WordPress web sitelerini oluşturmak için çok güçlü ve güvenli bir kod temeline sahiptir. Yazılım ayağı çok güçlü olan WordPress’te diğer yazılımlar gibi sanal ortamda çok fazla yaygın olan DDoS saldırılarına uğrayabilmektedir. DDoS saldırıları çok kötü amaçlı olup web sitelerini önce yavaşlatır ardından herkese erişilemez durumuna getirebilir. Saldırıların hedefindeki web sitelerinin büyüklüğü ya da küçüklüğü önemli değildir. Her boyutta web sitelerine DDoS saldırılarının yapıldığı bilinmektedir.
Web sitelerini bu tür saldırılara karşı korumak ve bu saldırıları durdurup, önlemek isteyen kişilere destek olacak bazı mekanizmalar vardır. Bir web sitesinin koruma altında veya herhangi bir saldırıya karşı hazır durumda olması sitenin yaşayacağı çeşitli kayıpları önleyecektir. DDoS saldırılarının ne olduğu, amacı, verdiği zarar ve nasıl önleneceği gibi verilerin bilinmesi web sitelerinin yöneticileri için çok önemlidir.
DDoS Saldırısı Nedir?
Dağıtılmış Hizmet Reddi saldırılarının kısaltması olan DDoS saldırıları, hedefindeki WordPress barındırma sunucusuna çok sayıda istek gönderir. Sunucuların istek sınırını aşmaya çalışıp web sayfalarının düzgün çalışmasını engellemeye çalışır. Bu engellemeler sonucu hedefte bulunan web siteleri yavaşlar ve tamamen erişilmez hale gelerek çöker. DDoS saldırıları, DoS yani Hizmet Reddi saldırılarının bir versiyonudur. Ancak bu saldırılar DoS saldırılarından bazı özellikleri bakımından farklılık gösterir ve bu farklılıklar her iki saldırının kapsamları ile başlar. DoS saldırıları tek bir sistem ve saldırı kullanırken, DDoS çeşitli bölgelere yayılmış ve pek çok saldırı sistemine yayılmış sınıfları kullanır.
Güvenliği ihlal edilmiş ve tehlikeye atılmış sistemler, zaman zaman botnet denilen bir ağ oluşturur. Tehlikeden etkilenen her sistem birer bot gibi davranır ve hedeflenen web sitesine ya da sunucusuna saldırıların içinde olur. Bu sistemlerin saldırıları hemen fark edilmez bu nedenle saldırılar hemen engellenmez ve engelleme işlemleri geç olduğu için bu saldırılar web sitelerine en çok hasarı vermektedir.
DDoS saldırıları mercek altına alındığında, karşılarında oldukça büyük internet şirketleri bile savunmasızdır. Örneğin; GitHub popüler kod barındırma sistemi olmasına rağmen 2018’de DDoS saldırısına uğradı ve başka DDoS saldırıları dünyanın takip ettiği haber listelerine girdi.
Neden DDoS Saldırıları Olur
DDoS saldırılarının ardında birçok neden bulunmaktadır. Bunları şu şekilde sıralamak mümkündür:
Web sitesinin teknik kısmına meraklı insanlar ve macera peşinde olan yazılımcılar ve politik sebeplerin ortaya çıkardığı durumlara değinmek isteyen kişiler ve gruplar, belirli bir yerin web sitelerinin hizmetlerini kapatmak isteyen gruplar, şantaj ve fidye almak isteyen kişiler web sitelerine saldırılar yapmaktadır.
DDoS Saldırılarından Zarar Gören Kaynaklar
DDoS saldırısına uğrayan bir sistem erişime kapanır ya da performansı düşer. Bu durum kötü kullanıcı deneyimine, web sitesinde yaşanacak maddi zararlara sebep olur ve ayrıca saldırıyı bertaraf etmek için harcanacak maddi hasar göz önüne alındığında birçok cep yakan ve itibar zararı olduğu görülür.
WordPress DDoS Saldırılarının Durdurulması ve Önlenmesi
Çok tehlikeli olan DDoS saldırıları kullanıcılardan kendilerini çok iyi gizleyip, engellenmesi zor bir durumdur. WordPress tabanlı web siteleri için temel güvenliği sağlayan çok iyi uygulamalar sayesinde DDoS saldırılarının bertaraf olması ve web sitelerine zarar vermesi daha kolay önlenir ve durdurulur. Kullanıcılar WordPress web sitelerine yapılan DDoS saldırılarını çeşitli adımları izleyerek önler ve durdurur. Bu adımlar şu şekilde sıralanmaktadır.
DDoS/Brute Force Saldırıları Dikeylerini Kaldırma
WordPress’in sahip olduğu özellikler sayesinde kullanıcılar web sitelerine üçüncü taraf eklentiler ve farklı araçlarla entegre olarak web sitelerinin yeni özellikler kazanmasıdır. Bu araçları ve eklentileri kullanmak için WordPress API’larından bazılarını programcıların kullanabileceği hale getirmiştir. API’lar ile üçüncü taraf geliştirmeleri WordPress’e eklentilerin etkileşime geçmesini sağlayan yöntemdir.
