Procédure
Einführung in LWS Protect
Das Tool LWS Protect, verfügbar im Bereich "Sicherheit" Ihres cPanel-Kontrollpanels, ermöglicht es Ihnen, Ihre Website mit wenigen einfachen Klicks abzusichern, indem Sie die vor dem Webserver Ihrer Hosting-Formel eingerichteten Sicherheitsregeln anpassen.
Diese Sicherheitsregeln greifen bereits beim Eintreffen des Traffics vor dem Webserver, weit über Apache oder PHP hinaus, was Ihnen eine deutliche Ressourceneinsparung und eine höhere Effizienz ermöglicht. HTTP(s)-Anfragen werden von der in Fastest Cache integrierten Anwendungssicherheits-Firewall analysiert, bevor sie an den Webserver weitergeleitet werden, also noch vor ModSecurity oder sogar Ihren Sicherheits-Plugins.
Über einfache Sicherheitsregeln wie bei ModSecurity hinaus verwendet LWS Protect externe Reputationsanalyse-Tools sowie intern entwickelte Sicherheitsregeln als Reaktion auf Angriffe, die von unseren Systemadministratoren identifiziert wurden.
Zusammenfassung der LWS-Protect-Regeln
Warum LWS Protect statt eines Sicherheits-Plugins installieren?
Im Gegensatz zu den auf CMS bereitgestellten Sicherheits-Plugins arbeitet LWS Protect vor dem Webserver, noch bevor PHP ausgeführt werden kann. Sicherheits-Plugins für CMS hingegen erfordern, dass PHP ausgeführt wird und zumindest ein Teil des CMS gestartet wurde, was jede Anfrage ressourcenintensiv macht und somit die Leistung anderer Besucher der Website negativ beeinflusst. Sicherlich kann dieses Problem bei einer kleinen Website unauffällig und transparent sein, aber in größerem Maßstab laufen Sie Gefahr, Ihre Webhosting-Formel zu überlasten, insbesondere wenn Sie viele gleichzeitige Besucher haben und diese alle auf dynamische Elemente zugreifen (= erfordern die Ausführung von PHP).
LWS Protect löst dieses Problem, indem Anfragen vor dem Webserver gefiltert werden, also vor der Ausführung von PHP und vor dem Start des CMS, noch bevor der Webserver überhaupt etwas tut. Nehmen wir zum Beispiel an, Sie haben 1000 gleichzeitige Besucher auf Ihrer WordPress-Website und 50 % davon sind bösartig, dann vermeiden Sie 500 Ausführungen Ihres CMS und 500 Ausführungen von PHP. Sie sparen sowohl Arbeitsspeicher als auch MySQL-Anfragen und verhindern, dass diese bösartigen Besuche die Leistung Ihrer echten Besucher beeinträchtigen.
Die Regel-Sets von LWS Protect
Über das Symbol « LWS Protect » in Ihrem cPanel-Kontrollpanel können Sie sofort ein Regelsatz aktivieren, um ein generisches Sicherheitsprofil anzuwenden. LWS bietet derzeit drei Sicherheitsprofile an:
- Hoch: für Websites, die regelmäßig Ziel von Angriffen sind
- Niedrig: für die normale Nutzung bestimmt (standardmäßig aktiv)
- Deaktiviert: deaktiviert alle LWS-Protect-Regeln
Um das aktive Regelsatz auf einer Website zu ändern, klicken Sie auf die mit dem betreffenden Domainnamen verknüpfte Sicherheitsstufe (1) und wählen Sie eine neue Sicherheitsstufe (2):
LWS-Protect-Sicherheitsregeln anpassen
Sie können die LWS-Protect-Sicherheitsregeln auch einzeln anpassen, indem Sie auf « Anpassen » klicken:
Die von LWS Protect angebotenen Sicherheitsregeln sind je nach ihrem Wirkungsbereich in verschiedene Kategorien unterteilt:
- Die allgemeinen Regeln gelten für alle Websites
- Die WordPress-Regeln wurden entwickelt, um den Zugriff auf eine WordPress-Website abzusichern
- Die im Tab "Bots" gruppierten Regeln betreffen den Zugriff von Bots und Crawling-Tools
- Die IP-Reputationsregeln basieren auf IP-Adress-Reputationssystemen
Jede Sicherheitsregel verfügt mindestens über zwei Zustände: aktiv und inaktiv. Durch das Aktivieren bestimmter Regeln können Sie deren Parameter weiter verfeinern:
Die Regeln sind sofort aktiv und mit allen unseren anderen Leistungsoptimierungstools kompatibel: Fastest Cache, LiteSpeed und Ipxchange.
