Quiconque tient une sorte d’entreprise en ligne doit se méfier des attaques DDoS. Ou des attaques par déni de service distribuées. Ce qui est essentiellement une longue façon de dire que quelqu’un veut fermer votre site Web ou votre service, donc ils envoient des inondations de trafic à partir de divers points pour vous submerger et rendre difficile la fermeture ou même la traçabilité de l’origine de l’attaque. Ils forcent votre serveurs afin que vos visiteurs normaux se voient refuser l’accès. C’est l’une des choses les plus frustrantes qui puisse arriver à une présence en ligne.
Dans cet article, nous allons vous aider à comprendre comment ça fonctionne et à vous aider à vous protéger contre eux.
Comprendre les attaques DDoS
La plupart des attaques DDoS sont exécutées par des botnets , un «groupe d’ordinateurs infectés par des logiciels malveillants et contrôlés par un utilisateur malveillant». Ces machines sont ensuite détournées et utilisées contre tout service que l’attaquant rendre indisponible pour tous.
Bien que les ordinateurs qui composent le botnet soient infectés par des logiciels malveillants, il est important de noter que si votre site Web WordPress est sous attaque DDoS, votre site Web n’est pas infecté par des logiciels malveillants. Le DDoS empêche simplement le trafic normal de vous atteindre. Cependant, si votre ordinateur avait déjà été compromis par une faille de sécurité, vos serveurs peuvent devenir partie d’un botnet qui effectue une attaque DDoS sur quelqu’un d’autre.
DDoS n’est pas un piratage
Comme nous l’avons dit plus haut, une attaque DDoS n’est pas une tentative d’exploiter une vulnérabilité pour accéder à votre site. C’est plus dans le sens d’une attaque par force brute. C’est à ce moment qu’une partie en particulier tente d’accéder à votre site par des tentatives de connexion répétées et des réinitialisations de mot de passe (pour le moins).
Les DDoSeurs n’essaient pas d’obtenir vos mots de passe, de reprendre votre site, d’installer des logiciels malveillants ou d’utiliser votre ordinateur à des fins malveillantes. Si vous êtes victime d’un DDoS, le service vous sera refusé. Personne ne pourra accéder à votre serveur car il sera bombardé via des canaux publics. Pas le tableau de bord comme hacks et intrusions et force brute attaques.
Pourquoi êtes-vous une cible DDoS?
Pourquoi est-ce que quelqu’un vous ferait ça? Eh bien, l’une des plus courantes est l’idée de hacktivisme, dans laquelle un parti veut empêcher la propagation d’idées ou d’un service auquel ils s’opposent. Cela pourrait être pour un certain nombre de raisons, mais si vous publiez quelque chose qui pourrait être source de division, les hacktivistes pourraient vous attaquer avec du DDoS.
L’espionnage d’entreprise est connu pour se produire, lorsqu’un concurrent vous arrête, par exemple, lors d’une grande vente ou à un moment de l’année pour canaliser plus de profits vers lui-même. Ou il peut s’agir de quelqu’un qui souhaite s’initier à la cybersécurité et aux tenants et aboutissants des attaques DDoS. Peut-être que c’est juste une personne ennuyée quelque part qui pense que c’est drôle et veut regarder le monde brûler. (Cela arrive aux jeux et services en ligne tels que le PlayStation Network ou Xbox Live ou World of Warcraft).
Si vous ne vous voyez pas être la cible d’un sabotage hacktiviste ou d’entreprise, vous n’êtes probablement que la cible malchanceuse de quelqu’un qui veut causer un peu de ravage à un étranger.
Protéger WordPress contre les attaques DDoS
Quelles que soient les raisons pour lesquelles vous pouvez devenir une cible d’attaque DDoS, vous devez prendre des précautions pour éviter que cela ne se produise pour vous et votre site WordPress. La protection de votre installation WP contre les attaques par déni de service n’est pas si différente de la protection contre d’autres attaques. Du moins de votre point de vue. Les protections sous-jacentes fonctionnent considérablement différemment. Mais en tant qu’utilisateur WordPress, vous avez la chance de laisser cela aux développeurs et aux spécialistes et de simplement récolter les fruits de leur travail acharné et de leur expertise.
