O WordPress é um dos construtores de sites mais populares do mundo porque oferece recursos poderosos e uma base de código segura. No entanto, isso não protege o WordPress ou qualquer outro software contra ataques DDoS maliciosos, comuns na internet.
Os ataques DDoS podem tornar os sites mais lentos e, eventualmente, torná-los inacessíveis aos usuários. Esses ataques podem ser direcionados a sites pequenos e grandes.
Agora, você pode estar se perguntando como um site de pequenas empresas usando o WordPress pode impedir esses ataques DDoS com recursos limitados?
Neste guia, mostraremos como interromper e impedir efetivamente um ataque DDoS no WordPress. Nosso objetivo é ajudá-lo a aprender como gerenciar a segurança do seu site contra um ataque DDoS como um profissional total.
O que é um ataque DDoS?
O ataque DDoS, abreviação de ataque de negação de serviço distribuído, é um tipo de ataque cibernético que usa computadores e dispositivos comprometidos para enviar ou solicitar dados de um servidor de hospedagem WordPress. O objetivo dessas solicitações é desacelerar e, eventualmente, travar o servidor de destino.
Os ataques DDoS são uma forma evoluída de ataques DoS (Denial of Service). Ao contrário de um ataque DoS, eles aproveitam várias máquinas ou servidores comprometidos espalhados por diferentes regiões.
Essas máquinas comprometidas formam uma rede, que às vezes é chamada de botnet. Cada máquina afetada atua como um bot e lança ataques no sistema ou servidor de destino.
Isso permite que eles passem despercebidos por um tempo e causem o máximo de dano antes de serem bloqueados.
Mesmo as maiores empresas de internet são vulneráveis a ataques DDoS.
Em 2018, o GitHub, uma plataforma popular de hospedagem de código, testemunhou um enorme ataque DDoS que enviou 1,3 terabytes por segundo de tráfego para seus servidores.
Você também pode se lembrar do notório ataque de 2016 ao DYN (um provedor de serviços DNS). Esse ataque teve cobertura de notícias em todo o mundo, pois afetou muitos sites populares como Amazon, Netflix, PayPal, Visa, AirBnB, The New York Times, Reddit e milhares de outros sites.
Por que os ataques DDoS acontecem?
Existem várias motivações por trás dos ataques DDoS. Abaixo estão alguns comuns:
- Pessoas tecnicamente experientes que estão apenas entediadas e se acham aventureiras
- Pessoas e grupos tentando fazer um ponto político
- Grupos que segmentam sites e serviços de um determinado país ou região
- Ataques direcionados a uma empresa ou provedor de serviços específicos para causar danos monetários
- Para chantagear e recolher o dinheiro do resgate
Qual é a diferença entre um ataque de força bruta e um ataque DDoS?
Os ataques de força bruta geralmente tentam invadir um sistema adivinhando senhas ou tentando combinações aleatórias para obter acesso não autorizado a um sistema.
Os ataques DDoS são usados puramente para simplesmente travar o sistema alvo, tornando-o inacessível ou retardando-o.
Para obter detalhes, consulte nosso guia sobre como bloquear ataques de força bruta no WordPress com instruções passo a passo.
Que danos podem ser causados por um ataque DDoS?
Os ataques DDoS podem tornar um site inacessível ou reduzir o desempenho. Isso pode causar uma experiência ruim ao usuário, perda de negócios e os custos de mitigação do ataque podem chegar a milhares de dólares.
Aqui está um detalhamento desses custos:
- Perda de negócios devido à inacessibilidade do site
- Custo do suporte ao cliente para responder a consultas relacionadas à interrupção do serviço
- Custo de mitigação de ataque contratando serviços de segurança ou suporte
- O maior custo é a má experiência do usuário e a reputação da marca
Como parar e prevenir ataques DDoS no WordPress
Os ataques DDoS podem ser disfarçados de maneira inteligente e difíceis de lidar. No entanto, com algumas práticas recomendadas básicas de segurança, você pode impedir e impedir facilmente que ataques DDoS afetem seu site WordPress.
Aqui estão os passos que você precisa seguir para prevenir e parar ataques DDoS em seu site WordPress.
Remover verticais de ataque DDoS / Brute Force
A melhor coisa sobre o WordPress é que ele é altamente flexível. O WordPress permite que plugins e ferramentas de terceiros se integrem ao seu site e adicionem novos recursos.
Para fazer isso, o WordPress disponibiliza várias APIs para programadores. Essas APIs são métodos nos quais plugins e serviços de terceiros do WordPress podem interagir com o WordPress.
No entanto, algumas dessas APIs também podem ser exploradas durante um ataque DDoS enviando uma tonelada de solicitações. Você pode desativá-los com segurança para reduzir essas solicitações.
Desabilitar XML RPC no WordPress
O XML-RPC permite que aplicativos de terceiros interajam com seu site WordPress. Por exemplo, você precisa do XML-RPC para usar o aplicativo WordPress em seu dispositivo móvel.
Se você for como a grande maioria dos usuários que não usa o aplicativo para dispositivos móveis, poderá desativar o XML-RPC simplesmente adicionando o seguinte código ao arquivo .htaccess do seu site .
# Block WordPress xmlrpc.php requests <Files xmlrpc.php> order deny,allow deny from all </Files>
Para métodos alternativos, consulte nosso guia sobre como desabilitar facilmente o XML-RPC no WordPress.
Desabilitar a API REST no WordPress
A API REST JSON do WordPress permite que plugins e ferramentas acessem dados do WordPress, atualizem conteúdo e/ou até excluam. Aqui está como você pode desabilitar a API REST no WordPress.