Browserprüfung auf gängigen Administrationsseiten
Empfohlene Regel.
Diese Regel führt beim Zugriff auf gängige Administrationsseiten (wp-admin, administrator, admin*, wp-login.php, ...) eine Vorabprüfung durch, um Tools zu blockieren, die sich als Webbrowser ausgeben. Die Überprüfung erfolgt durch das Senden einer Captcha-Seite, wodurch sichergestellt wird, dass die angeblich von Browsern kommenden Anfragen tatsächlich von Menschen hinter einem Webbrowser und nicht von einem Bot stammen.
HTTP-Zugriffe auf gängige Entwicklungsverzeichnisse blockieren
Empfohlene Regel.
Diese Regel verhindert den HTTP-Zugriff auf gängige Entwicklungsverzeichnisse wie .sql-Dateien, .git-Verzeichnisse und .env-Dateien. Dadurch lässt sich eine Informationspreisgabe vermeiden, falls Sie beispielsweise vergessen haben, eine .sql-Sicherungsdatei auf Ihrer Website während der Entwicklungsphase zu löschen.
HTTP-Zugriffe auf .php-Dateien blockieren
Mit Vorsicht zu aktivieren. Inkompatibel mit WordPress.
Diese Regel blockiert den direkten Zugriff auf .php-Dateien, indem der Zugriff auf alle URLs verhindert wird, die den Begriff ".php" enthalten, wodurch jede mögliche Umgehung der URL-Umschreibungen verhindert wird, die Sie in Ihrer .htaccess-Datei definiert haben.
Aggressives Anti-DDoS
Mit Vorsicht zu aktivieren.
Das aggressive Anti-DDoS führt bei allen HTTP-Anfragen, die von einem Webbrowser an Ihre Website gesendet werden, eine Vorabprüfung durch. Der Mechanismus, identisch mit dem Browser-Prüfmechanismus für Administrationsverzeichnisse, verhindert so, dass automatisierte Bots Ihre Website erreichen.
WordPress: xmlrpc.php-Blockierung
Mit Vorsicht zu aktivieren. Kann Probleme mit einigen WordPress-Plugins verursachen.
Blockiert systematisch den Zugriff auf die Datei xmlrpc.php mit einem 403-Fehler. Eine Datei, die früher für API-Anfragen an WordPress verwendet wurde, heute aber weitgehend durch wp-admin/admin-ajax.php ersetzt ist. Sie wird jedoch aus Gründen der Rückwärtskompatibilität mit Tools beibehalten, die noch auf xmlrpc.php basieren.
WordPress: Anzahl der möglichen Anfragen auf /wp-admin und /wp-login.php begrenzen
Empfohlen und standardmäßig aktiv mit 20 Anfragen/10 Minuten
Diese Regel begrenzt die Anzahl der Anfragen, die eine IP-Adresse auf wp-admin und wp-login.php ausführen kann. Der Anfragezähler ist für alle Websites in unserem System gemeinsam, nur der Blockierschwellenwert ist für jede Website individuell. Dadurch lassen sich mit einer einzigen Regel zwei Arten von Angriffen blockieren: Brute-Force-Angriffe auf eine einzelne Website sowie Brute-Force-Angriffe auf eine große Anzahl von Websites.
Da der Zähler gemeinsam ist, müssen Sie diesen Blockierschwellenwert entsprechend der Anzahl der von Ihnen gehosteten Websites und der gleichzeitigen Zugriffe anpassen. Wenn Sie mehrere Websites haben und das Dashboard gleichzeitig auf einem einzigen PC öffnen, ist es sehr wahrscheinlich, dass Sie den Blockierschwellenwert anpassen müssen, um eine Blockierung zu vermeiden.
