Procédure
Introduzione a LWS Protect
Lo strumento LWS Protect, disponibile nella sezione "Sicurezza" del tuo pannello di controllo cPanel, ti permette di mettere al sicuro in pochi semplici clic il tuo sito web personalizzando le regole di sicurezza in atto a monte del server web del tuo piano di hosting.
Queste regole di sicurezza sono effettive già all'arrivo del traffico a monte del server web, ben oltre Apache o PHP, il che ti consente un forte risparmio di risorse e una maggiore efficienza. Le richieste HTTP(s) sono analizzate dal firewall applicativo integrato in Fastest Cache, prima della loro trasmissione al server web, e quindi ben prima di ModSecurity o persino dei tuoi plugin di sicurezza.
Oltre alle semplici regole di sicurezza come propone ModSecurity, LWS Protect utilizza strumenti di analisi delle reputazioni esterne e regole di sicurezza sviluppate internamente in risposta agli attacchi identificati dai nostri amministratori di sistema.
Riepilogo delle regole LWS Protect
Perché scegliere LWS Protect invece di installare un plugin di sicurezza?
A differenza dei plugin di sicurezza forniti sui CMS, LWS Protect agisce a monte del server web, prima ancora che PHP possa essere eseguito. Al contrario, i plugin di sicurezza dei CMS richiedono che PHP sia in esecuzione e che almeno una parte del CMS sia avviata, il che rende ogni richiesta costosa in termini di risorse e quindi influisce negativamente sulle prestazioni degli altri visitatori del sito. Certo, per un piccolo sito, questo problema può essere discreto e trasparente, ma su una scala più ampia rischi di saturare il tuo piano di hosting web, soprattutto se hai molti visitatori simultanei e se tutti accedono a elementi dinamici (= richiedono l'esecuzione di PHP).
LWS Protect risolve questo problema filtrando le richieste a monte del server web, quindi prima dell'esecuzione di PHP e prima dell'avvio del CMS, prima ancora che il server web faccia qualsiasi cosa. Così, supponendo ad esempio che tu abbia 1000 visitatori simultanei sul tuo sito WordPress e che il 50% di essi sia malevolo, eviti quindi 500 esecuzioni del tuo CMS e 500 esecuzioni di PHP. Risparmi sia memoria RAM, sia numero di richieste MySQL e impedisci che queste visite malevole possano influenzare le prestazioni dei tuoi veri visitatori.
I set di regole LWS Protect
Dall'icona « LWS Protect » sul tuo pannello di controllo cPanel, puoi attivare istantaneamente un set di regole per applicare un profilo di sicurezza generico. LWS propone oggi tre profili di sicurezza:
- Alto: destinato ai siti web regolarmente presi di mira da attacchi
- Basso: destinato a un uso normale (attivo per impostazione predefinita)
- Disattivato: disattiva tutte le regole LWS Protect
Per modificare il set di regole attivo su un sito web, fai clic sul livello di sicurezza associato al nome di dominio interessato (1) e scegli un nuovo livello di sicurezza (2) :
Personalizzare le regole di sicurezza LWS Protect
Puoi anche personalizzare singolarmente le regole di sicurezza LWS Protect facendo clic su « Personalizzare » :
Le regole di sicurezza proposte da LWS Protect sono raggruppate in diverse categorie in funzione del loro ambito d'azione :
- Le regole generiche si rivolgono a tutti i siti web
- Le regole WordPress sono state concepite per mettere in sicurezza l'accesso a un sito WordPress
- Le regole raggruppate nella scheda "Bots" influenzano l'accesso ai robot e agli strumenti di crawling
- Le regole di reputazione IP si basano su sistemi di reputazione degli indirizzi IP
Ogni regola di sicurezza dispone almeno di due stati: attivo e inattivo. Attivando alcune regole, è possibile affinare i suoi parametri :
Le regole sono attive istantaneamente e sono compatibili con tutti i nostri altri strumenti di ottimizzazione delle prestazioni: Fastest Cache, LiteSpeed e Ipxchange.
Verifica del browser sulle pagine di amministrazione comuni
Regola consigliata.
Questa regola implementa una verifica preliminare durante l'accesso alle pagine di amministrazione comuni (wp-admin, administrator, admin*, wp-login.php, ...) al fine di bloccare gli strumenti che si spacciano per un browser web. La verifica avviene tramite l'invio di una pagina captcha che assicura così che le richieste presumibilmente effettuate da browser siano effettivamente di esseri umani dietro un browser web e non di un bot.
Bloccare gli accessi HTTP sulle cartelle di sviluppo comuni
Regola consigliata.
Questa regola impedisce l'accesso HTTP alle cartelle di sviluppo comuni, come i file .sql, le cartelle .git, i file .env. Ciò consente di evitare una fuga di informazioni nel caso in cui tu abbia dimenticato di eliminare un file di backup .sql per esempio, sul tuo sito Internet, durante la fase di progettazione.
Bloccare gli accessi HTTP sui file .php
Da attivare con prudenza. Incompatibile con WordPress.
Questa regola blocca l'accesso diretto ai file .php impedendo l'accesso a tutti gli URL che contengono il termine ".php", il che impedisce qualsiasi possibile aggiramento delle riscritture URL che hai definito nel tuo file .htaccess.
