ReportedIP Hive 2.1.4: Die Firewall-Version – von 12 auf 16 Sensoren
ReportedIP Hive 2.1.4 verwandelt das Plugin in eine Firewall. Seit der letzten Version, über die wir berichtet haben – 2.0.22 –, wurde Hive um eine Web Application Firewall mit Request-Prüfung, drei weitere Free-Sensoren und einen vom Server bereitgestellten Regel-Feed erweitert, wodurch die Anzahl der Erkennungsmöglichkeiten von 12 auf 16 gestiegen ist.
Der gesamte Schutzkern bleibt frei und unterliegt der GPL 2.0. Führen Sie ein Update über „Plugins → Nach Updates suchen“ durch oder laden Sie die neueste ZIP-Datei von der GitHub Releases-Seite herunter.
Was hat sich seit Hive 2.0.22 geändert?
Zwischen den Versionen 2.0.22 und 2.1.4 wurden neun Versionen veröffentlicht. Die 2.1.x-Reihe steht im Mittelpunkt – eine vollständige Firewall-Ebene –, doch bereits mehrere 2.0.2x-Versionen haben zunächst die Erkennung verbessert und echte Sperrfehler behoben.
| Version | Änderung der Überschrift |
|---|---|
| 2.0.23 | Der Setup Wizard speichert nun jeden Schritt serverseitig; 404-Fehler und False Positives bei REST-Alarmen führen nicht mehr automatisch zur Sperrung echter Besucher; ein angemeldeter Administrator kann nicht mehr durch eine automatische Sperre ausgesperrt werden. |
| 2.0.25 | SMS-2FA wird ausschließlich auf den verwalteten Relay-Server umgestellt; GDPR-Export- und Löschfunktion sowie ein Generator für datenschutzkonforme Textinhalte werden eingeführt; Schema v8. |
| 2.0.27 | Kompatibilität mit dem WordPress-Multisite-Netzwerk-Admin; Maskierung von Fehlern beim Login anhand von Fehlercodes, sodass die Gründe für 2FA und das Zurücksetzen des Passworts in jeder Sprache angezeigt werden. |
| 2.0.28 | Weniger False Positives (umfassendere Bot-Allowlist, 404-Fehler bei statischen Assets werden ignoriert); ehrliche Informationen zum Unterschied zwischen Free- und kostenpflichtiger Version. |
| 2.0.29 | Der „Hardening Mode“ erkennt nun auch verteilte Botnetze, die ihre IP-Adressen innerhalb eines rollierenden Zeitfensters wechseln, und nicht mehr nur Bursts innerhalb derselben Minute. |
| 2.1.0 | MainWP Integration und Referenzcodes für Block-Seiten (der X-RIP-Ref Kopfzeile). |
| 2.1.2 | Die neue Version der Firewall: WAF, Verified Bot Detection, Disposable-Email Blocking, Comment Honeypot, Security Headers, Hardening-Score und der Business-Audit-Trail; Schema v9. |
| 2.1.3 | Verified Bot Detection wurde für Crawler behoben, die eine Verbindung über IPv6 herstellen. |
| 2.1.4 | Überarbeitung der Firewall-Verwaltung, eine einzige Registerkarte „Server-Einrichtung“ sowie spezifische WAF-Fehlercodes für SSRF, Log4Shell, XXE und weitere. |
Die Web Application Firewall ist das Hauptthema von 2.1.2
Mit Hive 2.1.2 wurde eine WAF zur Überprüfung von Anfragen eingeführt, die auf init und die URI, den Abfrage-String, den Anfragetext sowie den User-Agent anhand eines Signatur-Regelsatzes abgleicht: SQL Injection, XSS, Pfadtraversal, Befehlsinjection, LFI-Wrapper und Scanner-Tools, ergänzt durch SSRF, Log4Shell/JNDI, PHP-Objektinjection, NoSQL, XXE, Webshell-Uploads, CRLF und Template-Injection, die mit Version 2.1.4 hinzugefügt wurden.
Die Engine und die OWASP-Top-10-Baseline des Paranoia Level 1 sind in jedem Tarif kostenlos enthalten. Mit dem „Professional“-Tarif erhalten Sie über „Priority Sync“ Zugriff auf die umfassenderen, regelmäßig aktualisierten Regelsätze der Stufen 2 und 3. Die WAF ist gegen ReDoS-Angriffe abgesichert und arbeitet im Fail-Open-Modus, sodass eine fehlerhafte Regel die Website niemals lahmlegt.
Regeln werden aus einem signierten, vom Server bereitgestellten Feed bereitgestellt
Die Signaturen sind nicht fest im Plugin hinterlegt. Sie stammen aus der „reportedip.com Rule API“ – versioniert, mit Ed25519 signiert und gestaffelt über vier Regelsätze (waf, bot_signatures, disposable_domains, scan_paths), die alle sechs Stunden synchronisiert werden. Hive überprüft jeden Regelsatz vor der Anwendung anhand eines mitgelieferten öffentlichen Schlüssels und greift stets auf eine mitgelieferte Basisversion zurück, sodass ein manipulierter oder nicht erreichbarer Feed Ihre Regeln nicht beeinträchtigen kann. Neue Angriffssignaturen erreichen jede Installation innerhalb weniger Stunden, ohne dass eine Plugin-Veröffentlichung erforderlich ist.