A primeira coisa que você precisa fazer é instalar e ativar o plugin Disable WP Rest API . Para mais detalhes, veja nosso guia passo a passo sobre como instalar um plugin do WordPress.
O plugin funciona imediatamente e simplesmente desativará a API REST para todos os usuários não logados.
Ative o WAF (Firewall de aplicativos WEB)
A desativação de vetores de ataque como API REST e XML-RPC fornece proteção limitada contra ataques DDoS. Seu site ainda está vulnerável a solicitações HTTP normais.
Embora você possa mitigar um pequeno ataque de DOS tentando capturar os IPs de máquina defeituosos e bloqueando-os manualmente, essa abordagem não é muito eficaz ao lidar com um grande ataque de DDoS.
A maneira mais fácil de bloquear solicitações suspeitas é ativando um firewall de aplicativo web.
Um firewall de aplicativo de site atua como um proxy entre seu site e todo o tráfego de entrada. Ele usa um algoritmo inteligente para capturar todas as solicitações suspeitas e bloqueá-las antes que elas cheguem ao servidor do seu site.
Recomendamos o uso do Sucuri porque é o melhor plugin de segurança do WordPress e firewall do site. Ele é executado em um nível de DNS, o que significa que eles podem capturar um ataque DDoS antes que ele possa fazer uma solicitação ao seu site.
O preço da Sucuri começa em $ 20 por mês (pago anualmente).
Como alternativa, você também pode usar o Cloudflare. No entanto, o serviço gratuito da Cloudflare oferece apenas proteção DDoS limitada. Você precisará se inscrever pelo menos no plano de negócios para proteção contra DDoS de camada 7, que custa cerca de US $ 200 por mês.
Veja nosso artigo sobre Sucuri vs Cloudflare para uma comparação detalhada lado a lado.
Descobrindo se é Força Bruta ou Ataque DDoS
Os ataques de força bruta e DDoS usam intensamente os recursos do servidor, o que significa que seus sintomas são bastante semelhantes. Seu site ficará mais lento e poderá travar.
Você pode descobrir facilmente se é um ataque de força bruta ou um ataque DDoS simplesmente olhando os relatórios de login do plugin Sucuri .
Simplesmente, instale e ative o plugin gratuito da Sucuri e vá para a página Sucuri Security » Last Logins.
Se você estiver vendo um grande número de solicitações de login aleatórias, isso significa que seu wp-admin está sob um ataque de força bruta. Para mitigá-lo, você pode ver nosso guia sobre como bloquear ataques de força bruta no WordPress.
O que fazer durante um ataque DDoS
Os ataques DDoS podem ocorrer mesmo se você tiver um firewall de aplicativo da Web e outras proteções em vigor. Empresas como CloudFlare e Sucuri lidam com esses ataques regularmente e, na maioria das vezes, você nunca ouvirá falar sobre isso, pois podem mitigá-lo facilmente.
No entanto, em alguns casos, quando esses ataques são grandes, eles ainda podem afetá-lo. Nesse caso, é melhor estar preparado para mitigar os problemas que podem surgir durante e após o ataque DDoS.
A seguir estão algumas coisas que você pode fazer para minimizar o impacto de um ataque DDoS.
1. Alerte os membros da sua equipe
Se você tiver uma equipe, precisará informar os colegas de trabalho sobre o problema. Isso os ajudará a se preparar para consultas de suporte ao cliente, procurar possíveis problemas e ajudar durante ou após o ataque.
2. Informe os clientes sobre o inconveniente
Um ataque DDoS pode afetar a experiência do usuário em seu site. Se você administra uma loja WooCommerce , seus clientes podem não conseguir fazer um pedido ou fazer login em suas contas.
Você pode anunciar através de suas contas de mídia social que seu site está com dificuldades técnicas e tudo voltará ao normal em breve.
Se o ataque for grande, você também pode usar seu serviço de e-mail marketing para se comunicar com os clientes e pedir que eles sigam suas atualizações de mídia social.
Se você tiver clientes VIP, convém usar o serviço de telefone comercial para fazer chamadas telefônicas individuais e informá-los como está trabalhando para restaurar os serviços.
A comunicação durante esses tempos difíceis faz uma enorme diferença para manter a reputação da sua marca forte.
3. Entre em contato com o suporte de hospedagem e segurança
Entre em contato com seu provedor de hospedagem WordPress. O ataque que você pode estar testemunhando pode ser parte de um ataque maior visando seus sistemas. Nesse caso, eles poderão fornecer as atualizações mais recentes sobre a situação.
Entre em contato com o serviço de firewall e informe que seu site está sob ataque DDoS. Eles podem mitigar a situação ainda mais rápido e podem fornecer mais informações.
Em provedores de firewall como o Sucuri , você também pode definir suas configurações para o “modo Paranoico”, o que ajuda a bloquear muitas solicitações e tornar seu site acessível para usuários normais.
Mantendo seu site WordPress seguro
O WordPress é bastante seguro fora da caixa. No entanto, como o construtor de sites mais popular do mundo, é frequentemente alvo de hackers.
Felizmente, existem muitas práticas recomendadas de segurança que você pode aplicar em seu site para torná-lo ainda mais seguro.
Nós compilamos um guia de segurança WordPress passo a passo completo para iniciantes. Ele o guiará pelas melhores configurações de segurança do WordPress para proteger seu site e seus dados contra ameaças comuns.
Esperamos que este artigo tenha ajudado você a aprender como bloquear e prevenir um ataque DDoS no WordPress.
