Progressive IP-Sperren: Brute-Force in WordPress stoppen ohne Fehlalarme
Um Brute-Force-Angriffe auf WordPress zu sperren, ohne echte Menschen auszusperren, macht ReportedIP Hive jede Sperre so lang, wie die Adresse sie sich verdient hat: Ein erstes Vergehen kostet eine kurze Sperre, und nur eine Adresse, die immer wiederkommt, steigt zu langen Sperren auf. Ein vertipptes Passwort kostet einen Kunden deshalb nie einen ganzen Tag.
Diese Anleitung erklärt die Eskalationsleiter, wann sie zurückgesetzt wird, wie manuelle Sperren und die Whitelist hineinpassen und was ein gesperrter Besucher tatsächlich sieht.
Warum scheitert eine feste Sperrdauer an Brute-Force-Angriffen?
Eine einzige Sperrdauer erzwingt einen schlechten Kompromiss. Ist sie kurz, wartet ein Botnetz einfach ab und versucht es erneut. Ist sie lang, sitzt die Mitarbeiterin hinter dem gemeinsamen Büroanschluss oder der Kunde hinter der NAT eines Mobilfunkanbieters nach ein paar Tippfehlern einen Tag lang draußen. Das OWASP Authentication Cheat Sheet warnt genau davor: Zu strenge Sperren werden zum Denial-of-Service gegen die eigenen Nutzer.
Progressive Sperren lösen das, indem die Vorgeschichte einer Adresse entscheidet. Wer einmal einen Sensor auslöst, bekommt eine kurze Pause. Wer weiter angreift, bekommt immer längere Sperren, bis zu einer Obergrenze, die in Tagen gemessen wird.
So funktioniert die Eskalationsleiter
- Ein Sensor, etwa für fehlgeschlagene Anmeldungen, sieht eine Adresse seine Grenze überschreiten.
- Hive sperrt die Adresse. Ihre erste Sperre ist die kürzeste Stufe der Leiter.
- Wird dieselbe Adresse innerhalb des Rücksetzfensters erneut gesperrt, steigt sie eine Stufe auf und die Sperre dauert länger.
- Ein sehr heftiger Ansturm, ein Vielfaches der Grenze auf einmal, kann Stufen überspringen, ein offensichtlicher Angriff beginnt also nicht ganz unten.
- Bleibt eine Adresse ein volles Rücksetzfenster lang unauffällig, beginnt sie wieder auf der ersten Stufe. Ein einmaliger Fehler hinterlässt keine bleibende Spur.
Die Leiter zählt frühere Sperren einer Adresse, nicht einzelne Fehlversuche. Falsche Zwei-Faktor-Codes und falsche Reset-Codes werden außerdem mit einer wachsenden Verzögerung ausgebremst, bevor daraus eine Sperre wird, das Raten eines Codes ist also so aussichtslos wie das Raten eines Passworts.
So beobachten Sie die Leiter bei der Arbeit
Jede Sperre taucht zweimal auf. Das Ereignisprotokoll unter Aktivität hält das Ereignis fest, das sie ausgelöst hat, mit Sensor, Adresse und Zeit. Die Liste Gesperrt unter IP-Listen zeigt die Sperre selbst, mit ihrem Typ und der Spalte Gesperrt bis. Erscheint dieselbe Adresse ein paar Tage später mit einem späteren Ablauf erneut, hat die Leiter sie eine Stufe höher gesetzt. Eine Adresse, die lange genug fernbleibt, verschwindet aus der Liste und beginnt von vorn, falls sie je zurückkehrt.
Auf einer gut besuchten Website ist das Muster leicht zu lesen: Die meisten Adressen werden einmal gesperrt und kommen nie wieder, einige wenige kehren immer wieder zurück und landen auf den längsten Stufen. Genau bei denen lohnt sich eine manuelle dauerhafte Sperre oder eine Meldung an den Hoster.
Wo Sie Sperren einschalten und testen
Öffnen Sie Schutz, Karte Sperren & Eskalation. Die normale Ansicht zeigt die beiden Schalter, auf die es im Alltag ankommt:
- Automatische Sperren weist eine Adresse ab, sobald eine Sensor-Grenze überschritten ist. Ausgeschaltet protokollieren die Sensoren nur.
- Nur-Melden-Modus protokolliert jede Entscheidung, ohne sie umzusetzen, so sehen Sie, was die Einstellungen tun würden, bevor sie es tun.
Der Expertenmodus zeigt die Leiter selbst
Schalten Sie im Seitenkopf den Expertenmodus ein, um die Leiter zu bearbeiten. Dann erscheinen in derselben Karte diese Einstellungen:
| Einstellung | Was sie bewirkt |
|---|---|
| Eskalationsleiter | Schaltet progressive Sperren ein oder aus |
| Stufen der Eskalationsleiter (Minuten) | Die Dauer jeder Stufe als kommagetrennte Liste |
| Rücksetzfenster der Leiter (Tage) | Wie lange eine Adresse unauffällig bleiben muss, bevor sie wieder auf der ersten Stufe beginnt |
| Sperrdauer (Stunden) | Eine feste Dauer für jede Sperre, nur wirksam, wenn die Leiter aus ist |
| Community-Sperrschwelle (%) | Ab welchem Konfidenzwert eine dem Netzwerk bekannte Adresse abgewiesen wird |
| Tor-Exit-Nodes sperren | Weist Verkehr aus dem Tor-Netzwerk ab, im Tarif Professional |
| Kontakt-URL auf der Sperrseite | Eine Seite, über die gesperrte Besucher Sie erreichen |
Die Voreinstellungen passen für die meisten Websites. Verkürzen Sie die ersten Stufen, wenn Ihre Besucher sich oft Adressen teilen, und verlängern Sie die oberen Stufen, wenn ein Botnetz nach jeder Sperre zurückkommt.