API’lar web sayfalarını geliştirirken aynı zamanda DDoS saldırıları sırasında çok fazla istek almaktadır. DDoS saldırıları tarafından gelen istekleri azaltmak için bu araçlar ve eklentiler devre dışı bırakılabilir.
WordPress’de XML RPC’yi Devre Dışı Bırakmak
XML-RLC, WordPress’le üçüncü taraf uygulamalarının ve araçların etkileşim kurmasını sağlamaktadır. Mesela WordPress uygulamasının mobil cihazlarda kullanılabilmesi için XML-RPC’nin olması gerekir. Uygulamanın mobil uygulamasını kullanmayan web sitelerinin ziyaretçileri çoğunluktaysa web sitesi yöneticileri .htaccess dosyasına küçük bir kod ekleyerek XML-RPC’yi devre dışı bırakabilirler. Bu kodlar şu şekildedir:
# Block WordPress xmlrpc.php requests
order deny,allow
deny from all
WordPress’te REST API’sını Devre Dışı Bırakmak
WordPress’in bu API’ı, eklentilerin ve araçların WordPress verilerine ulaşmasını sağlar ve içerikleri güncelleme, silme gibi işlemleri yapmasında müsade eder. WordPress REST API şu adımlar izlenerek devre dışı bırakılabilir.
İlk önce WP Reset API’sını Devre Dışı Bırak (Disable WP REST API) eklentisi yüklenir ve aktifleştirilir. Eklentinin kurulumu yapıldıktan sonra REST API’sını devre dışı bırakacaktır. Bu eklenti WordPress’in eklentiler bölümünde bulunmaktadır.
WAF’yi (Web Sitesi Güvenlik Duvarı) Etkinleştirme
REST API ve XML-RPC gibi saldıranlara açık olan web sitesi sistemleri devre dışı bırakılsa da web siteleri hala DDoS saldırıları karşısında korunmasızdır. Çünkü normal HTTP isteklerine karşı web siteleri hala zararlı istekler alabilmektedir. REST ve XML-RPC saldırılara karşı sınırlı bir güvenlik duvarı sağlamaktadır.
Web sitelerine gelen DoS saldırılarını manuel olarak engellenmesi bir miktar hafifletmek için mümkün olabilir. Ancak manuel müdahale DDoS saldırılarına karşı pek etkili değildir. Web sitelerine gelen şüpheli istekleri engellemek için web sitesi uygulamasının güvenlik duvarı etkinleştirilir.
Uygulamanın güvenlik duvarı, web sitelerine gelecek olan bütün trafikler arasında proxy görevi görerek, web sitesine gelen bütün şüpheli istekleri yakalar ve sunuculara ulaşmadan engellemek için bazı algoritmalar kullanır.
WordPress’in güvenlik eklentisi ve web siteleri için güvenlik duvarı oluşturmada en iyi eklenti Sucuri eklentisidir. Bu eklenti DNS düzeyinde çalışarak DDoS saldırı tarafından daha yapılmayan istekleri bularak yakalar. Bu nedenle güvenlik duvarı oluşturma işlemleri için en fazla tercih ve tavsiye edilen eklentidir. Sucuri eklentisi ücretli olup, yıllık fiyatı 20 dolardır. Sucuri eklentisine alternatif olarak kullanıcılar Cloudflare aracınıda kullanabilirler. Cloudflare’nin ücretsiz olan versiyonu DDoS saldırıları için sınırlı koruma sağlamaktadır. Cloudflare’nin ücretli versiyonu biraz pahalıdır ve web sitelerine 7 katmanlı DDoS koruması sağlar.
DDoS Saldırısı ve Brute Force Saldırısı Arasında Bulunan Farklar
DDoS saldırıları hedeflerinde bulunan web sitelerini basit bir şekilde erişilmez hale getirip, yavaşlatmak için kullanılır.
Brute Force Saldırıları ise genel olarak bir web sitesine veya sisteme yetkisiz erişim için kullanılır. Bunun için bu saldırı parolaları tahmin edip rastgele kombinasyonları girerek sisteme girmeye çalışır.
Web Sitelerine Yapılan Saldırı DDoS Saldırısı mı Yoksa Başka Saldırı mı?
DDoS saldırıları ve Brute Force saldırıları çok yoğun karşılaşılan saldırılardır. Her ikiside sunucuların kaynaklarını bir yol bularak kullanır bu yüzden her iki Saldırılarının etkileri birbirine benzer. Çünkü ikiside web sitelerini yavaştır ve erişilmez hale getirir. Web sitelerine yapılan saldırıları öğrenmek isteyen yöneticiler Sucuri eklentisine başvurarak, eklentinin giriş raporlarından yapılan saldırının türünü basit bir şekilde öğrenebilir.
