WordPress is inmiddels uitgegroeid tot een veelzijdig systeem die op veel websites terug te vinden is. Sinds 2021 maakt ongeveer 40% van de websites gebruik van WordPress, deze data werd gepubliceerd in een artikel van W3Techs.com. Op het moment dat een systeem veel gebruikt wordt, kan dit vele voordelen hebben. Zo is de kans groot dat iemand anders ook al eens tegen dezelfde hindernis is aangelopen en zijn problemen vaak te verhelpen door een zoekmachine te gebruiken. Echter zit er ook een schaduwkant aan dit verhaal en die schaduwkant is de beveiliging. Geen zorgen, in dit artikel leg ik je uit waarom het beveiligingspakket WordFence mogelijk interessant voor je is.
Op het moment dat één systeem verantwoordelijk is voor zo veel verschillende websites en diensten, is het aantrekkelijk voor criminelen om juist deze systemen uit te pluizen naar mogelijke manieren waarop er misbruik van gemaakt kan worden. Op die manier kan 1 fout hergebruikt worden op heel veel verschillende websites.
Als je bekent bent met WordPress dan weet je vast dat je eenvoudig functionaliteiten kunt toevoegen met behulp van plugins. Deze plugins zijn kleine (of grote) systemen die draaien binnen jouw website. Hier zit echter wel een risico in. Binnen WordPress is het namelijk niet mogelijk om bepaalde plugins rechten te verlenen. Als ze geactiveerd zijn hebben ze dus volledige toegang tot alle data binnen jouw website. Zo kan een cookiebanner in theorie ook bij de gegevens van jouw klanten komen. Zoals je vast begrijpt is het daarom ook ontzettend belangrijk dat je alert bent met wat voor uitbreidingen je toevoegt aan jouw website.
Ik kan me voorstellen dat je niet gaat wachten tot het mis gaat en dat je meer hebt aan een paar bruikbare tips om jouw WordPress-installatie veilig te houden. Zoals je vast al eens hebt gehoord is het van belang dat zowel jouw basis-installatie, als jouw plugins, zo veel mogelijk up-to-date blijven. Als je dit secuur bij weet te houden dan wordt het risico dat jij slachtoffer wordt al aanzienlijk kleiner.
Er zijn natuurlijk ook een hoop technische oplossingen die je zou kunnen gaan toepassen en op het moment dat je financieel-afhankelijk bent van jouw website dan zou ik je dit ook zeker adviseren. Voor dit artikel zal ik mij richten op het instellen van een Web Application Firewall. Dit is een systeem die op jouw website het verkeer analyseert en bij abnormaliteiten aan de bel trekt.
Persoonlijk ben ik een fan van WordFence en ik wil je met dit artikel graag een beeld geven wat deze plugin precies doet en waarom dit zo belangrijk is voor jouw website.
Om dit artikel een beetje leesbaar te houden heb ik het zo veel mogelijk in losse onderdelen geschreven. Met het onderstaande overzicht kan je direct naar de delen die voor jou interessant zijn.
Wat is een firewall en waarom wil je deze op je site hebben?
Een firewall is een beveiligingsmiddel waarmee verschillende netwerken van elkaar gescheiden kunnen worden. Vervolgens is het mogelijk om op specifieke plekken uitzonderingen toe te voegen voor verkeer die wel toegestaan is, denk bijvoorbeeld aan een web of mailserver. Eigenlijk bekijkt een firewall dus het inkomende en uitgaande internetverkeer en beoordeeld of dit verkeer legitiem is. Door alleen diensten die echt nodig zijn toe te laten, verklein je het gebied waarop jij aangevallen kan worden. De laatste jaren gaat de term “firewall” steeds meer omvatten. Tegenwoordig zou dit ook kunnen betekenen dat dit systeem niet alleen kijkt of het verkeer zelf is toegestaan, maar ook in de inhoud correct is. De reden waarom het goed is om deze inhoud pas op jouw webserver te controleren zal ik zo verder toelichten.
