Выступление в Харькове

1. Безопасность
по-флотски
https://wphost.me

2. Привет!
Меня зовут - Дмитрий
И я алкоголик люблю
WordPress.
Добавляйтесь в друзья:
fb.me/azzepis

3. Когда кто-то сказал
«безопасность»…..

4. 16,600,000
Атак за 7 дней, из них 2,036,508 с одного IP
направленных против 30+ тыс. сайтов.
Статистика Wordfence https://goo.gl/ktyQBa
Meet Ivan from St. Petersburg, Russia

5. Зачем я тут?
Развеять пару популярных
заблуждений о безопасности
- Сайты на WP всегда ломают
- Про мой сайт никто не знает
- У меня нечего красть на сайте
- Безопасность не моя
проблема
(пусть хостер/разработчик
думает о защите моего сайта)
Рассказать, как сделать сайт на
WP более защищённым!

6. НЕМНОГО ВОДЫ
Что, где, когда, зачем, почему…..

7. Почему WP?

8. и с чем его едят…..
Вот он OpenSource

9. «Дыры» в плагинах + слабый пароль > 70% проблем
Как?

10. Проблемы с Шаблоном
Шаблон Всего атак Сайтов
infocus 83095 20587
acento 43898 20481
XXXXX* 43613 20340
jarida 43451 20292
markant 43307 20259
yakimabait 43291 20300
tess 43015 20110
felis 42854 20030
ypo-theme 42671 19995
persuasion 41527 20316
echelon 41398 20264
modular 41322 20263
awake 41123 20145
fusion 41012 20132
method 40908 20101
myriad 40702 20007
elegance 40677 19976
dejavu 40551 19997
construct 40278 19882
epic 37141 17850
linenity 36656 17619
parallelus-
salutation
36586 17623
trinity 36295 17503
antioch 36180 17322
urbancity 36118 17416
parallelus-mingle 35740 17179
authentic 35683 17073
churchope 35532 17040
lote 35445 17027

11. и с чем его едят…..
Проблемы с Шаблоном

12. и с чем его едят…..
Проблемы с Шаблоном

13. и с чем его едят…..
Проблемы с Плагином
Плагин Всего атак Сайтов
filedownload 46037 21373
ajax-store-locator-wordpress 44123 20558
plugin-newsletter 38227 18351
pica-photo-gallery 37795 18126
simple-download-button-
shortcode
37684 18066
wp-filemanager 37457 17236
tinymce-thumbnail-gallery 37270 17888
dukapress 36697 17495
XXXXXX* 36303 17358
db-backup 34966 16627

14. и с чем его едят…..
Проблемы с Плагином

15. 6,611,909
Атак за 16 часов, направленных против 70+ тыс. сайтов.
Статистика Wordfence https://goo.gl/nYzZrR
Meet Svitogor from Ukraine

16. Ни один сайт не защищен на 100%
Безопасность сайта - это НЕ
продукт,
это процесс

17. WHY ME???

18. Основные причины
Вы в
списке
Вы
случайная
жертва
Вы цель
Ваш логин admin и пароль Qwerty123 

19. Place your screenshot here
Экран смерти :)

20. Place your screenshot here
Экран смерти 2 :)

21.  Продажи – доступность сайта 24/7
 СЕО – результаты раскрутки, инфо в выдаче
 Репутация домена , IP
 Доставка писем с корпоративных email-ов
 Расходы – оплата доп.ресурсов, доп.работ
(хостинг, очистка, восстановление…..)
 Личные данные (напр. Данные клиентов)
Какое мне дело?

