Herhangi bir WordPress web sitesi sahibinin veya yöneticisinin anlaması gereken en önemli şeylerden biri, küçük web sitelerinin tıpkı büyük web siteleri gibi güvenlik saldırılarının hedefi olabileceğidir. Web doğası gereği güvensiz bir yerdir. İnsanların güvenli bir şekilde göz atamayacakları bir noktaya kadar değil, fakat birine sizden yararlanmak veya finansal olarak veya başka şekillerde size zarar vermek için kullanabilecekleri bilgileri vermek için birkaç hata ve yargılama hatası yeterlidir.
Fakat bir WordPress web sitesi yöneticisi olarak yapmanız gereken her şeyi yapıyor olsanız bile, web sitenizin bilgisayar korsanlığı saldırılarının hedefi olma olasılığı yüksektir. Çok fazla başarısız oturum açma girişimi görmek, kaba kuvvet saldırısı adı verilen bir saldırı türünün göstergesidir. Ayrıca web sitenizin arka ucuna erişimi olan kişilerden birinin şifresini unuttuğunun bir işareti de olabilir.
Bu yazıda, WordPress’te çok sayıda başarısız oturum açma girişimini birkaç farklı açıdan ele alacağız. Ele alacağımız konular şunları içerir:
-
Başarısız Giriş Denemesi Nedir?
-
Başarısız Giriş Denemeleri Neden Olur?
-
WordPress’te Çok Fazla Başarısız Oturum Açma Denemesi Bir Sorun mu?
-
Çok Fazla Başarısız Oturum Açma Girişimi İşleme
Başarısız Giriş Denemesi Nedir?
Açık bir cevabı olan bariz bir soru – başarısız bir oturum açma girişimi, birisinin yanlış kimlik bilgilerini kullanarak web sitenizin arka ucuna erişmeye çalışmasıdır. Tarayıcı bir kullanıcı adı ve parola ile korunsa da WordPress’in arka ucuna erişim ve buna erişmek isteyen herkesin bu kimlik bilgilerinin doğru kombinasyonunu bilmesi gerekir. Bir hata yaparlarsa, arka uç erişimine sahip olmayacaklar ve bu, başarısız bir oturum açma girişimi anlamına gelir.
Başarısız oturum açma girişimleriyle ilgili daha az belirgin olan soru, kaç kişinin çok fazla olduğudur? Birisi web sitenize beş kez giriş yapmaya çalışırsa ve başarısız olursa, yüz kez denemeye devam etseler daha mı kötü olur? Görünüşe göre bu erişim isteklerinin büyüklüğü, web sitenizin yavaşlamasına ve hatta çevrimdışı olmasına neden olmak için yeterli olabilir. Bu yüzden “yeterli değil” ve “çok fazla” arasında sınır görevi gören sayıyı tam olarak belirlemek zor olsa da, ikisini birbirinden ayırmak oldukça mümkündür.
İnsanların başarısız oturum açma girişiminin ne olduğunu sormalarının bir başka nedeni de, web sitelerinde kaç tane başarısız oturum açma girişimi olduğunu listeleyen bir rapor almamış olmalarıdır. Çoğu WordPress güvenlik eklentisi bunları izleyecektir. İnsanlar bunları ilk kez yüklediğinde, dünyanın her yerinden birçok farklı oturum açma girişimi görmek alışılmadık bir sürpriz değil. Fakat buradaki sonuç, insanların başarısız oturum açma girişimlerinin WordPress web sitelerinde sırf bunun için izleme ayarlamadıkları için meydana gelen bir şey olduğunun farkında bile olmayabilirler.
Başarısız Giriş Denemeleri Neden Olur?
Bir kez daha, en bariz ve zararsız yanıtla başlayacağız – birisi parolasını unutmuş. Kimlik bilgilerine sahip daha fazla kişi web sitenize giriş yapacaksa, bir gün birisinin onları unutması daha olasıdır.