Bunun için; yöneticiler web sitelerine Sucuri eklentisini yükleyip aktifleştirir bundan sonra Sucuri Güvenliği/Son Girişler sayfasına gidilerek sayfada bulunan başarısız girişlere tıklanır. Burada yöneticilerin karışısına fazla rastgele giriş isteği varsa web sitelerinin Brute Force saldırısı altında olduğunun bilinmesi gerekir.
Önemli: WordPress güvenlik uygulamaları hakkında hazırladığım makaleyide mutlaka okumalısınız: wpservis.com/wordpress-guvenlik
DDoS Saldırıları Anında Yapılacak Şeyler
DDoS saldırıları yaşandığında genelde Sucuri ve Cloudflare gibi vektörler sayesinde web sitelerinin ziyaretçileri ve yöneticilerine yansımadan engellenir. Ancak bazen bütün önlemler alınmış ve web uygulaması güvenlik duvarı olsa bile DDoS saldırıları gerçekleşebilmektedir. Bu saldırılar çok büyük olduğu zamanlarda web siteleri eklenmektedir. Böyle bir durumla karşılaşma ihtimaline karşı web sitelerinin yöneticileri, saldırıların öncesine ve sonrasına hazırlıklı olup ne yapacaklarını bilmelerinde yarar vardır. Saldırıların etkisini azaltmak için yapılacak bir takım şeyler şu şekildedir.
Ekip Üyelerini Uyarmak
Web sitelerinin sahipleri eğer sayfaları için bir ekibe sahip ise onları oluşabilecek saldıranlara karşı bilgilendirmek ve uyarmak gerekir. Saldırılar karşısında ne yapacağını bile bir ekip olası saldırılar anında ve sonrasında meydana gelecek zararları en aza indirecektir.
Müşterileri Oluşan Sorun Hakkında Bilgilendirmek
Web sitelerinde bir WooCommerce mağazası işleten kişilerin sayfalarında DDoS saldırıları esnasın da müşteriler yapacakları alışverişin siparişini veremeyebilir ya da hesaplarına ulaşamayabilirler. Bu durumlar karşısında müşterileri Bilgilendirmek için kişiler sosyal medya hesaplarında oluşan sıkıntı hakkında bir bilgi notu paylaşarak müşterilerine oluşan problemin en kısa sürede ortadan kalkacağı hakkında bilgi verip ulaşabilirler.
Yapılan saldırının boyutu büyükse ve kısa zamanda ortadan kalkmayacaksa müşteriler ile e-posta üzerinden iletişim kurup güncellemeleri takip etmeleri istenebilir ve buradan da sürekli gerekli bilgilendirmeler yapılabilir. Satış yapan pek çok sitenin VIP müşterileri bulunmaktadır, saldırı esnasında bu müşteriler özel olarak bilgilendirilebilir. Müşterileri ile iletişim kanalları kuvvetli olan web sitelerinin sahipleri saldırı esnasında işletmelerin itibarını daha da güçlendirme olanağına sahip olabilirler.
Hosting ve Güvenlik Desteği ile İletişim Kurmak
Web sitelerine yapılan saldırılar, web sitesi için yapılacak daha büyük bir saldırının parçası olabilir. Bu durumda yöneticiler WordPress hosting sağlayıcılarını bilgilendirerek, ortaya çıkacak duruma karşı son güncellemeleri gerçekleştirmeleri sağlanabilir.
Saldırı esnasında güvenlik duvarı hizmetine başvurup, web sitelerinin DDoS saldırıları altında olduğu bildirilmelidir. Güvenlik duvarı hizmetleri ortaya çıkan durumu hafifletebilir ve yöneticileri iyi bir şekilde bilgilendirebilir.
Hatırlatma: Eğer WordPress sitenizde güvenlik açığı olduğunu düşünüyorsanız, WordPress destek sayfasından bana ulaşabilirsiniz.
Sucuri eklentisi gibi güvenlik sağlayıcılarında bulunan ayarlar Paranoid modunda ayarlanabilir. Bu ayar web sitelerine gelecek olan pek çok saldırı niteliğinde ki istekleri engelleyecek ve web sitelerinin ziyaretçilere erişilebilir olmasına destek olacaktır.
Sonuç
WordPress DDoS saldırıları ve Brute Force hakkında bildiklerimi sizlerle paylaşmaya çalıştım. WordPress sitenizi daha güvenilik hale getirmek her zaman ilk önceliğiniz olmalı. Hem işinizin hemde müşterilerinizin güvenliğini sağlamak adına sitenizi olabildiğince güvence altında tutun.
WordPress dünyada web sitesi kurmak için en popüler üreticiler arasında bulunmasına rağmen kötü niyetli korsanlar ve hackerlar tarafından saldırılara uğrayabilmektedir. Bu nedenle WordPress kullanıcılarının kötü durumlardan kurtarmak için birçok eklentiye sahiptir. Kullanıcılar verilen adımları ve sistemleri izleyerek web sitelerini saldırılara karşı daha güvenli bir hale getirebilir.
Kayıtlar
0 Yorumlar
Yorumunuz İçin Teşekkür Ederiz