WordPress Üst Düzey Güvenlik Önlemlerini Arttırma

Yazar => KingSkrupellos - Cyberizm Digital Security Team

Konu Linki => https://www.cyberizm.org/cyberizm-wordpress-ust-duzey-guvenlik-onlemlerini-arttirma.html

[img]https://i.hizliresim.com/lbOOgJ.jpg[/img]

Konu Başlığı => WordPress Güvenlik Önlemlerini Arttırma ve İyileştirme Yöntemleri Adım Adım 2017 [ WordPress Üst Düzey Güvenlik Önlemlerini Arttırma Yolları ]

The Ultimate WordPress Security Guide Step By Step 2017

[img]https://i.hizliresim.com/ZO99yG.png[/img]

Yapılan Analizler Sonucunda WordPress Blogları

1) Hosting %41

2) Plugins %29

3) Temalar %22

4) Zayıf Şifreler %8

[img]https://i.hizliresim.com/2EJJ0A.png[/img]

[img]https://i.hizliresim.com/ByLLBp.png[/img]

[img]https://i.hizliresim.com/o6OOMb.png[/img]

Civarında Olduğu Görülmektedir.

1) İlk önce çok güvenli Hosting seçmemiz gerekiyor. Daha sonra Kurulumda Database Kullanıcı Adı ve Şifrelerini Çok Dikkatli Seçmeliyiz. Şifrelerimiz Çok Karmaşık Olması ve en az 15 hane yada 30 hanede olmasının büyük faydaları vardır.

2) WordPressi Kurarkan Veritabanı ön eki olarak wp_  tanımlı olarak geleceğinden dolayı wp_ yerine farklı bir isim koymak faydalıdır.

3) HEDEFSİTE/wp-login.php yerine farklı admin panel ismi değiştirmek ve Admin Kullanıcı Adı ve Şifresini Karmaşık Yapmak Güvenlik Önlemini Arttıracaktır

4) WordPress Security gibi en bilindik Eklentilerle Dosyaların yazma izinlerini deaktive etmemiz gerekir.

5) .htaccess dosyasındaki dosya yazma izinlerini mutlaka kendinize göre ayarlayınız.

6) Şimdi sıra wp-config‘de düzenleme yapmaya. Eşsiz doğrulama anahtarları WordPress’in kullanıcı parolalarının ve çerezlerinin  daha güvenilir olması için kullandığı bir araçtır.

7) Tema ve Eklentileri Kurarken sadece WordPress'in Tavsiye ettiği ve en güncel olanı takip ederek sitenize yükleyiniz. Eğer kuracağınız temalarda şifrelenmiş kısımlar varsa bu temaların güvenilir olup olmadıklarını teyit ettiriniz

8)  Sitenizdeki dosya yükleme kısımlarını zorunlu kalmadıkça kullanıcılara açmayınız. Shell dosyalarını buradan yükleyerek sitenizdeki kontrolü ellerine geçirebilirler. Dosya upload bölümlerini farklı bir host üzerinden yapınız ya da zorunlu kalmadıkça kullanmayınız.

9) WordPress Sürüm Versiyonunu Kesinlikle Gizlemelisiniz. Eski versiyonlarda bulunan açıkları bilen hackerlar sizin versiyonunuza ait açığı kolayca tespit edip hızlı bir şekilde sitenizi alt üst edebilir. WordPress Tabanlı Sitenizin Yedeğini düzenli olarak almayı unutmayınız.

10) WordPress Firewall gibi eklentiler kurarsanız sizin yararınıza olucaktır. Sucuri tavsiye edilebilir.

11) WordPress’in barındığı hostta aynı sunucuda bulunan diğer sitelere göz atın. Diğer siteler güvenli görünmüyorsa hostunuzu değiştirmenizi yada farklı size özel ip adresi almanızı öneririm. Sizin sitenizde açık olamsa dahi diğer sitelerdeki açıklardan yararlanıp sizin sitenize ulaşabilirler.

Single IP kullanmanızda fayda olacağını düşünüyorum. CloudFare gibi hostlar kullanarak gerçek sitenin IP Adresini saklamakta ve bunu tek IP'de göstermekte fayda var.