Manuelle Sperren und die Whitelist haben immer Vorrang
Unter Aktivität, Reiter IP-Listen, nimmt das Formular Eine IP-Adresse sperren eine einzelne Adresse oder einen CIDR-Bereich entgegen, dazu einen Grund und eine Dauer: 24 Stunden, 3 Tage, 1 Woche, 30 Tage oder Dauerhaft. Gesperrte IPs aus CSV importieren fügt eine Liste einzelner Adressen in einem Schritt hinzu. Eine manuelle Sperre behält die gewählte Dauer, weil der automatische Weg jede bereits gesperrte Adresse überspringt.
Der Filter Sperrtyp trennt manuelle Sperren, automatische Sperren, Sperren über die Community-Reputation und Gruppensperren. Jede Zeile bietet Entsperren und Auf die Whitelist verschieben. Adressen und Bereiche auf der Whitelist werden nie automatisch gesperrt, Büronetz, VPN und Uptime-Monitor gehören also zuerst dorthin.
Was ein gesperrter Besucher sieht
Eine gesperrte Adresse erhält eine HTTP-403-Seite mit dem Titel Zugriff verweigert. Sie zeigt die IP des Besuchers, die Zeit, den Grund und einen Referenzcode und bietet die Schaltfläche Administrator kontaktieren, sobald Sie eine Kontakt-URL hinterlegen. Meldet sich jemand, führt Sie die Referenz direkt zum passenden Eintrag im Protokoll.
Die Seite weist jedes Cache-Plugin an, sie nicht zu speichern, WP Rocket, W3 Total Cache, WP Super Cache, LiteSpeed Cache und Cloudflare liefern also nie eine Sperre an einen echten Besucher aus. AJAX- und REST-Anfragen erhalten statt der Seite eine kurze JSON-Fehlermeldung. Nutzen Sie den optionalen Drop-in Extended Protection auf der Seite Werkzeuge, werden gesperrte Adressen schon vor dem Laden von WordPress abgewiesen, mit einem schlichten 403 und ohne die Seite. Das spart während eines Angriffs Serverlast.
Welcher Tarif enthält progressive Sperren?
Die Eskalationsleiter, manuelle Sperren, die Whitelist und die Sperrseite gehören zum kostenlosen Tarif und funktionieren im Lokalen Schutz ohne jede externe Verbindung. Professional ergänzt die Tor-Sperre und den Härtungsmodus, der die Grenzen während eines koordinierten Angriffs automatisch verschärft. Im Community-Netzwerk wird aus jeder Sperre außerdem eine anonymisierte Meldung, die die anderen Websites im Netzwerk warnt.
Fragen zum Sperren von Brute-Force-IPs in WordPress
Wie entsperre ich mich, wenn ich mich selbst ausgesperrt habe?
Melden Sie sich aus einem anderen Netz an, etwa über die Mobilfunkverbindung Ihres Telefons, und entfernen Sie den Eintrag unter Aktivität, Reiter IP-Listen, mit Entsperren. Mit Shell-Zugang hebt auch der WP-CLI-Befehl des Plugins die Sperre auf. Setzen Sie danach Ihr eigenes Netz auf die Whitelist, damit das nicht wieder passiert.
Sperren progressive Sperren Nutzer hinter einer gemeinsamen IP aus?
Eine gemeinsam genutzte Adresse steigt nur dann die Leiter hinauf, wenn die Angriffe von ihr weitergehen, und ein unauffälliges Rücksetzfenster bringt sie zurück auf die kürzeste Stufe. Büros und Schulen mit fester Adresse lassen sich auf die Whitelist setzen. In Mobilfunknetzen hält die kurze erste Stufe den Schaden bei wenigen Minuten.
Kann ich statt der Leiter eine feste Sperrdauer verwenden?
Schalten Sie im Expertenmodus die Eskalationsleiter aus und setzen Sie die Sperrdauer (Stunden). Jede automatische Sperre dauert dann genau so lange, unabhängig von der Vorgeschichte der Adresse. Den meisten Websites dient die Leiter besser, weil sie Wiederholungstäter härter trifft, ohne einmalige Fehler zu bestrafen.
Warum steht in der Sperrliste die Adresse meines Proxys?
Hinter Cloudflare, einem Load Balancer oder einem Reverse Proxy sieht WordPress den Proxy statt des Besuchers. Setzen Sie im Expertenmodus in der Karte Erkennung & Schwellwerte den Header für die Besucher-Adresse und die vertrauenswürdigen Proxy-Bereiche. Ohne diese Angaben würde eine einzige Sperre jeden Besucher aussperren, der über denselben Proxy kommt.
Weiterlesen
- Die 16 Angriffssensoren
- Der Härtungsmodus unter Angriff
- Bedrohungsdaten aus der Community
- Der Schnellstart von Hive
Die Hive-Dokumentation beschreibt die Sperr-Eskalation, die Proxy-Einstellungen und die Verträglichkeit mit Cache-Plugins im Detail.