Sensoren und Sperren
Sechzehn Sensoren überwachen das Anmeldeformular, XML-RPC, die REST-API, die Formulare und die Anfrage selbst. Erreicht ein Sensor seine Schwelle, sperrt er die Adresse auf einer Eskalationsleiter, protokolliert das Ereignis und meldet es im Community Network. Diese Seite listet jeden Sensor mit seinem Standardwert und erklärt, was über eine Sperre entscheidet.
Die sechzehn Angriffssensoren
Jeder Sensor hat einen eigenen Schalter und eigene Schwellwerte unter Grundschutz → Erkennung & Schwellwerte, die Formularsensoren unter Formulare. Drei Zeilen der Tabelle sind Begleiter und keine eigenen Sensoren: Die Köderpfade melden, statt zu sperren, Anmeldung verbergen ist ein Zugriffsschalter, und die Eskalationsleiter ist die Antwort, in die jeder Sensor einspeist. Alle sechzehn gehören zum kostenlosen Plugin.
| Sensor | Was er überwacht | Standard |
|---|---|---|
| Brute-Force-Anmeldung | Fehlgeschlagene Anmeldungen je Adresse über wp_login_failed. | 5 in 15 min |
| Password Spraying | Verschiedene Benutzernamen, die von einer Adresse aus probiert werden, das langsame, leise Muster. | 5 in 10 min |
| Kommentar-Spam | Jeder Kommentar wird nach rund zwanzig Signalen bewertet: Links und wie viel vom Text sie einnehmen, verschiedene Domains, Wegwerf-Maildomains, verschenkte Top-Level-Domains, eine Domain oder Ziffern im Autorennamen, fremde Schrift, die Sprache des Textes gegen die Sprache der Website, ein Lob am Anfang neben einem Link, ein Linkziel oder ein Text, der schon einmal kam, ein fehlender User-Agent oder ein fehlendes Formularfeld. Mehrere Signale müssen übereinstimmen. Ein bewerteter Kommentar landet im Spam (Standard), wird abgewiesen oder WordPress überlassen. Ein Kommentar, der auf Freigabe wartet, zählt nicht. | Wert 7; 3 Spam-Kommentare in 24 h sperren die Adresse |
| XML-RPC-Missbrauch | XML-RPC-Aufrufe je Adresse über xmlrpc_call. | 10 in 60 min |
| REST-Burst | Anonyme REST-Anfragen je Adresse. Die Consent-Banner-Namensräume real-cookie-banner, complianz, borlabs-cookie und cookie-law-info werden übersprungen. Angemeldete Benutzer zählen nie. | 240 in 5 min |
| 404 und Scanner | Häufungen von 404-Antworten und sofort eine Anfrage nach einem Prüfpfad wie .env, .git/config oder wp-config.php.bak. | 12 in 2 min |
| Köderpfade | Pfade, nach denen kein echter Besucher fragt (.env.backup, wp-config.old.php, ...). Ein Treffer liefert ein 403 und reiht eine Community-Meldung mit hoher Schwere ein, ohne lokale Sperre, damit ein Backup-Plugin, das eine solche Datei schreibt, die Website nicht von sich selbst aussperrt. Unter Apache leitet ein Markerblock über # BEGIN WordPress echte Dateien dieses Namens durch WordPress; nginx erhält ein Snippet. | 1 Treffer = 403 und Meldung |
| Web Application Firewall | URI, Query-String, Body und User-Agent gegen den aktiven Regelsatz. Siehe Firewall und WAF. | Paranoia Level 1 |
| Verifizierte Bots | Eine Anfrage, die sich als Googlebot, Bingbot oder ein anderer großer Crawler ausgibt, wird gegen die veröffentlichten Bereiche des Crawlers geprüft, danach per vorwärts bestätigtem Reverse-DNS. Eine Fälschung wird markiert oder gesperrt; ein echter Crawler wird nie gesperrt. | Markieren in Local Shield, Sperren im Community Network |
| Registrierungsschutz | Ein Regelwerk für jeden Weg zur Registrierung. Siehe Registrierungsregeln. | Ratenbegrenzung 3 in 60 min |
| Ausführungsnachweis auf Formularen | Ein unsichtbares Köderfeld plus ein Feld, das ein kleines Skript ergänzt, auf dem Kommentar-, Registrierungs- und Passwort-Formular und in Contact Form 7. Siehe Formulare und Spam. | An |
| Community-Prüfung auf Formularen | Die Adresse eines Kommentars, einer Registrierung oder einer Passwortanforderung wird mit derselben Schutzstufe wie bei der Anmeldung gegen die Community geprüft. Lässt bei einer Zeitüberschreitung oder erschöpftem Kontingent durch. Nur im Community Network. | An im Community Network |
| Benutzer-Enumeration | Sperrt ?author=N, /wp-json/wp/v2/users und oEmbed-Abfragen nach Benutzern und gibt für einen falschen Benutzernamen und ein falsches Passwort denselben Fehler aus. Autorenarchive können mit einem eigenen Schalter öffentlich bleiben. | 5 in 5 min |
| Anwendungspasswörter | Fehlgeschlagene Anmeldungen mit Anwendungspasswort je Adresse, das schließt den Weg über Basic Auth an 2FA vorbei. | 5 in 15 min |
| Anmeldeanomalie | Land und Netz einer erfolgreichen Anmeldung gegen den Verlauf des Benutzers aus 90 Tagen; ein neues kann die vertrauenswürdigen Geräte widerrufen, sodass die nächste Anmeldung wieder nach dem zweiten Faktor fragt. Braucht die Reputationsdaten des Community Network. | An |
| Passwortregeln | Mindestlänge und Zeichenklassen für die abgedeckten Rollen, auf Wunsch eine Prüfung gegen Have I Been Pwned (nur die ersten fünf Zeichen des SHA-1-Hashes verlassen die Website). | 12 Zeichen; Prüfung aus |
| Anmeldung verbergen | Eine eigene Anmeldeadresse statt wp-login.php; die alte Adresse antwortet mit einer Sperrseite oder einem 404. Wiederholte Aufrufe der alten Adresse von einer Adresse aus zählen als Scan. | Aus; Slug 3 bis 50 Zeichen |
| Sperr-Eskalation | Die Leiter, in die jeder Sensor einspeist, siehe unten. | 5 min bis 7 Tage |
| WooCommerce-Anmeldung | Fehlschläge bei der Anmeldung in Mein Konto und an der Kasse zählen zum Brute-Force-Zähler. | Wie Brute-Force |
Die eigenen Adressen des Servers werden nie automatisch gesperrt, ein Cache-Preloader oder ein WP-Cron-Loopback kann die Website also nicht von sich selbst aussperren. Eine Adresse auf der Whitelist wird von keiner Schicht gesperrt.
