Chống Brute Force Attack hiệu quả cho Website WordPress

Brute Force Attacks (BFA) là một trong những phương thức tấn công phổ biến nhất hiện nay, không chỉ với WordPress mà còn rất nhiều mã nguồn khác. Nguyên tắc hoạt động của BFA chính là thử tất cả các chuỗi mật khẩu bất kỳ để tìm ra mật khẩu chính xác. Dựa vào nguyên tắc này, bạn có thể ngăn chặn BFA một cách đơn giản thông qua việc giới hạn số lần đăng nhập thất bại.

Chống Brute Force Attack trong WordPress

Trong WordPress, có một Plugin rất nổi tiếng thường được đính kèm trong các dich vụ cài đặt tự động, với khả năng giới hạn số lượt đăng nhập thất bại, chính là Limit Login Attempts. Plugin này vẫn hoạt động trên các phiên bản WordPress mới. Tuy nhiên, đã hơn 9 năm nó chưa được cập nhật. Do vậy, việc nó có dính lỗi bảo mật hay không vẫn còn là một dấu chấm hỏi. Đừng quá lo lắng. Bởi vì, WordPress có sẵn rất nhiều phương án thay thế cho bạn, thậm chí còn tuyệt vời hơn.

Sử dụng tính năng Protect của Plugin Jetpack

Nếu bạn đang sử dụng Plugin Jetpack thì tất cả những gì bạn cần làm là truy cập Jetpack => Settings => Security => kích hoạt tính năng Protect của nó lên là được. Protect không những giúp bạn bảo vệ trang đăng nhập mà còn bảo vệ cả tính năng XML-RPC (xmlrpc.php) của WordPress nữa.

Sử dụng Plugin Defender Security

Nếu bạn đang cài đặt Plugin Defender Security trên Website, hãy truy cập Defender => Firewall => Login Protection => Click vào nút Activate để kích hoạt tính năng chống Brute Force Attack lên.

Sau khi kích hoạt, bạn có thể tùy chỉnh một số thiết lập theo nhu cầu sử dụng hoặc để nó theo mặc định.

Trong đó:

• Threshold: số lần đăng nhập thất bại trong một khoảng thời gian nhất định trước khi bị khóa IP.
• Duration: thời gian khóa IP. Chọn Permanent nếu bạn muốn khóa IP vĩnh viễn.
• Message: thông báo hiển thị với người bị khóa IP.
• Banned Usernames: điền những Username sẽ mặc định bị khóa IP nếu ai đó sử dụng chúng để thử đăng nhập, không cần phải chờ đạt số lần đăng nhập thất bại tối đa.

Click vào nút Save Changes để lưu lại và kiểm tra kết quả.

Sử dụng Plugin Limit Login Attempts Reloaded

1. Đầu tiên, các bạn cần phải cài đặt Plugin Limit Login Attempts Reloaded

2. Tiếp theo, truy cập Settings => Limit Login Attempts => Settings. Tại đây, các bạn có thể tùy chỉnh một số thiết lập của Plugin trong mục Local App hoặc để chúng theo mặc định cũng được.

Trong đó:

• Allowed Retries: số lần đăng nhập thất bại tối đa trước khi IP bị khóa
• Minutes Lockout: thời gian khóa IP (tính theo phút)
• Lockouts Increase Lockout Time To … Hours: số lần bị khóa IP tối đa trước khi bị nâng thời gian khóa (tính theo giờ). Ví dụ (hình bên trên) nếu bạn đã bị khóa 3 lần trước đó thì khi bị khóa lần thứ 4, thời gian khóa sẽ tăng lên thành 24 giờ thay vì 20 phút
• Hours Until Retries Are Reset: thời gian chờ trước khi Reset bộ đếm số lần đăng nhập thất bại
• Trusted IP Origins: các bạn nên để mặc định là REMOTE_ADDR

Click vào nút Save Settings để lưu lại và kiểm tra kết quả.

Một số lời khuyên giúp chống Brute Force Attack

Bên cạnh việc sử dụng Plugin để chống Brute Force Attack, các bạn cũng nên áp dụng một số lời khuyên sau đây:

• Không sử dụng những username quá phổ biến, ví dụ như: Admin, Administrator…
• Sử dụng mật khẩu đủ mạnh: nhiều ký tự, kết hợp chữ thường, chữ in hoa, số và các ký tự đặc biệt. Không nên sử dụng những mật khẩu phổ biến hoặc có ý nghĩa (dễ bị đoán).
• Cài thêm phần mềm diệt virus cho máy tính.
• Tích hợp tính năng bảo mật 2 lớp (đăng nhập 2 bước) cho Website.

Trên đây là các cách Chống Brute Force Attack cho Website (mã nguồn WordPress) hiệu quả & mới nhất hiện nay, mặc dù không không phải là tuyệt đối nhưng cũng phần nào hạn chế và bảo vệ an toàn Website của bạn. Nếu bạn còn phương pháp nào hiệu quả hơn để chống Brute Force Attack hãy để lại bình luận bên dưới nhé !!!

Nguồn: https://wpcanban.com/wordpress/thu-thuat-wordpress/chong-brute-force-attack-cho-website-wordpress.html