Калі вы вэб-майстар, які вядзе блог або вэб-сайт WordPress, хутчэй за ўсё, вэб-бяспека з'яўляецца адным з вашых галоўных прыярытэтаў. Вы можаце, пакуль ваш дамен падтрымлівае Cloudflare дадаваць WordPress-спецыфічныя правілы брандмаўэра Cloudflare каб палепшыць бяспеку вашага сайта і нават прадухіліць атакі задоўга да таго, як яны дабяруцца да вашага сервера.
Калі вы карыстаецеся бясплатным планам Cloudflare, у вас ёсць магчымасць дадаць 5 правілаў (прафесійны план дае вам 20).
Cloudflare дазваляе лёгка і хутка ствараць правілы брандмаўэра, і кожнае правіла прапануе надзвычайную гнуткасць: Вы не толькі можаце зрабіць шмат з кожным правілам, але правілы часта можна кансалідаваць, вызваляючы месца для вас, каб зрабіць яшчэ больш.
У гэтым артыкуле я падрабязна разгледжу некаторыя розныя правілы брандмаўэра, якія вы можаце прымяніць, каб дапоўніць і палепшыць ваш WordPress існуючыя функцыі бяспекі сайта.
Рэзюмэ: Як абараніць свой WordPress вэб-сайт з брандмаўэрам Cloudflare
- Брандмаўэр вэб-праграм Cloudflare (WAF) гэта праграмны інструмент, які дазваляе абараніць ваш WordPress вэб-сайт.
- Правілы брандмаўэра Cloudflare дазваляюць вам чорны спіс або белы спіс запытаў у адпаведнасці з гнуткімі крытэрамі, якія вы ўсталёўваеце.
- да стварыць герметычную абарону для вашага WordPress сайт, з Cloudflare вы можаце: унесці свой уласны IP-адрас у белы спіс, абараніць вобласць адміністратара, блакіраваць наведвальнікаў па рэгіёнах або краінах, блакіраваць шкоднасных ботаў і атакі грубай сілы, блакіраваць атакі XML-RPC і прадухіляць спам у каментарах.
Дадайце свой IP-адрас у белы спіс
Каб пазбегнуць праблем у дарозе, унясенне IP-адраса вашага ўласнага сайта ў белы спіс павінна стаць першай задачай у вашым спісе да вы ўключыце любыя правілы брандмаўэра.
Чаму і як дадаць свой IP-адрас у белы спіс у Cloudflare
У першую чаргу гэта звязана з тым, што вы можаце апынуцца заблакіраванымі на ўласным вэб-сайце, калі вырашыце заблакіраваць свой WordPress вобласць адміністратара ад іншых.
Каб унесці IP-адрас вашага вэб-сайта ў белы спіс, перайдзіце ў раздзел «Бяспека» панэлі кіравання Cloudflare і выберыце «WAF». Затым націсніце «Інструменты» і ўвядзіце свой IP-адрас у поле «Правілы доступу да IP» і абярыце «белы спіс» з выпадальнага меню.
Каб знайсці свой IP-адрас, вы можаце зрабіць a Google пашукайце «what's my IP», і ён верне ваш адрас IPv4, і калі вам патрэбен ваш IPv6, вы можаце перайсці на https://www.whatismyip.com/
Памятаеце, што калі ваш IP-адрас зменіцца, вам давядзецца паўторна ўвесці/занесці ў белы спіс ваш новы IP-адрас, каб пазбегнуць блакіроўкі доступу да вобласці адміністратара.
У дадатак да ўнясення дакладнага IP-адраса вашага сайта ў белы спіс, вы таксама можаце ўнесці ў белы спіс увесь свой дыяпазон IP.
Калі ў вас ёсць дынамічны IP-адрас (г.зн. IP-адрас, які пастаянна нязначна мяняецца), то гэта, безумоўна, лепшы выбар для вас, бо пастаянны паўторны ўвод і занясенне ў белы спіс новых IP-адрасоў будзе сур'ёзнай праблемай.
Вы таксама можаце у белы спіс усю вашу краіну.
Гэта, безумоўна, найменш бяспечны варыянт, паколькі ён патэнцыйна пакідае вашу адміністрацыйную вобласць адкрытай для нападаў з вашай краіны.
Тым не менш, калі вы шмат падарожнічаеце па працы і часта атрымліваеце доступ да свайго WordPress сайта з розных злучэнняў Wi-Fi, унясенне вашай краіны ў белы спіс можа быць найбольш зручным варыянтам для вас.
Майце на ўвазе, што любы IP-адрас або краіна, якія вы ўнеслі ў белы спіс, будуць вызвалены ад усіх іншых правілаў брандмаўэра, і таму вам не трэба турбавацца аб усталяванні асобных выключэнняў для кожнага правіла.