Ein 403-Fehler wird angezeigt, wenn die Blockierung wirksam ist, und die Entsperrung erfolgt, sobald die Anzahl der von der IP-Adresse in den letzten 600 Sekunden ausgeführten Anfragen wieder unter den Blockierschwellenwert fällt.
WordPress: Blockierung sensibler Dateien
Empfohlen und standardmäßig aktiv
Diese Regel verhindert den Zugriff auf sensible Dateien und Pfade von WordPress. Sie verhindert unter anderem die Ausführung von .php-Dateien im WordPress-Upload-Verzeichnis und im Verzeichnis wp-includes und verringert so das Schadensrisiko nach einem Eindringen oder einer Virusinfektion auf Ihrer Website.
SEO-Bots blockieren/begrenzen
Blockiert oder begrenzt die Anzahl der Anfragen pro Minute, die SEO-Bots wie Ahrefs, Semrush und Majestic stellen können. Die Bots werden anhand ihrer User-Agents und/oder IP-Adressen identifiziert.
Falsche Bots blockieren
Empfohlen.
Ermöglicht das Blockieren gefälschter Bots mit einer 403-Fehlerseite. Wir verwenden den User-Agent-Header und die IP-Adresse, um gefälschte Bots zu identifizieren. Wenn beispielsweise ein Bot "Googlebot" als User-Agent angibt, die Anfrage jedoch nicht von einer der IP-Adressen des Google-Netzwerks stammt, wird die Anfrage blockiert.
Bösartige Bots blockieren
Blockiert bösartige Bots, die auf öffentlichen Bot-Blacklists aufgeführt sind. Die Bots werden anhand ihrer IP-Adresse und/oder ihres User-Agents als bösartig oder nicht bösartig identifiziert. Anschließend wird ein 403-Fehler angezeigt.
Leere User-Agents blockieren
Empfohlen.
Blockiert die Anfrage, wenn der HTTP-Header "User-Agent" leer ist. Dies tritt häufig bei den Standardkonfigurationen von von Angreifern verwendeten Schwachstellenscan-Tools auf. Anschließend wird ein 403-Fehler angezeigt.
Bösartige IPs blockieren
Empfohlen und standardmäßig aktiv auf "Browser mit Captcha überprüfen"
Diese Regel blockiert den Zugriff auf die Website durch IP-Adressen, die als bösartig gemeldet wurden. Wir verwenden mehrere öffentliche Datenbanken, um bösartige IP-Adressen zu identifizieren. Die Reputation einer IP-Adresse bleibt in unseren Aufzeichnungen bis zu 24 Stunden gespeichert. Eine Überprüfung per Captcha erfolgt, wenn die IP-Adresse einen schlechten Ruf hat, oder eine Blockierung mit 403-Fehler, je nach Ihrer Blockierauswahl.
Tor-Netzwerk blockieren
Diese Regel ermöglicht es, den Zugriff auf Ihre Website vom Tor-Netzwerk aus zu blockieren. Die Erkennung des Tor-Netzwerks erfolgt durch die Identifizierung der IP-Adresse in der öffentlichen Datenbank der Tor Exit Nodes. Ein 403-Fehler wird dann angezeigt, wenn die IP-Adresse in der Liste erscheint.
Blockierungsverlauf anzeigen
Um die von LWS Protect vorgenommenen Blockierungen anzuzeigen, gehen Sie zu LWS Protect und klicken Sie auf die Schaltfläche « Blockierungsverlauf » des betreffenden Domainnamens:
Sie können die Ereignisse dann nach Ihren Bedürfnissen filtern:
- Hostname / Domain
- Datums-/Zeitbereich
- Blockierte IP-Adresse
- HTTP-Anfrage
- Nachricht
Nachdem Sie auf « Search » geklickt haben, werden die Protokolle unter Berücksichtigung der festgelegten Filter aktualisiert:
Ja
Nicht
Über 