Welke functies heeft WordFence
Waar WordFence vaak als firewall bestempeld wordt, is dit echtelijk slecht een klein deel van de functionaliteit. Zo biedt dit systeem ook opties om de login-omgeving veiliger te maken en kan het aangepaste bestanden detecteren. Hieronder zal ik een paar interessante onderdelen kort toelichten.
Web Application Firewall
Eén van de onderdelen van WordFence is de Web Application Firewall. Deze firewall draait op jouw webserver en dit is belangrijk omdat deze zo het verkeer kan inzien en hierop handelen zonder dat dit nadelen heeft voor de encryptie van het verkeer. Op het moment dat dit op een andere server moet gebeuren, zou het verkeer namelijk eerst weer ontsleuteld moeten worden. Het kiezen voor een WAF die op jouw eigen webserver draait heeft dus een voordeel op het gebied van de versleuteling.
Deze firewall biedt bescherming tegen veel voorkomende aanvallen. Deze aanvallen zijn hoofdzakelijk gericht op kwetsbaarheden van populaire plugins of thema’s. Wederom een goede reden om alles tijdig up-to-date te brengen!
Omdat deze beveiliging actief is voordat het merendeel van WordPress zelf geladen wordt, kunnen aanvallen beëindigd worden voordat ze gevoelige delen van jouw website kunnen raken. Enkele soorten aanvallen waar WordFence bescherming tegen biedt zijn: Cross Site Scripting, Malicious File Upload, Directory Traversal, Local File Inclusion en External Entity Expansion. Mocht je meer informatie willen over dit soort aanvallen dan heb je geluk! Binnenkort komt er een artikel uit die deze aanvallen in detail uitlegt. Zodra deze gepubliceerd is zal ik hier natuurlijk het linkje plaatsen.
Security Scanner
Deze scanner kan je vergelijken met een antivirusscan die je ook op je computer gebruikt. Met enige regelmaat scant dit systeem alle bestanden van jouw website. Op het moment dat er verdachte bestanden of bekende fouten worden aangetroffen zal deze alarm slaan.
Naast het scannen van de bestanden, controleert hij ook de sterkte van de gebruikte wachtwoorden en de gebruikersaccounts op de site. Je ontvangt bijvoorbeeld ook een melding als een wachtwoord van één van je gebruikers voorkomt in een datalek. Op die manier heb jij net wat meer zekerheid over de veiligheid van de wachtwoorden. Mocht je een paar handige tips zoeken voor het bedenken van een sterk wachtwoord, mogelijk is dit artikel dan interessant voor jou!
Ook vergelijkt deze scan de plugin en thema-bestanden met de officiële repository en op het moment dat de bestanden niet overeenkomen zal je op de hoogte worden gebracht. Dit zorgt ervoor dat er nooit een bestand ongemerkt aangepast kan worden.
Live inzichten in het verkeer op jouw website
Deze module geeft een real-time beeld van het verkeer op jouw website. Omdat deze data op server-niveau verzameld wordt, ben je niet afhankelijk van externe tools zoals Google Analytics om te zien waar bezoekers vandaan komen. Daarnaast geeft deze module ook inzicht in de bots die jouw website bezoeken. Op het moment dat je abnormaliteiten tegenkomt, kan het handig zijn om traffic-logging aan te zetten. Op dat moment wordt alle data van de bezoekers bewaard zodat je deze later gestructureerd door kan kijken om beveiligingsincidenten te analyseren.
Two-factor authentication
Two-factor authentication, ook wel 2fa genoemd, is een extra beveiligingsoptie die je op account-niveau kan toepassen. Zodra dit actief is, is het niet meer mogelijk om alleen met een wachtwoord in te loggen. Naast het wachtwoord is er dan ook een unieke code nodig die een aantal keer per minuut veranderd. Het doel hiervan is dan iemand die inlogt niet alleen het wachtwoord moet bezitten, maar ook een apparaat waar deze code op staat (vaak een telefoon). Binnen WordFence kan je instellen welke gebruikers toegang hebben tot deze extra beveiliging en voor wie het verplicht is. Mijn advies is om dit altijd te verplichten voor alle gebruikers die publicatie-rechten hebben.