Абарона WordPress Панэль кіравання (вобласць адміністратара WP)
Цяпер, калі вы ўнеслі свой IP-адрас і/або краіну ў белы спіс, прыйшоў час каб наглуха заблакаваць прыборную панэль wp-admin, каб толькі вы маглі да яе атрымаць доступ.
Чаму і як абараніць WordPress Прыборная панэль у Cloudflare
Само сабой зразумела, вы не хочаце, каб невядомыя староннія людзі мелі доступ да вашай адміністрацыйнай вобласці і ўносілі змены без вашага ведама або дазволу.
Такім чынам, вам трэба будзе стварыць правіла брандмаўэра, якое забараняе знешні доступ да вашай прыборнай панэлі.
Тым не менш, да вы заблакуеце свой WordPress прыборная панэль, вам давядзецца зрабіць два важных выключэння.
- /wp-admin/admin-ajax.php. Гэтая каманда дазваляе вашаму вэб-сайту адлюстроўваць дынамічнае змесціва і, такім чынам, для функцыянавання патрабуецца доступ звонку з дапамогай пэўных убудоў. Такім чынам, нават калі яна захоўваецца ў тэчцы /wp-admin/, яна павінна быць даступная звонку, калі вы не хочаце, каб ваш вэб-сайт паказваў наведвальнікам паведамленні пра памылкі.
- /wp-admin/theme-editor.php. Гэтая каманда дазваляе WordPress каб запускаць праверку памылак кожны раз, калі вы змяняеце або рэдагуеце тэму вашага сайта. Калі вы не дадасце гэта ў якасці выключэння, вашы змены не будуць захаваны, і вы атрымаеце паведамленне пра памылку, якое абвяшчае: «Немагчыма звязацца з сайтам для праверкі фатальных памылак».
Каб стварыць правіла брандмаўэра, спачатку перайдзіце ў меню Бяспека > WAF на прыборнай панэлі Cloudflare, затым націсніце кнопку «Стварыць правіла брандмаўэра».
Каб дадаць гэтыя выключэнні пры абароне вобласці прыборнай панэлі wp-admin, вам трэба будзе стварыць наступнае правіла:
- Поле: URI шлях
- Аператар: змяшчае
- Значэнне: /wp-admin/
[І]
- Поле: URI шлях
- Аператар: не ўтрымлівае
- Значэнне: /wp-admin/admin-ajax.php
[І]
- Поле: URI шлях
- Аператар: не ўтрымлівае
- Значэнне: /wp-admin/theme-editor.php
[Дзеянне: Блакаванне]
Калі вы скончыце, націсніце «Разгарнуць» каб усталяваць правіла брандмаўэра.
Акрамя таго, вы можаце націснуць «Рэдагаваць выраз» і ўставіць наступнае ў:
(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")
Заблакаваць краіны/кантыненты
Гэтак жа, як вы можаце ўнесці краіну ў белы спіс для доступу да панэлі кіравання адміністратара.
Вы таксама можаце усталяваць правіла брандмаўэра, каб краіны і нават цэлыя кантыненты не праглядалі ваш сайт і не мелі доступу да яго.
Чаму і як блакіраваць краіны/кантыненты ў Cloudflare
Чаму вы хочаце заблакіраваць доступ да вашага сайта ўсёй краіне ці кантыненце?
Ну, калі ваш вэб-сайт абслугоўвае пэўную краіну або геаграфічны рэгіён і не мае глабальнага значэння, тады блакіроўка доступу з нерэлевантных краін і/або кантынентаў - просты спосаб абмежаваць рызыку нападаў шкоднасных праграм і шкоднаснага трафіку з-за мяжы, не блакуючы доступ законнай мэтавай аўдыторыі вашага сайта.
Каб стварыць гэтае правіла, вам яшчэ раз трэба будзе адкрыць прыборную панэль Cloudflare і перайсці да Бяспека> WAF> Стварыць правіла брандмаўэра.
Каб змяніць налады, каб дазволіць толькі пэўныя краіны, увядзіце наступнае:
- Поле: краіна або кантынент
- Аператар: «Ёсць»
- Значэнне: выберыце патрэбныя краіны або кантыненты белы спіс
(Заўвага: калі вы хочаце дазволіць трафік толькі з адной краіны, вы можаце ўвесці «роўна» ў якасці аператара.)
Калі замест гэтага вы вырашылі заблакіраваць пэўныя краіны ці кантыненты, увядзіце наступнае:
- Поле: краіна або кантынент
- Аператар: «Не ўваходзіць»
- Значэнне: выберыце патрэбныя краіны або кантыненты блакаваць
Заўвага: гэта правіла можа мець адваротны эфект, калі вам патрэбна тэхнічная падтрымка, а служба падтрымкі вашага вэб-хостынгу знаходзіцца ў краіне або на кантыненце, якія вы заблакіравалі.