Bu durum hatırlaması kolay parolalar kullanma politikası uygulamanız gerektiği anlamına mı geliyor? Tabii ki değil. Parolaların uzun ve karmaşık olması gerekir, çünkü parolaları daha güvenli kılan şeyler bunlardır. Fakat raporunuzda görebileceğiniz bu girişimlerden bazılarının web sitenize erişmek için gerçekten bir nedeni olan kişilerden gelebileceğini bilmelisiniz.
Diğer daha az masum ama muhtemelen daha önemli cevap, çok sayıda başarısız oturum açma girişiminin, web sitenize erişme işi olmayan birinin bunu yapmaya çalıştığı anlamına gelmesidir. Bir kişi olabilirdi, fakat daha büyük olasılıkla, bir web sitesinin giriş sayfasını bulmak ve güvenlik önlemleri alınmadan önce birkaç kullanıcı adı ve şifre kombinasyonunu denemek için tasarlanmış bir bottu. Bunlara kaba kuvvet saldırıları denir – birisi mümkün olduğunca çok permütasyon çalıştıran doğru kullanıcı adı-şifre kombinasyonunun peşinden giderek web sitenizi hacklemeye çalıştığında.
WordPress’te Çok Fazla Başarısız Oturum Açma Denemesi Bir Sorun mu?
WordPress’te çok fazla başarısız oturum açma girişimi, iki şekilde ciddi bir sorun olabilir. İlk olarak, online güvenlik söz konusu olduğunda, insanların genellikle en zayıf halka olduğunu anlamalısınız. Güvenli şifreler oluşturmakla uğraşamayanlar veya şifreleri iş arkadaşlarıyla paylaşanlar veya kimlik avı e-postalarına kananlar onlar.
Bu anlamda, şifresini hatırlamakta sürekli sorun yaşayan bir ekip üyesi, web siteniz için güvenlik riski oluşturabilir. Sonunda çok zayıf bir şifre belirleyebilirler veya başka birçok web sitesinde kullandıkları bir şifreyi kullanabilirler ve şifreleri düzenli olarak değiştirmekten pek hoşlanmayabilirler. Bunların tümü, iyi parola güvenliği için önerilen uygulamalardır.
Öte yandan, bir kaba kuvvet saldırısına maruz kalıyorsanız ve bu saldırı web sitenizi yavaşlatıyorsa, saldırı şifrenizi kırmasa bile bu bir sorun teşkil edebilir. Daha önce de belirttiğimiz gibi, bu tür saldırılar, yeterince şiddetliyse, web sitenizin hızını düşürebilir ve birincil hedeflerini karşılamasalar bile zarar verebilir.
Çok Fazla Başarısız Oturum Açma Girişimi İşleme
Yapmak istediğiniz ilk şey, herhangi bir başarısız oturum açma girişimi hakkında sizi bilgilendirecek bir yazılım yüklemektir. Çoğunlukla, bu özelliği, muhtemelen zaten kullanmakta olduğunuz bir güvenlik eklentisiyle elde edebilirsiniz. Her zaman, web sitenizin her gün belirli sayıda başarısız giriş denemesi olduğunu varsaymalısınız. Güvenlik araçları size girişimlerin kaynaklandığı IP adreslerini ve konumlarını gösterebilir. Bu şekilde, unutkan bir ekip üyesi ile bir bilgisayar korsanı, bot veya basitçe web sitenizi kırmaya çalışan herhangi bir şeyi ayırt edeceksiniz.
Dostluk Maçlarından Başarısız Giriş Denemeleriyle Başa Çıkma
Ekibinizden birinin parola yönetimiyle ilgili bir sorunu varsa, ona uygun parola korumasının ve kullanımının önemi konusunda baskı yapmalısınız. Bu işe yaramazsa, web sitesine bir oturum açma yöntemi eklemeyi düşünebilirsiniz. Örneğin şunları deneyebilirsiniz:
-
FaceID – Apple’ın bir Apple cihazının kilidini açmanıza izin vermek için kullandığı teknolojinin aynısı, bir WordPress web sitesine erişmek için kullanılabilir. Yalnızca Apple hesabı olan kişiler tarafından kullanılabilir.