Mettre à jour régulièrement WordPress
Cela devrait être une évidence et aller de soi. Mais nous voulons le dire. Assurez-vous que votre installation WordPress est à jour . Si vous êtes toujours sur la version 4.9 et que la version la plus récente est la 5.3, vous vous ouvrez non seulement aux intrus qui accèdent à votre site, mais aussi aux attaques DDoS. Du moins indirectement. Si vous maintenez WP à jour, vous pouvez utiliser les versions les plus récentes des plug-ins de sécurité, ainsi que des failles de sécurité corrigées qui empêchent vos serveurs d’être infectés et intégrés dans un botnet DDoS.
Utiliser des plugins de sécurité
WordFence, iThemes, Sucuri et tant d’autres options gratuites sont disponibles pour assurer la sécurité de votre installation WordPress. Faites-en usage. Plus important encore, vous devez installer un WAF. Représentant un pare – feu d’application Web , un WAF est votre meilleure défense contre un botnet entrant.
En général, le pare-feu définit un périmètre autour de votre serveur et détermine qui peut y entrer et qui ne peut pas. Les règles (appelées politiques) fonctionnent sur les priorités de liste noire ou de liste blanche . Les développeurs et les équipes WAF bloquent (ou mettent sur liste noire) les réseaux de zombies connus, leurs régions et leurs adresses IP. Cela protège votre site contre les menaces connues, mais si une nouvelle menace vient d’ailleurs, vous pouvez toujours être à risque.
La liste blanche empêche alors les deux de se produire en autorisant uniquement le trafic connu à accéder à votre site. Vous ne pouvez pas obtenir DDoS parce que vous n’avez pas préalablement approuvé ces plages IP ou régions pour l’accès à votre site. Si votre activité principale provient de certains pays ou régions, il s’agit d’un moyen efficace d'empêcher les botnets et les attaquants inconnus d’accéder à votre site. DDoS ou force brute ou toute autre chose, si vous n’avez pas dit «entrez», cela n’entrera pas.
Il y a des avantages et des inconvénients à ces deux méthodes avec les WAF, mais en général, les développeurs ont un ensemble solide de politiques prédéfinies en place qui maintiennent votre site sécurisé et fonctionne efficacement et peut-être plus important encore, de manière rentable.
Vérifier les journaux (historiques d’accès)
Les journaux WordPress sont quelque chose que la plupart des utilisateurs ne connaissent pas ou ne se soucient pas. Mais si vous êtes à risque d’une attaque DDoS, conserver les journaux et voir d’où vient le trafic et les erreurs que vos serveurs donnent peuvent être précieux pour vous assurer que les choses restent opérationnelles. Le simple fait de noter qu’à 3 h 03, 176 tentatives de connexion ont eu lieu à travers le monde est suffisant pour mériter votre attention et passer par le processus de mise à jour, effectuer des sauvegardes, analyser et vérifier les logiciels malveillants, etc.
Votre hôte doit avoir des journaux que vous pouvez consulter, et le Codex WordPress a des informations détaillées sur les journaux de débogage que vous pouvez rafraîchir.
Astuce sur la sécurité d’un blog WordPress
Voici une liste de quelques articles qui vous aideront à aller de l’avant en effectuaunt quelques ajustement sur votre blog pour le rendre plus sécurité.
- 10 plugins pour avoir un pare-feu sur WordPress
- Comment renforcer la sécurité de votre blog WordPress
- Quelques plugins de sécurité sur WordPress
Pour Se Résumer
Au final, la plupart des utilisateurs de WordPress ne risquent probablement pas de subir une attaque DDoS. Mais vous pourriez l’être. N’importe qui pourrait l’être. C’est pourquoi la configuration de la sécurité pour la gérer est si importante. Mais chaque fois que vous diffusez du contenu, réussissez et êtes vu par le grand public, ou attirez l’attention d’une mauvaise personne, il y a une chance que votre gagne-pain soit en jeu. Il est assez facile pour les gens d'embaucher un botnet DDoS s’ils le souhaitent vraiment, donc configurer un WAF et une certaine journalisation et préparation est plus que la peine.