Sperr-Eskalation
Wiederholungstäter zahlen mehr. Die Standardleiter lautet 5 min, 15 min, 30 min, 24 h, 48 h, 7 Tage. Nach 30 ruhigen Tagen beginnt eine Adresse wieder auf der ersten Stufe. Ein Besucher, der eine Schwelle aus Versehen erreicht hat, hinter einem Carrier-NAT oder mit einem Tippfehler, ist nach Minuten zurück; ein hartnäckiger Angreifer erreicht den siebten Tag. Eine laute Welle kann mehrere Stufen auf einmal kosten. Leiter, Rücksetzfenster und Schalter liegen unter Sperren & Eskalation; ist die Leiter aus, gilt die feste Sperrdauer.
Der Nur-Melden-Modus protokolliert und meldet jede Erkennung, sperrt aber nichts. Das hilft, wenn Sie auf einer belebten Website Schwellwerte einstellen. Das Whitelist-Formular hat die Hilfe Meine IP hinzufügen; bei einem wechselnden IPv6-Anschluss tragen Sie statt einer einzelnen Adresse Ihren /64-Bereich ein.
Community-Reputation
Im Community Network wird die Adresse eines Anmeldeversuchs sowie eines Kommentars, einer Registrierung oder einer Passwortanforderung gegen die Community geprüft. Ab der Schutzstufe (standardmäßig 75 %, nie unter 25 %) wird sie abgewiesen und lokal für 24 Stunden gesperrt. Adressen, die die Community als Infrastruktur kennt, Ihr eigener Server und Adressen auf der Whitelist werden so nie abgewiesen. Antwortet der Dienst nicht, pausiert eine Zeitüberschreitung die Live-Abfragen für zwei Minuten, und die Website lässt in dieser Zeit durch. Confidence Score erklärt, wie der Wert berechnet wird.
Härtungsmodus bei Angriffswellen
Teil des Pro-Add-ons ab dem Tarif Professional. Greifen mehrere Adressen gleichzeitig die Anmeldung an, verschärft
der Härtungsmodus die Schwellen für fehlgeschlagene Anmeldungen und für die Reputation netzwerkweit für eine
Stunde und verlängert das Fenster, solange die Welle anhält. Er ist ab dem Tarif Professional an und wird unter
Erweitert → Angriffsreaktion eingestellt; wp reportedip hardening zeigt, startet
oder beendet ihn von Hand.
Tor-Exit-Knoten
Teil des Pro-Add-ons ab dem Tarif Professional, im Community Network. Der Schalter unter Sperren &
Eskalation ist standardmäßig aus. Die Liste der Exit-Knoten kommt als signierter Regelsatz und wird
zweimal täglich aktualisiert; das Community-Merkmal deckt Adressen ab, die die Liste noch nicht kennt.
Tor-Sperren dauern 24 Stunden (Filter reportedip_hive_tor_block_hours), werden nie gemeldet, weil der
Betrieb eines Exit-Knotens kein Beleg für Missbrauch ist, und betreffen nie eine Adresse auf der Whitelist.
Gruppensperren
Teil des Pro-Add-ons ab dem Tarif Professional, im Community Network. Ein Community Access Key kann zu einer Gruppe in Ihrem Konto gehören. Das Plugin holt die Gruppenliste alle fünfzehn Minuten und spiegelt sie als Sperren vom Typ Gruppensperre, bis zu dem Ablauf, den der Dienst nennt. Ein Eintrag, der die Liste verlässt, wird aufgehoben, und die Whitelist der Gruppe kommt als Whitelist-Einträge mit der Herkunft Gruppe an. Die Whitelist gewinnt wie immer, und eine von Hand gesetzte Sperre wird nie angefasst. Gruppensperren sind kein Sensor.
Das Dashboard zeigt eine Gruppenkarte, und Aktivität → IP-Listen → Gruppe zeigt jede
Adresse der Liste mit dem Mitglied, das sie gemeldet hat, und was diese Website daraus gemacht hat: von der Gruppe
gesperrt, schon gesperrt, auf der Whitelist, der eigene Server, Nur-Melden-Modus, Fenster abgelaufen oder von Hand
aufgehoben. Jede Synchronisation, die etwas ändert, schreibt eine Zeile group_list_synced. Ein Tarif
ohne Gruppen, ein Schlüssel, der seine Gruppe verlässt, Local Shield oder ein deaktiviertes Add-on entfernen
alles, was die Gruppe auf der Website gesetzt hat.
Zuletzt aktualisiert: · Betreut vom ReportedIP-Team