-
SMS Kimlik Doğrulaması – unutkan ekip üyeleriniz de telefonlarını unutma eğiliminde değilse, web sitenize giriş yapmaları için onlara SMS yoluyla tek seferlik bir şifre göndermek harika olabilir.
-
Parmak izi – yine, bu oturum açma şekli, parmak izi tarayıcısı olan bir cihazın sahipliğini gerektirecektir. Bunun dışında, tıpkı bir telefonun kilidini açmak için parmak izi kullanmak gibi.
Bu yöntemlerden herhangi biri, uzun, karmaşık parolaları hatırlama konusunda bir gelişme olabilir. Bunları uygulamakta sorun yaşıyorsanız, yapabileceğiniz en iyi şey parola yönetimi disiplinini artırmak olacaktır.
Düşmanlardan Gelen Başarısız Oturum Açma Girişimleriyle Başa Çıkma
WordPress’te çok sayıda başarısız oturum açma denemesiyle baş etmenin yaygın bir yolu, tek bir IP’den gelebilecek oturum açma denemelerini sınırlamaktır. Bu şekilde, birkaç kötü denemeden sonra, kişinin veya botun IP adresi bloke edilir ve sizin seçtiğiniz bir zaman aşımına uğrar.
Giriş denemelerini bir eklenti ile sınırlayabilir veya functions.php dosyasını düzenleyerek yapabilirsiniz. Şans eseri, bu tür bir eklentiyle zaman aşımına uğrarsanız, web sitenize erişiminiz kilitliyken eklentiyi devre dışı bırakmanız gerekebilir. Bununla birlikte en temel koruma türü için, bir oturum açma girişimi sınırlayıcı kullanın ve parolalarla ilgili, özellikle de bunların gücü ve saklanması konusunda güçlü bir politika uygulayın.
Deneyebileceğiniz diğer yöntemler, kendinizi kaba kuvvet saldırılarından korumak için kullandığınız yöntemlerle hemen hemen aynıdır – çünkü bu tür başarısız oturum açma girişimleri genellikle böyledir. Yapmayı düşünebileceğiniz şeylerden bazıları şunlardır:
-
İki faktörlü kimlik doğrulama ekleme – bu, kullanıcının oturum açtığında metin veya e-posta yoluyla kendisine gönderilen ayrı bir anahtarı girmesini gerektirecektir.
-
HTTP kimlik doğrulaması ekleme – bu, insanların ilk koruma turunu geçmeden oturum açmaya çalışamamaları için oturum açma sayfasına bir parola koymak gibidir.
-
IP’leri Engelleme – çok sayıda başarısız oturum açma girişiminin ardındaki IP’lerin ekip üyenize ait olmadığından eminseniz, özel kod kullanarak onları kara listeye alabilirsiniz.
-
Güvenlik eklentilerini kullanma – eklentiler sizin için kara listeye alma, şifre oluşturma ve iki faktörlü kimlik doğrulama gibi birçok şeyi halledebilir.
Çeşitli koruma yöntemleri hakkında çok detaylı bilgiler içeren kaba kuvvet saldırıları hakkındaki makalemize bir göz atmanızı şiddetle tavsiye ederiz. Kaba kuvvet saldırıları, çok sayıda başarısız oturum açma denemesinin yaygın bir nedeni olduğundan, olası koruma yöntemlerinde bir çakışma görürsünüz.
Çözüm Yolu
Başarısız giriş denemeleri, farkında olsanız da olmasanız da, bir WordPress web siteniz olduğunda günlük bir olaydır. Başarısız oturum açma girişimlerinin bazı nedenleri ciddi bir soruna işaret etmeyebilir. Diğerleri, birinin web sitenize davetsiz girmeye çalıştığını gösterebilir. Her iki durumda da, başarısız oturum açma girişimlerinin hacmini takip etmek ve buna göre tepki vermek her zaman en iyisidir.