22. shut up and dance
Х+1 метод защиты для всех и каждого

23. На всякий случай…..
Меня зовут, Дмитрий
Добавляйтесь в друзья:
fb.me/azzepis

24. - Делать бекап
- Добавить сайт в гугл-
консоль
- Обновлять ядро
- Обновлять плагины
- Удалить неактивные
плагины
- Обновлять шаблоны
- Использовать
актуальные версии php
- Поставить правильные
права на папки/файлы
- Не использовать логин
admin
- Не использовать
префикс таблиц wp_
ЧЕКЛИСТ
- Использовать сложный
пароль
- Защита от подбора
пароля
- Настроить ограничение
доступа в админку
- Использовать плагин
защиты
- По возможности
использовать https, sftp
- Следить за
безопасностью своего
локального компьютера
- Делать бекап бекапа )))
- Хостинг с допзащитой

25. ТРИ КИТА
Обновление
Одна из наибольших «дыр» в
безопасности WP – это
устаревшее ПО (ядро,
плагины, темы/шаблоны)
Обновляйтесь хотя бы до
минорных версий ядра!
Пароли
Все знают, что нужно
использовать
«сложные» пароли. Это
усложняет их подбор.
Бекап
Резервное копирование –
мать …..

26. ИСОПЛЬЗУЮ
- Надо пройтись по
списку активных
плагинов и половину
отключить
- Из оставшейся
половины активных
выбрать те, которыми
пользуетесь, остальные
отключить
- Из тех, что выжили,
оставить активными
только те, без которых
Ваш сайт не будет
работать
ПЛАГИНЫ
НЕ ИСПОЛЬЗУЮ
Все неиспользуемые
плагины, неактивные
плагины, необходимо
удалить с сервера/сайта.
П.С. Обновление – тоже
мать..!

27. Пароле…..Пароле…..

28. Пароль и страница входа
Проблема - brute force, решения:
✖ Смена адреса страниц входа, регистрации,
восстановления пароля
✖ Сложный пароль
✖ Ограничение по IP
✖ Авторизация по email

29. Пароль и страница входа
Рекомендуется:
✖ Не использовать логин admin (не давать роль админа
всем)
✖ Плагин https://wordpress.org/plugins/better-wp-security/
✖ Плагин https://wordpress.org/plugins/rename-wp-login/
✖ Плагин https://wordpress.org/plugins/wp-email-login/
✖ Скрыть имена пользователей в адресах страниц
https://wordpress.org/plugins/edit-author-slug/
✖ В качестве пароля может быть использована любая
фраза, даже с пробелами. Напр., «Ласкаво просимо
до WordPress!»

30. Примеры паролей

31. Каждый раз, когда вы правите файлы
ядра, умирает один котенок…
Обновляйтесь до «минорных» версий, старайтесь
обновляться до «мажорных»
П.С. Бекап..…

32. Храните копию шаблона, изменяйте
через дочерние темы

33. И на десерт
Полезные хаки

34. Скрываемся, защищаемся

35. /wp-content/uploads/.htaccess
В этой папке не должно быть исполняемых файлов…

36. Будьте в курсе…..
- Добавьте сайт в консоль google search
- Просматривайте время от времени файлы
robots.txt , .htaccess, sitemap.xml

37. Редактор кодов, установка «модов»
define( 'DISALLOW_FILE_EDIT', true );
define( 'DISALLOW_FILE_MODS', true );
Одно из двух…

38. wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>
Или на уровень вверх…..
Одно из двух или два ))…

39. Страница авторизации
<Files wp-login.php>
order deny,allow
Deny from all
# только мой IP адрес
allow from 102.108.5.1
</files>
И дальше…

40. Админка
# Block access to wp-admin.
order deny,allow
allow from x.x.x.x
deny from all
# Allow access to wp-admin/admin-ajax.php
<Files admin-ajax.php>
Order allow,deny
Allow from all
Satisfy any
</Files>
И дальше…

41. Интерфейс xml-rpc
Отключить )

42. CDN/Firewall
Ваш сайт
https://www.cloudflare.com/

43. Ещё раз бекап!
«3 дня
назад»
На вчера
«Неделю
назад»

44. Давай, до свидания…
Плагины защиты
Ithemes Security
Wordfence
П.С. В первом есть
классная опция,
блокировать всех, кто
авторизуется под admin
Полезное
Статьи по теме
https://wordpress.c
o.ua/defence
Ещё примеры
кода
https://codex.word
press.org/Brute_For
ce_Attacks

45. Спасибо!
Напомню, меня зовут
Дмитрий )
Я на фейсбук:
fb.me/azzepis
info@wphost.me

46. Слышны
аплодисменты …..