Cómo detener y prevenir un ataque DDoS en WordPress

WordPress es uno de los creadores de sitios web más populares del mundo porque ofrece funciones potentes y una base de código segura. Sin embargo, esto no protege a WordPress ni a ningún otro software contra los ataques DDoS maliciosos, que son comunes en Internet. Los ataques DDoS pueden ralentizar los sitios web y, en última instancia, hacerlos inaccesibles para los usuarios. Estos ataques pueden tener como objetivo sitios web pequeños y grandes. Ahora es posible que se pregunte cómo puede un sitio web para pequeñas empresas que utilice WordPress prevenir tales ataques DDoS con recursos limitados. En esta guía, le mostraremos cómo detener y prevenir eficazmente un ataque DDoS en WordPress. Nuestro objetivo es ayudarlo a aprender cómo administrar la seguridad de su sitio web contra un ataque DDoS como un profesional.

¿Qué es un ataque DDoS?

El ataque DDoS, abreviatura de Distributed Denial of Service Attack, es un tipo de ataque cibernético que utiliza computadoras y dispositivos comprometidos para enviar o solicitar datos desde un servidor de alojamiento de WordPress. El propósito de estas solicitudes es ralentizar y posiblemente bloquear el servidor de destino. Los ataques DDoS son una forma evolucionada de ataques DoS (denegación de servicio). A diferencia de un ataque DoS, aprovechan múltiples máquinas o servidores comprometidos distribuidos en diferentes regiones. Estas máquinas comprometidas forman una red, a veces denominada botnet. Cada máquina afectada actúa como un bot y lanza ataques al sistema o servidor objetivo. Esto les permite pasar desapercibidos por un tiempo y hacer el máximo daño antes de ser bloqueados.

Incluso las empresas de Internet más grandes son vulnerables a los ataques DDoS. En 2018, GitHub, una popular plataforma de alojamiento de código, fue testigo de un ataque DDoS masivo que envió 1.3 terabytes por segundo de tráfico a sus servidores. También puede recordar el notorio ataque de 2016 a DYN (un proveedor de servicios DNS). Este ataque recibió cobertura de los medios de todo el mundo, ya que afectó a muchos sitios web populares como Amazon, Netflix, PayPal, Visa, AirBnB, The New York Times, Reddit y miles de otros sitios web.
¿Por qué ocurren los ataques DDoS?
Hay varias motivaciones detrás de los ataques DDoS. A continuación, se muestran algunos ejemplos comunes:

• Personas con conocimientos técnicos que están aburridos y les resulta aventurero
• Personas y grupos que intentan hacer un punto político.
• Grupos dirigidos a sitios web y servicios en un país o región en particular
• Ataques dirigidos contra una empresa o proveedor de servicios específicos para causarles un daño financiero.
• Chantajear y cobrar el dinero del rescate

¿Cuál es la diferencia entre un ataque de fuerza bruta y un ataque DDoS?

Los ataques de fuerza bruta generalmente intentan ingresar a un sistema adivinando contraseñas o probando combinaciones aleatorias para obtener acceso no autorizado a un sistema. Los ataques DDoS se utilizan únicamente para bloquear el sistema objetivo, haciéndolo inaccesible o ralentizándolo. Para obtener más detalles, consulte nuestra guía sobre cómo bloquear ataques de fuerza bruta en WordPress con instrucciones paso a paso.
¿Qué daño puede causar un ataque DDoS?
Los ataques DDoS pueden hacer que un sitio web sea inaccesible o reducir el rendimiento. Esto puede llevar a una mala experiencia del usuario, pérdida de negocio y los costos de mitigar el ataque pueden ascender a miles de dólares. A continuación, se muestra un desglose de esos costos:

• Pérdida de negocio debido a la inaccesibilidad del sitio web.
• Costo de la atención al cliente para responder a consultas relacionadas con interrupciones del servicio.
• Costo de mitigación de ataques mediante la contratación de servicios o asistencia de seguridad
• El mayor costo es la mala experiencia del usuario y la reputación de la marca

Cómo detener y prevenir ataques DDoS en WordPress

Los ataques DDoS pueden disfrazarse inteligentemente y ser difíciles de gestionar. Sin embargo, con algunas mejores prácticas de seguridad básicas, puede prevenir y evitar fácilmente que los ataques DDoS afecten su sitio web de WordPress. Estos son los pasos para prevenir y detener los ataques DDoS en su sitio de WordPress.

Eliminar verticales de ataque DDoS / Fuerza bruta

Lo mejor de WordPress es que es muy flexible. WordPress permite que los complementos y herramientas de terceros se integren con su sitio web y agreguen nuevas funciones. Para hacer esto, WordPress pone a disposición de los programadores varias API. Estas API son métodos en los que los complementos y servicios de WordPress de terceros pueden interactuar con WordPress. Sin embargo, algunas de estas API también pueden explotarse durante un ataque DDoS enviando un montón de solicitudes. Puede desactivarlos de forma segura para reducir estas solicitudes.
Deshabilitar XML RPC en WordPress
XML-RPC permite que aplicaciones de terceros interactúen con su sitio web de WordPress. Por ejemplo, necesita XML-RPC para usar la aplicación de WordPress en su dispositivo móvil. Si es como la gran mayoría de los usuarios que no usan la aplicación móvil, puede desactivar XML-RPC simplemente agregando el siguiente código al archivo .htaccess de su sitio web. # Bloquear solicitudes xmlrpc.php de WordPress

