muhtemelen kripto para birimindeki fiyat düşüşleri nedeniyle. Ayrıca, piyasadaki en popüler tarayıcı tabanlı JavaScript madencilerinden biri olan Coinhive, 2019’un başlarında kapatıldı.
Ancak, kriptominasyon tamamen ölmez. Hala eski enfeksiyona ait tespiti görüyoruz – çoğunlukla Coinhive ile ilgili. 2019’da imzamız, enfekte olmuş bir web sitesine enjekte edilen yaklaşık 50.000 kripto madencisi tespit etti. WordPress web sitesinin hacklenmesini önlemek, WordPress sitenizi korumak söz konusu olduğunda, eski bir atasözü gibi, “Bir ons önleme bir pound tedaviye değer.” Mümkün olan en kısa sürede güçlü bir güvenlik planı benimsemek isteyeceksiniz. Saldırıların çoğu genellikle otomatik olarak gerçekleştirildiğinden, sitenizin bir hedef olmayacağını varsayamazsınız. LastPass, 1Password veya Kenasses gibi şifre yöneticileri bunu kolaylaştıracaktır. Bu araçlar karmaşık ve benzersiz şifreler üretecek ve saklayacaktır. Her hesabın şifresini oluşturmak ve hatırlamak tahmin gerekir. Ayrıca, tüm kullanıcılar için iki faktör (2FA) kimlik doğrulama etkinleştirin, izin verilen giriş çabalarının miktarını sınırlayın ve sitenizi meşru bir hesapta geçersiz girişten korumak için önceden girilmiş CAPTCHA’yı kullanın. Ayrıca temalarınızı ve eklentilerinizi düzenli olarak denetlemeniz gerekir. Kullandığınız tema eklentisinin hala güncellendiğinden emin olun ve süresi dolmuş veya artık kullanılmayan eklentileri silin.