Hướng dẫn chống Brute Force Attack hiệu quả cho website WordPress.
Brute Force Attacks (BFA) là một trong những phương thức tấn công phổ biến nhất hiện nay, không chỉ với WordPress mà còn rất nhiều mã nguồn khác. Nguyên tắc hoạt động của BFA chính là thử tất cả các chuỗi mật khẩu bất kỳ để tìm ra mật khẩu chính xác. Dựa vào nguyên tắc này, bạn có thể ngăn chặn BFA một cách đơn giản thông qua việc giới hạn số lần đăng nhập thất bại.
Tham khảo thêm:
Chống Brute Force Attack trong WordPress
Trong WordPress, có một plugin rất nổi tiếng thường được đính kèm trong các dich vụ cài đặt tự động, với khả năng giới hạn số lượt đăng nhập thất bại, chính là Limit Login Attempts. Plugin này vẫn hoạt động trên các phiên bản WordPress mới. Tuy nhiên, đã hơn 9 năm nó chưa được cập nhật. Do vậy, việc nó có dính lỗi bảo mật hay không vẫn còn là một dấu chấm hỏi. Đừng quá lo lắng. Bởi vì, WordPress có sẵn rất nhiều phương án thay thế cho bạn, thậm chí còn tuyệt vời hơn.
Sử dụng tính năng Protect của plugin Jetpack
Nếu bạn đang sử dụng plugin Jetpack thì tất cả những gì bạn cần làm là truy cập Jetpack => Settings => Security => kích hoạt tính năng Protect của nó lên là được. Protect không những giúp bạn bảo vệ trang đăng nhập mà còn bảo vệ cả tính năng XML-RPC (xmlrpc.php) của WordPress nữa.
Sử dụng plugin Defender Security
Nếu bạn đang cài đặt plugin Defender Security trên website, hãy truy cập Defender => Firewall => Login Protection => click vào nút Activate để kích hoạt tính năng chống Brute Force Attack lên.
Sau khi kích hoạt, bạn có thể tùy chỉnh một số thiết lập theo nhu cầu sử dụng hoặc để nó theo mặc định.
Trong đó:
- Threshold: số lần đăng nhập thất bại trong một khoảng thời gian nhất định trước khi bị khóa IP.
- Duration: thời gian khóa IP. Chọn Permanent nếu bạn muốn khóa IP vĩnh viễn.
- Message: thông báo hiển thị với người bị khóa IP.
- Banned usernames: điền những username sẽ mặc định bị khóa IP nếu ai đó sử dụng chúng để thử đăng nhập, không cần phải chờ đạt số lần đăng nhập thất bại tối đa.
Click vào nút Save Changes để lưu lại và kiểm tra kết quả.
Sử dụng plugin Limit Login Attempts Reloaded
1. Đầu tiên, các bạn cần phải cài đặt plugin Limit Login Attempts Reloaded.
2. Tiếp theo, truy cập Settings => Limit Login Attempts => Settings. Tại đây, các bạn có thể tùy chỉnh một số thiết lập của plugin trong mục Local App hoặc để chúng theo mặc định cũng được.
Trong đó:
- Allowed retries: số lần đăng nhập thất bại tối đa trước khi IP bị khóa.
- Minutes lockout: thời gian khóa IP (tính theo phút).
- Lockouts increase lockout time to … hours: số lần bị khóa IP tối đa trước khi bị nâng thời gian khóa (tính theo giờ). Ví dụ (hình bên trên) nếu bạn đã bị khóa 3 lần trước đó thì khi bị khóa lần thứ 4, thời gian khóa sẽ tăng lên thành 24 giờ thay vì 20 phút.
- Hours until retries are reset: thời gian chờ trước khi reset bộ đếm số lần đăng nhập thất bại.
- Trusted IP Origins: các bạn nên để mặc định là REMOTE_ADDR.
Click vào nút Save Settings để lưu lại và kiểm tra kết quả.
Một số lời khuyên giúp chống Brute Force Attack
Bên cạnh việc sử dụng plugin để chống Brute Force Attack, các bạn cũng nên áp dụng một số lời khuyên sau đây:
- Không sử dụng những username quá phổ biến, ví dụ như: Admin, Administrator…
- Sử dụng mật khẩu đủ mạnh: nhiều ký tự, kết hợp chữ thường, chữ in hoa, số và các ký tự đặc biệt. Không nên sử dụng những mật khẩu phổ biến hoặc có ý nghĩa (dễ bị đoán).
- Cài thêm phần mềm diệt virus cho máy tính.
- Tích hợp tính năng bảo mật 2 lớp (đăng nhập 2 bước) cho website.
Xong! Website WordPress của bạn đã được bảo vệ an toàn trước Brute Force Attack. Thật đơn giản phải không nào? Chúc các bạn thành công!
Nếu bạn thích bài viết này, hãy theo dõi blog của tôi để thường xuyên cập nhật những bài viết hay nhất, mới nhất nhé. Cảm ơn rất nhiều. :)
Hình như một năm gần đây em thấy wp ít bị tấn công hơn thì phải. Trước em cứ mở web ra vứt đó là kiểu gì một tháng sau cũng có vài ngàn bình luận rác của bọn nước ngoài. Còn giờ thì thi thoảng mới thấy.
Site của mình trung bình mỗi ngày vẫn từ 300 – 400 bình luận spam. :D
Bạn ơi cái này bắt mình cài Jetpack nhưng mà mà mình cài rồi mà
“BruteProtect is no longer supported or under active development. In August of 2014, BruteProtect became a part of the Automattic family, and our technology has been integrated into Jetpack. Please upgrade to Jetpack to continue using BruteProtect.” => Plugin này đã bị sát nhập vào JetPack và không cho phép hoạt động riêng rẽ như trước nữa. :P
Cái này chắc có rồi bác, lời khuyên là ko nên sử dụng plugin không quá 2 năm chưa cập nhật. Ngoại trừ những plugin thực sự cần thiết và không có lựa chọn thay thế, đến itheme cập nhật liên tục mà còn dính nữa mà
Cá nhân mình không thích thằng iThemes Security. Nó gây ra khá nhiều vấn đề khác, trong khi khả năng bảo mật không cao. :P
Đồng ý với quan điểm của bác Trung, đôi lúc em không dám dùng iThemes Security vì khách hàng và người dùng không vào được website ấy!
Không liên quan nhưng chú đừng có đổi tên anh nhé. :D
Do cấu hình sai mới không vào được thôi đâu phải do plugin hả bạn.
Nên sử dụng phiên bản mất tiền mua đi, tối ngày sử dụng phiên bản miễn phí mãi mà còn đòi tính ưu việt
Em thấy cái plugin Loginizer dùng cũng tạm anh Hiếu ạ.
Thằng iTheme Security nó block IP nhầm nhiều mà. :P
Cái đó mình đưa ip của mình vào danh sách trắng, hầu hết ai cũng setting để tự động block nên dính thôi.
IP đâu phải lúc nào cũng cố định đâu bạn. Đặc biệt là khi dùng mạng wifi. :D