WordPress Güvenlik Ayarları

Zayıf halka genellikle bir hesaptır

Sertleştirme başlığı altında yapılan işlerin çoğu teknik. Buna karşılık ele geçirilen sitelerde kapı sıklıkla geçerli bir kullanıcı bilgisiyle açılıyor. Ayrılan bir çalışanın hesabı kapatılmamış oluyor, geçici olarak açılan bir yönetici hesabı yıllarca duruyor ya da aynı parola birden fazla serviste kullanılıyor.

Bu yüzden çalışmanın ilk adımı kullanıcı listesini okumak. Kaç yönetici var, bunların kaçı gerçekten yönetici olmak zorunda, en son ne zaman giriş yapılmış? Çoğu sitede bu listedeki isimlerin bir bölümünü kimse tanımıyor.

Sonrasında kural koymak gerekiyor: yeni bir kişi geldiğinde hangi rolle açılacak, ayrıldığında hesabını kim kapatacak, dışarıdan bir ekibe verilen erişim ne zaman sona erecek. Teknik önlemler bu düzen kurulmadan yalnız görüntüyü değiştiriyor.

Ele geçirme çoğu zaman gürültüsüz ilerler

Ekrana bir uyarı düşmüyor. Sitenin görünümü değişmiyor, ziyaretçi bir şey fark etmiyor. Çünkü saldırının amacı genellikle sitenizi bozmak değil, sunucunuzu kendi işinde kullanmak.

Belirtiler başka yerlerde çıkıyor. Arama sonuçlarında sitenize ait olmayan başlıklar görünüyor. Sunucudan çıkan e-posta hacmi artıyor ve kurumsal adresleriniz alıcı tarafında engellenmeye başlıyor. Panelde tanımadığınız bir kullanıcı beliriyor. Dosyaların değişiklik tarihleri, kimsenin siteye dokunmadığı bir güne işaret ediyor.

Bu yüzden koruma kadar izleme kuruyoruz. Dosya değişikliklerinin takibi, düzenli tarama ve arama konsolundaki güvenlik bildirimleri birlikte çalıştığında sorun haftalar sonra değil, ortaya çıktığı gün görünür oluyor. Erken fark edilen bir bulaşmanın temizliği, uzun süre yerleşmiş bir bulaşmadan çok daha sade bir iş.

Bu izlerin hiçbiri tek başına kesin kanıt değil. Birkaçı aynı hafta içinde üst üste geldiğinde ise varsayımla vakit kaybetmeden kurulumu baştan incelemeyi tercih ediyoruz.