Anti-DDoS aggressivo
Da attivare con prudenza.
L'anti-DDoS aggressivo effettua una verifica preliminare su tutte le richieste HTTP effettuate sul tuo sito web da un browser web. Il meccanismo, identico al meccanismo di verifica del browser delle cartelle amministrative, impedisce così ai robot automatizzati di raggiungere il tuo sito web.
WordPress: blocco xmlrpc.php
Da attivare con prudenza. Può causare problemi con alcuni plugin WordPress.
Blocca sistematicamente l'accesso al file xmlrpc.php con un errore 403. Un file che veniva utilizzato per effettuare richieste API a WordPress, oggi è ampiamente sostituito da wp-admin/admin-ajax.php. Tuttavia, viene mantenuto per la retrocompatibilità con strumenti che si basano ancora su xmlrpc.php.
WordPress: limitare il numero di richieste possibili su /wp-admin e /wp-login.php
Consigliata e attiva per impostazione predefinita a 20 richieste/10 minuti
Questa regola limita il numero di richieste che un indirizzo IP può effettuare su wp-admin e wp-login.php. Il contatore delle richieste è comune per tutti i siti web del nostro parco, solo la soglia di blocco è propria di ciascun sito web. Ciò consente di bloccare due tipi di attacchi con una sola regola: gli attacchi bruteforce mirati a un singolo sito web, così come gli attacchi bruteforce mirati a un gran numero di siti web.
Poiché il contatore è comune, sarà necessario regolare questa soglia di blocco in base al numero di siti che ospiti e a cui accedi simultaneamente. Se hai più siti e apri la dashboard contemporaneamente su un solo PC, è molto probabile che tu debba regolare la soglia di blocco per evitare di essere bloccato.
Viene visualizzato un errore 403 quando il blocco è attivo, e lo sblocco avviene non appena il numero di richieste effettuate dall'indirizzo IP negli ultimi 600 secondi scende nuovamente al di sotto della soglia di blocco.
WordPress: blocco file sensibili
Consigliata e attiva per impostazione predefinita
Questa regola impedisce l'accesso ai file e ai percorsi sensibili di WordPress. Impedisce, tra le altre cose, l'esecuzione di file .php nella cartella di upload di WordPress e nella cartella wp-includes, riducendo così i rischi di danni a seguito di un'intrusione o di un'infezione da virus sul tuo sito.
Bloccare/limitare i robot SEO
Bloccare o limitare il numero di richieste al minuto che i robot SEO come Ahrefs, Semrush e Majestic possono effettuare. I robot sono identificati tramite il loro User-Agent e/o i loro indirizzi IP.
Bloccare i falsi robot
Consigliato.
Permette di bloccare i falsi robot con una pagina di errore 403. Utilizziamo l'intestazione User-Agent e l'indirizzo IP per identificare i falsi robot. Per esempio, se un robot specifica "Googlebot" come User-Agent ma la richiesta non proviene da uno degli indirizzi IP della rete Google, la richiesta verrà bloccata.
Bloccare i robot malevoli
Blocca i robot malevoli elencati nelle blacklist pubbliche dei robot. I robot sono identificati come malevoli o meno grazie al loro indirizzo IP e/o al loro User-Agent. Verrà quindi visualizzato un errore 403.
Bloccare i User-Agent vuoti
Consigliato.
Bloccare la richiesta quando l'intestazione HTTP "User-Agent" è vuota. Ciò si verifica spesso con le configurazioni predefinite degli strumenti di scansione delle vulnerabilità utilizzati dagli hacker. Verrà quindi visualizzato un errore 403.
Bloccare gli IP malevoli
Consigliato e attivo per impostazione predefinita su "Verificare il browser con un captcha"
Questa regola blocca l'accesso al sito web da parte degli indirizzi IP segnalati come malevoli. Utilizziamo diversi database pubblici per identificare gli indirizzi IP malevoli. La reputazione di un indirizzo IP viene conservata fino a 24 ore nei nostri registri. Verrà effettuata una verifica tramite captcha se l'indirizzo IP ha una cattiva reputazione, oppure un blocco con errore 403, a seconda della tua scelta di blocco.
Bloccare la rete Tor
Questa regola consente di bloccare l'accesso al tuo sito web dalla rete Tor. Il rilevamento della rete Tor viene effettuato grazie all'identificazione dell'indirizzo IP nel database pubblico dei Tor Exit Nodes. Verrà quindi visualizzato un errore 403 se l'indirizzo IP figura nell'elenco.
Vedere gli storici di blocco
Per visualizzare i blocchi effettuati da LWS Protect, vai su LWS Protect e fai clic sul pulsante « Storico dei blocchi » associato al nome di dominio interessato :
Puoi quindi filtrare gli eventi in base alle tue esigenze :
- Nome host / dominio
- Intervallo di data/ora
- Indirizzo IP bloccato
- Richiesta HTTP
- Messaggio
Una volta dopo aver cliccato su « Search », i log vengono aggiornati tenendo conto dei filtri impostati :
Sì
No
Informazioni su 