Верагодна, гэта не будзе праблемай для большасці людзей, але вы павінны пра гэта ведаць.
Вось прыклад таго, як забараніць доступ да вашага сайта з пэўнай краіны, дзе паказаны карыстальнікі з гэтай краіны JavaScript Challenge перш чым спрабаваць атрымаць доступ да вашага сайта.
Блакуйце шкоднасных ботаў
На аснове іх агента карыстальніка, Cloudflare дазваляе блакаваць доступ шкоднасных ботаў, якія спрабуюць пранікнуць на ваш сайт.
Калі вы ўжо карыстаецеся 7G, вам не трэба турбавацца аб усталяванні гэтага правіла: 7G WAF блакуе пагрозы на ўзроўні сервера, спасылаючыся на поўны спіс шкоднасных ботаў.
Аднак, калі вы не карыстаецеся 7G, вы захочаце наладзіць правіла брандмаўэра, якое вызначае і блакуе дрэнных ботаў, перш чым яны могуць нанесці шкоду.
Чаму і як блакаваць дрэнных ботаў у Cloudflare
Як звычайна, спачатку перайдзіце на прыборную панэль Cloudflare і перайдзіце да Бяспека> WAF> Стварыць правіла брандмаўэра.
Затым усталюйце выраз правіла брандмаўэра наступным чынам:
- Поле: User Agent
- Аператар: «Роўны» або «Змяшчае»
- Значэнне: імя дрэннага бота або шкоднаснага агента, якога вы хочаце заблакіраваць
Як і ў выпадку з краінамі, якія блакіруюць, ботаў можна блакіраваць асобна па імені. Каб заблакіраваць больш чым аднаго бота адначасова, выкарыстоўвайце опцыю «АБО» справа, каб дадаць дадатковых ботаў у спіс.
затым націсніце «Разгарнуць» , калі вы скончыце.
Аднак блакіроўка дрэнных ботаў уручную стала непатрэбнай з-за запуску Cloudflare «Рэжым барацьбы з ботамі» для ўсіх бясплатных карыстальнікаў.
і «Рэжым Super Bot Figth» для карыстальнікаў плана Pro або Business.
Гэта азначае, што дрэнныя боты цяпер аўтаматычна блакіруюцца для ўсіх тыпаў карыстальнікаў Cloudflare.
Блакіраваць атакі грубай сілай (wp-login.php)
Атакі грубай сілы, таксама вядомыя як атакі wp-login, з'яўляюцца найбольш распаўсюджанымі атакамі, накіраванымі на WordPress сайтаў.
Фактычна, калі вы паглядзіце на журналы вашага сервера, вы, верагодна, знойдзеце доказы такіх нападаў у выглядзе IP-адрасоў з розных месцаў па ўсім свеце, якія спрабуюць атрымаць доступ да вашага файла wp-login.php.
На шчасце, Cloudflare дазваляе ўсталяваць правіла брандмаўэра для паспяховай блакіроўкі нападаў грубай сілы.
Чаму і як абараніць wp-login.php у Cloudflare
Хаця большасць нападаў грубай сілы - гэта аўтаматызаванае сканаванне, якое недастаткова магутнае, каб прайсці WordPressабароны, па-ранейшаму добра ўсталяваць правіла, каб блакаваць іх і супакоіць свой розум.
Тым не менш, гэта правіла працуе, толькі калі вы адзіны адміністратар/карыстальнік на сваім сайце. Калі ёсць некалькі адміністратараў або калі ваш сайт выкарыстоўвае плагін членства, вам варта прапусціць гэта правіла.
Каб стварыць гэта правіла, вярніцеся да Бяспека> WAF> Стварыць правіла брандмаўэра.
Пасля таго, як вы выбралі імя для гэтага правіла, увядзіце наступнае:
- Поле: URI шлях
- Аператар: змяшчае
- Значэнне: /wp-login.php
[Дзеянне: Блакаванне]
Акрамя таго, вы можаце націснуць «Рэдагаваць выраз» і ўставіць наступнае ў:
(http.request.uri.path contains "/wp-login.php")Пасля разгортвання правіла, Cloudflare пачне блакіраваць усе спробы доступу да wp-login з любой крыніцы, акрамя вашага IP-адраса ў белым спісе.
У якасці дадатковага бонуса, вы можаце пераканацца, што гэтая абарона працуе і працуе, зазірнуўшы ў раздзел Падзеі брандмаўэра Cloudflare, дзе вы павінны мець магчымасць бачыць запіс любых спроб грубай сілы.
Блакіраваць атакі XML-RPC (xmlrpc.php)
Іншы крыху менш распаўсюджаны (але ўсё ж небяспечны) тып атакі - an Атака XML-RPC.