Ein optionales Drop-in für die Vorstufe von WordPress kann die WAF bereits ausführen, bevor WordPress überhaupt geladen wird – mit automatischer Konfiguration von Apache und PHP-FPM sowie einem Nginx-Snippet. Diese Funktion ist standardmäßig deaktiviert, und beim Entfernen wird die Direktive stets entfernt, bevor der Schutzmechanismus gelöscht wird, sodass ein veralteter Prepend-Eintrag niemals zu einem schwerwiegenden Ausfall der Website führen kann.
Drei weitere kostenlose Sensoren: „verified-bot“, „disposable-email“, „Comment Honeypot“
Mit demselben Update wurden drei Erkennungssensoren hinzugefügt, die in jedem Tarif kostenlos enthalten sind, wodurch sich die Gesamtzahl von 12 auf 16 erhöhte:
- The Verified Bot Detection confirms that a request claiming to be from Googlebot, Bingbot, or another crawler actually comes from these sources – first, a DNS-free match with the crawler’s official IP ranges, then a forward-confirmed Reverse DNS fallback. Spoofer werden markiert oder blockiert; echte Crawler werden niemals blockiert. In Version 2.1.3 wurde der IPv6-Pfad korrigiert, sodass echte Crawler unter IPv6 nicht mehr fälschlicherweise als Fälschungen eingestuft werden.
- Disposable-Email Blocking überprüft die Adresse bei der Registrierung in WordPress und WooCommerce und bietet die Modi „Aus“, „Überwachen“ und „Blockieren“. Datenschutz-Relays wie „Apple Hide My Email“ und „Firefox Relay“ bilden eine eigene Kategorie und werden standardmäßig durchgelassen.
- „Comment Honeypot“ fügt dem Kommentarformular ein unsichtbares, von Bildschirmleseprogrammen ignoriertes Scheinfeld hinzu; Spam-Bots, die jedes Feld ausfüllen, werden abgewehrt, ohne dass echte Besucher durch ein CAPTCHA behindert werden.
Die vollständige Liste sowie die Standardschwellenwerte finden Sie im Leitfaden zu den 16 Attack Sensors, die WordPress-Einbrüche erkennen.
Security Headers, ein Sicherheitsbewertungswert und ein Business-Prüfpfad
2.1.2 hat zudem drei Funktionen eingeführt, die bisher nicht erkennbar waren. Hive sendet nun bei jeder Frontend-Anfrage Sicherheits-Response-Header – das grundlegende Trio (X-Content-Type-Options, X-Frame-Options, Referrer-Policy) Free, sowie HSTS, Permissions-Policy, eine „Report-Only-First“-Content-Security-Policy und das Trio zur domänenübergreifenden Isolierung in der Professional-Version. Header, die bereits von Ihrem Server oder einem anderen Plugin gesendet werden, werden erkannt und unverändert belassen.
Das Dashboard wurde um zwei Anzeigen erweitert (0–100 sowie eine Bewertung von A+ bis F im Stil des Mozilla-Observatory), die die Erfassungsreichweite und den Sicherheitsstatus bewerten und Deep-Links zu den einzelnen Elementen enthalten. Die Business plans bieten einen ausschließlich nachträglich ergänzbaren Audit Event Trail – Logins, fehlgeschlagene Logins, Passwort-Zurücksetzungen, Profilaktualisierungen, Rollenänderungen einschließlich des stellvertretenden Benutzers sowie die Erkennung neuer IP-Adressen – mit Filtern, CSV-/JSON-Export und WordPress-DSGVO-Integration. Dieser befindet sich in einer eigens dafür vorgesehenen audit_log Tabelle, die durch Schema v9 hinzugefügt wurde.
2.1.0 und 2.1.4: Benutzererfahrung im Management- und Administrationsbereich
Mit Version 2.1.0 wurde Hive über ein MainWP-Dashboard fernverwaltbar, ohne dass ein zusätzliches untergeordnetes Plugin erforderlich war, und jeder blockierten Antwort wurde ein zuordenbarer Referenzcode wie beispielsweise WAF_SQLI-3F9A2B71, der auf der Seite angezeigt und als X-RIP-Ref Header ausgegeben. Das Token ist ein Einweg-Hash aus IP-Adresse, Grund und Uhrzeit, sodass ein fälschlicherweise gesperrter Besucher eine kurze Zeichenfolge angeben kann, die ein Administrator in den Protokollen abgleichen kann, ohne dass dabei personenbezogene Daten preisgegeben werden.
In Version 2.1.4 wurde der Verwaltungsbereich der Firewall überarbeitet: Die Registerkarte „Übersicht“ ist nun ein Mini-Dashboard mit dem Status der einzelnen Module und einem Stream der jüngsten Firewall-Ereignisse; die Registerkarte „Server-Einrichtung“ fasst alle Webserver-Einstellungen an einem Ort zusammen, und die Einrichtung von Extended Protection ist nun überprüfbar – der Status gibt an, ob der Schutz bei der aktuellen Anfrage tatsächlich ausgeführt wurde.
So führen Sie ein Update durch
Der integrierte Update-Checker fragt GitHub alle 12 Stunden ab; neue Versionen werden wie jedes andere Update auf Ihrem Plugin-Bildschirm angezeigt. Um Version 2.1.4 sofort herunterzuladen, öffnen Sie „Plugins“ → „Nach Updates suchen“. Der Schritt „Firewall“ im Setup Wizard führt Sie bei Neuinstallationen durch die WAF, die „verified-bot“-Aktion, den Einweg-E-Mail-Modus und den Comment Honeypot mit sicheren Standardeinstellungen.