WordPress yaygın olduğu için otomatik saldırıların varsayılan hedefidir. Aynı zamanda aşırı yüklenmesi kolaydır: önbelleğe alınmamış tek bir istek onlarca veritabanı sorgusu tetikleyebilir. Statik bir sitenin umursamayacağı bir yük, WordPress sunucusunu saniyede birkaç yüz istekle çökertebilir.
En Çok Hedef Alınan Üç Adres
- xmlrpc.php — Eski uzaktan yayın arayüzü. Tek istekte birden fazla işlem taşıyabildiği için yükselticidir.
- wp-login.php — Hem şifre denemeleri hem de ucuza veritabanı yükü oluşturmak için hedeflenir.
- Arama ve filtreli arşiv adresleri — Her farklı sorgu önbelleği atlayıp PHP ve veritabanına ulaşır.
Önbellek tek başına koruma değildir
Sayfa önbelleği yalnızca önbelleklenebilir adresler istendiğinde işe yarar. Her isteğe rastgele bir sorgu parametresi eklemek onu devre dışı bırakır — otomatik saldırıların yaptığı tam olarak budur.
Önem Sırasına Göre Katmanlar
- Uç katmanda filtreleme ve tarayıcı kontrolü, böylece saldırı trafiği PHP'ye hiç ulaşmaz.
- IP başına hız sınırı: giriş ve aramada sıkı, statik dosyalarda gevşek.
- Kullanmıyorsanız xmlrpc.php'yi tamamen kapatın.
- Sorgu parametreleri için mantıklı bir politikayla tam sayfa önbelleği.
- PHP işçi sayısını makinenize göre ayarlayın: bellek tükenip tüm sunucuyu düşürmeyecek kadar sınırlı olsun.
Gerçek IP'yi Gizleyin
WordPress'te uç koruma en sık şu yüzden başarısız olur: sunucunun gerçek adresi hâlâ herkese açıktır. Eski DNS kayıtları, sitenin gönderdiği e-postaların başlıkları ve korumaya alınmamış alt alan adları üzerinden sızar. Trafik korumadan geçmeye başladıktan sonra sunucu yalnızca koruma adreslerinden bağlantı kabul etmelidir — bu bir güvenlik duvarı kuralıdır, eklenti ayarı değil.
Neyi Atlayabilirsiniz
IP engellemeyi PHP içinde yapan güvenlik eklentileri, saldırı anında her zararlı istek için fazladan bir veritabanı yazma işlemi demektir. Yavaş şifre denemelerine karşı faydalıdırlar, hacme karşı işe yaramazlar.