XML-RPC - гэта працэдура аддаленага выкліку WordPress, якія зламыснікі патэнцыйна могуць нацэліць на атаку грубай сілы, каб атрымаць уліковыя дадзеныя для аўтэнтыфікацыі.
Чаму і як блакаваць XML-RPC у Cloudflare
Хаця ёсць законныя спосабы выкарыстання XML-RPC, такія як размяшчэнне змесціва ў некалькіх WordPress блогі адначасова або доступ да вашага WordPress сайта са смартфона, вы можаце ўвогуле разгарнуць гэтае правіла, не турбуючыся аб непажаданых наступствах.
Каб заблакаваць атакі грубай сілы, накіраваныя на працэдуры XML-RPC, спачатку перайдзіце да Бяспека> WAF> Стварыць правіла брандмаўэра.
Затым стварыце наступнае правіла:
- Поле: URI шлях
- Аператар: змяшчае
- Значэнне: /xmlrpc.php
[Дзеянне: Блакаванне]
Акрамя таго, вы можаце націснуць «Рэдагаваць выраз» і ўставіць наступнае ў:
(http.request.uri.path contains "/xmlrpc.php")І проста так, з дапамогай усяго некалькіх простых крокаў, вы абаранілі свой WordPress сайт ад двух найбольш распаўсюджаных тыпаў нападаў грубай сілы.
Прадухіленне спаму ў каментарах (wp-comments-post.php)
Калі вы вэб-майстар, спам на вашым сайце - гэта толькі адзін з раздражняльных фактаў жыцця.
На шчасце, Брандмаўэр Cloudflare прапануе некалькі правілаў, якія можна выкарыстоўваць для блакіроўкі многіх тыпаў спаму, уключаючы спам у каментарах.
Чаму і як заблакіраваць wp-comments-post.php у Cloudflare
Калі спам у каментарах стаў праблемай на вашым сайце (ці, што яшчэ лепш, калі вы хочаце загадзя прадухіліць гэта ад ператварэння праблемы), вы можаце абмежаваць wp-comments-post.php, каб абмежаваць трафік бота.
Гэта робіцца на ўзроўні DNS з дапамогай Cloudflare Выклік JS, і спосаб яго працы адносна просты: спам-каментары аўтаматызаваны, а аўтаматызаваныя крыніцы не могуць апрацоўваць JS.
Затым яны правальваюць выклік JS, і вуаля - спам блакуецца на ўзроўні DNS, і запыт нават не дасягае вашага сервера.
Такім чынам, як стварыць гэтае правіла?
Як звычайна, перайдзіце на старонку Бяспека > WAF і выберыце «Стварыць правіла брандмаўэра».
Пераканайцеся, што вы даеце гэтаму правілу пазнавальную назву, напрыклад, «Спам у каментарыях».
Затым усталюйце наступнае:
- Поле: URI
- Аператар: роўна
- Значэнне: wp-comments-post.php
[І]
- Поле: Метад запыту
- Аператар: роўна
- Значэнне: POST
[І]
- Поле: Рэферэнт
- Аператар: не ўтрымлівае
- Значэнне: [yourdomain.com]
[Дзеянне: JS Challenge]
Будзьце асцярожныя, каб усталяваць дзеянне JS Challenge, так як гэта гарантуе, што каментарый будзе заблакіраваны без умяшання ў агульныя дзеянні карыстальнікаў на сайце.
Пасля таго, як вы ўвялі гэтыя значэнні, націсніце «Разгарнуць», каб стварыць сваё правіла.
Падвядзенне вынікаў: як вы можаце абараніць свой WordPress Сайт з правіламі брандмаўэра Cloudflare
У гонцы ўзбраенняў па бяспецы ў Інтэрнэце правілы брандмаўэра Cloudflare з'яўляюцца адным з самых эфектыўных відаў зброі, якія ёсць у вашым арсенале.
Нават маючы бясплатны ўліковы запіс Cloudflare, вы можаце разгарнуць мноства розных правілаў, каб абараніць свой WordPress сайт супраць некаторых найбольш распаўсюджаных пагроз спаму і шкоднасных праграм.
З дапамогай усяго некалькіх (у асноўным) простых націсканняў клавіш вы можаце павысіць бяспеку вашага сайта і забяспечвайце бесперабойную працу для наведвальнікаў.
Каб даведацца больш пра паляпшэнне вашага WordPress бяспекі сайта, праверце мой кіраўніцтва па пераўтварэнні WordPress сайты ў статычны HTML.
Спасылкі
https://developers.cloudflare.com/firewall/
https://developers.cloudflare.com/fundamentals/get-started/concepts/cloudflare-challenges/
https://www.websiterating.com/web-hosting/glossary/what-is-cloudflare/