ordenar rechazar, permitir rechazar todo

Para conocer otros métodos, consulte nuestra guía sobre cómo deshabilitar fácilmente XML-RPC en WordPress.
Deshabilitar la API REST en WordPress
La API REST JSON de WordPress permite que los complementos y herramientas accedan a los datos de WordPress, actualicen el contenido y / o incluso lo eliminen. A continuación, se explica cómo deshabilitar la API REST en WordPress. Lo primero que debe hacer es instalar y activar el complemento Disable WP Rest API. Para obtener más detalles, consulte nuestra guía paso a paso sobre cómo instalar un complemento de WordPress. El complemento funciona de inmediato y simplemente deshabilitará la API REST para todos los usuarios no conectados.

Habilitar WAF (firewall de aplicaciones de sitios web)

La desactivación de vectores de ataque como REST API y XML-RPC proporciona una protección limitada contra ataques DDoS. Su sitio web sigue siendo vulnerable a las solicitudes HTTP normales. Aunque puede mitigar un pequeño ataque DOS intentando capturar las direcciones IP de la máquina incorrecta y bloquearlas manualmente, este enfoque no es muy efectivo cuando se trata de un gran ataque DDoS. La forma más sencilla de bloquear solicitudes sospechosas es habilitar un firewall de aplicaciones de sitios web. Un firewall de aplicaciones de sitios web actúa como un proxy entre su sitio web y todo el tráfico entrante. Utiliza un algoritmo inteligente para detectar todas las solicitudes sospechosas y bloquearlas antes de que lleguen al servidor de su sitio web.

Recomendamos usar Sucuri porque es el mejor complemento de seguridad de WordPress y el mejor firewall de sitios web. Funciona a nivel de DNS, lo que significa que pueden detectar un ataque DDoS antes de realizar una solicitud a su sitio web. Los precios de Sucuri comienzan desde $ 20 por mes (pagado anualmente). Usamos Sucuri en MundoCMS. Consulte nuestro estudio de caso sobre cómo ayudan a bloquear cientos de miles de ataques en nuestro sitio web. También puede utilizar Cloudflare. Sin embargo, el servicio gratuito de Cloudflare solo ofrece protección DDoS limitada. Deberá registrarse al menos en su plan de negocios para la protección DDoS de capa 7, que cuesta alrededor de $ 200 por mes. Consulte nuestro artículo sobre Sucuri vs Cloudflare para obtener una comparación detallada en paralelo.
Notar: Los firewalls de aplicaciones de sitios web (WAF) que se ejecutan en el nivel de la aplicación son menos efectivos durante un ataque DDoS. Bloquean el tráfico una vez que ya ha llegado a su servidor web, lo que siempre afecta el rendimiento general de su sitio web.

Sepa si se trata de un ataque de fuerza bruta o DDoS

Los ataques de fuerza bruta y DDoS son un uso intensivo de los recursos del servidor, lo que significa que sus síntomas son bastante similares. Su sitio web se ralentizará y puede fallar. Puede saber fácilmente si se trata de un ataque de fuerza bruta o un ataque DDoS con solo mirar los informes de conexión del complemento Sucuri. Simplemente instale y active el complemento gratuito Sucuri y luego vaya a Sucuri Security »Últimas conexiones página.

Si ve una gran cantidad de solicitudes de inicio de sesión aleatorias, significa que su wp-admin está bajo un ataque de fuerza bruta. Para mitigarlo, puede consultar nuestra guía sobre cómo bloquear ataques de fuerza bruta en WordPress.

Cosas que hacer durante un ataque DDoS

Los ataques DDoS pueden ocurrir incluso si tiene un firewall de aplicaciones web y otras protecciones. Empresas como CloudFlare y Sucuri se enfrentan a estos ataques con regularidad, y la mayoría de las veces nunca se enterará de ellos porque pueden mitigarlos fácilmente. Sin embargo, en algunos casos, cuando estos ataques son graves, aún pueden afectarlo. En este caso, es mejor estar preparado para mitigar cualquier problema que pueda surgir durante y después del ataque DDoS. A continuación, se muestran algunos pasos que puede seguir para minimizar el impacto de un ataque DDoS.
1. Alerta a los miembros de tu equipo
Si tiene un equipo, debe informar a sus colegas sobre el problema. Esto los ayudará a prepararse para las solicitudes de atención al cliente, investigar posibles problemas y ayudarlos durante o después del ataque.
2. Informar a los clientes de los inconvenientes.
Un ataque DDoS puede afectar la experiencia del usuario en su sitio web. Si tiene una tienda WooCommerce, es posible que sus clientes no puedan realizar un pedido o iniciar sesión en su cuenta. Puede anunciar a través de sus cuentas de redes sociales que su sitio web está teniendo dificultades técnicas y que pronto todo volverá a la normalidad. Si el ataque es significativo, también puede utilizar su departamento de marketing por correo electrónico para conectarse con los clientes y pedirles que sigan las actualizaciones de sus redes sociales. Si tiene clientes VIP, es posible que desee utilizar el servicio telefónico de su trabajo para hacer llamadas telefónicas individuales y dejarlas ...