12 ) Oturum Açma Girişimlerini Önleyin  -  Tema Dosyanızdan Wordpress Tanımını Kaldırın  - Bilinmeyen Kaynaklara Güvenmeyin  - Kaba Kuvvet (Brute Force) Saldırılarına Karşı Önlem Alın yani hem panel yolunu değiştirip şifreleyin hemde Yönetici Kullanıcı Adı ve Şifrenizi Olabildiğince çok karmaşık hale getirin. Şifreleriniz defterinize not alın Bilgisayara şifreleriniz kaydetmeyin

Ve iki aşamalı şekilde telefondan ve emailden onaylı panelinize ve güvenli seçtiğiniz Hosting hesabınızdan giriş yapın.

13) Web sitenizi kullanıcılar dışında birde botlar ziyaret ederler. Bunlar Crawler’lar ( arama motorlarının index işlemi için kullandığı botlar ) birde kötü botlardır. Crawler’lar sitenizi index ederler ve buda sizin için yararlı olur. Fakat bazı kötü botlar sitenizin still kodlarının imajını almak sitenizde bulunan kişisel bilgileri taramak vs. gibi kötü işlemler yapıyor.

Bunlar sitenizin trafiği üzerinde olumsuz etki yaratabilir. Bu yüzden bu tarz botların sitenize girişini engellemek mantıklı olacaktır.

14) SSL Sertifikası Kullanımına Özen Gösterin. Yazar ve Diğer Kullanıcı Hesapları İzinlerine Reddedin. Sizden başka kim olursa olsun her ne amaçla olursa olsun siteyle alakalı şifreleriniz vermeyin.

Sosyal Mühendislik dedikleri SM olayında kimseyle muhatap olmayın ve uyanık olun. Her verilen linke tıklamayın. Ve Bilgisayarınızda Güvenlik Duvarlı Internet Security adı altındaki iyi Antivirüs programlarını yükleyin. Sadece en güvenilir kişilerle iletşime geçin. Kimseye kolay kolay inanmayın. Herşeye kanıt isteyin.

15) WordPress Sitenizdeki Hata Mesajlarını ve SQL Açıklarını Kesinlikle Gizleyin. Web Application Firewall (WAF)'u kurun ve  siz sitede olmasanız dahi Admin Bot Siteyi Sürekli Korusun.

16 ) Tüm Dosya Uzantılarını Özellikle PHP - ASP - HTML - PERL - PYTHON - RUBY - TXT  gibi vesaire Bilgisayar Dillerinin dosya uzantılarını kapatınız. WordPress üzerinde hiçbir yerinde Dosya Yükleme ve Dosya Yazma İzinleri Olmasın. Sadece Hosting Panel üzerinden yapın.

17) Directory Indexing and Browsing olarak adlandırılan WordPress Dosya Dizinlerini ve Göz Atmayı kesinlikle kapatmanızda fayda olabileceğini düşünüyorum.

18) WordPress Kullanıcı Yorumlarını Sadece sizin izninizle yayımlansın ve Panele girmezden evvel Güvenlik Sorusu + Cevabı + Telefon'a Onay Mesajı ve Email Hesabınızdan Onay mesajı ile ancak kendi panelinize girin. Paneli Sadece Makale yazmak için kullanın. Makale yazmak için ise sadece belli kişiler yapabilsin.

19) Şüpheli Hesapları Banlayın ve IP Kısıtlaması Getirin. Sadece sizin girebileceğiniz IP Adreslerini belirleyiniz. HotLinking HackLink gibi benzeri kod parçacıklarını izin vermeyin [ Nginx ve CDN örnek gösterilebilir  cnd.SİZİNSİTENİZ.gibi ]

20) Bozulan Eski WP Dosyalarını Mutlaka Tamir Ediniz. WP Security Search Gibi benzeri Eklentiler kurup zararlı yazılımlı kodları tarayın ve silin.

21) FTP - MySQL - Wp-Config.php Wp-Login.php ve Hosting Panellerinizdeki Tüm Şifreleri Olabildiğince çok karmaşık yapın ve isteyen her kişi panelinize girmemesi için dizin yolunu değiştirin ve şifreleyin.

22) DDOS denilen Denial of Service Saldırısından Korunmak için CloudFare Business Premium Hesabı Alın ve Gereken Ne kadar paraysa ödeyin. Robots.txt ve XMLRPC Dosyalarını kapatınız.

[img]https://i.hizliresim.com/2EJJVq.jpg[/img]

###########  SON ##################