WordPress'te DDoS Saldırısı Nasıl Durdurulur ve Önlenir

WordPress, güçlü özellikler ve güvenli bir kod tabanı sunduğu için dünyanın en popüler web sitesi oluşturucularından biridir. Ancak bu, WordPress'i veya başka herhangi bir yazılımı internette yaygın olan kötü niyetli DDoS saldırılarından korumaz.

DDoS saldırıları web sitelerini yavaşlatabilir ve sonunda kullanıcılar tarafından erişilemez hale gelebilir. Bu saldırılar hem küçük hem de büyük web sitelerini hedef alabilir.

Şimdi, WordPress kullanan küçük bir işletme web sitesinin sınırlı kaynaklarla bu tür DDoS saldırılarını nasıl önleyebileceğini merak ediyor olabilirsiniz?

Bu kılavuzda, WordPress'te bir DDoS saldırısını nasıl etkili bir şekilde durduracağınızı ve önleyeceğinizi göstereceğiz. Amacımız, tam bir profesyonel gibi bir DDoS saldırısına karşı web sitenizin güvenliğini nasıl yöneteceğinizi öğrenmenize yardımcı olmaktır.

DDoS Saldırısı nedir?

Dağıtılmış Hizmet Reddi saldırısının kısaltması olan DDoS saldırısı, bir WordPress barındırma sunucusundan veri göndermek veya istemek için güvenliği ihlal edilmiş bilgisayarları ve cihazları kullanan bir tür siber saldırıdır. Bu isteklerin amacı, hedeflenen sunucuyu yavaşlatmak ve sonunda çökertmektir.

DDoS saldırıları, DoS (Hizmet Reddi) saldırılarının gelişmiş bir şeklidir. DoS saldırısından farklı olarak, farklı bölgelere yayılmış birden çok güvenliği ihlal edilmiş makineden veya sunucudan yararlanırlar.

Güvenliği ihlal edilmiş bu makineler, bazen botnet olarak adlandırılan bir ağ oluşturur. Etkilenen her makine bir bot görevi görür ve hedeflenen sisteme veya sunucuya saldırılar başlatır.

Bu, bir süre fark edilmeden gitmelerine ve bloke edilmeden önce maksimum hasara neden olmalarını sağlar.

En büyük internet şirketleri bile DDoS saldırılarına karşı savunmasızdır.

2018 yılında, popüler bir kod barındırma platformu olan GitHub, sunucularına saniyede 1,3 terabayt trafik gönderen büyük bir DDoS saldırısına tanık oldu.

Ayrıca, DYN'ye (bir DNS servis sağlayıcısı) yapılan kötü şöhretli 2016 saldırısını da hatırlayabilirsiniz. Bu saldırı, Amazon, Netflix, PayPal, Visa, AirBnB, The New York Times, Reddit ve diğer binlerce web sitesi gibi birçok popüler web sitesini etkilediği için dünya çapında haber kapsamına girdi.

DDoS Saldırıları Neden Olur?

DDoS saldırılarının arkasında birkaç motivasyon var. Aşağıda bazı yaygın olanlar verilmiştir:

• Sadece sıkılmış ve maceraperest bulan teknik açıdan anlayışlı insanlar
• Siyasi bir noktaya değinmeye çalışan insanlar ve gruplar
• Belirli bir ülke veya bölgenin web sitelerini ve hizmetlerini hedefleyen gruplar
• Belirli bir işletmeye veya hizmet sağlayıcıya parasal zarar vermek için hedefli saldırılar
• Şantaj yapmak ve fidye parası toplamak için

Kaba Kuvvet Saldırısı ile DDoS Saldırısı arasındaki fark nedir?

Kaba Kuvvet Saldırıları genellikle bir sisteme yetkisiz erişim elde etmek için parolaları tahmin ederek veya rastgele kombinasyonlar deneyerek bir sisteme girmeye çalışır.

DDoS saldırıları, yalnızca hedeflenen sistemi çökertmek ve onu erişilemez hale getirmek veya yavaşlatmak için kullanılır.

Ayrıntılar için adım adım talimatlarla WordPress'te kaba kuvvet saldırılarının nasıl engelleneceğine ilişkin kılavuzumuza bakın.

Bir DDoS saldırısının neden olabileceği zararlar nelerdir?

DDoS saldırıları, bir web sitesini erişilemez hale getirebilir veya performansı azaltabilir. Bu, kötü kullanıcı deneyimine, iş kaybına neden olabilir ve saldırıyı azaltmanın maliyeti binlerce dolar olabilir.

İşte bu maliyetlerin bir dökümü:

• Web sitesine erişilememesi nedeniyle iş kaybı
• Hizmet kesintisi ile ilgili sorguları yanıtlamak için müşteri desteği maliyeti
• Güvenlik hizmetleri veya desteği alarak saldırıyı azaltmanın maliyeti
• En büyük maliyet, kötü kullanıcı deneyimi ve marka itibarıdır.

WordPress'te DDoS Saldırısı Nasıl Durdurulur ve Önlenir

DDoS saldırıları akıllıca gizlenebilir ve üstesinden gelinmesi zor olabilir. Ancak, bazı temel güvenlik en iyi uygulamalarıyla, DDoS saldırılarının WordPress web sitenizi etkilemesini önleyebilir ve kolayca durdurabilirsiniz.

WordPress sitenize DDoS saldırılarını önlemek ve durdurmak için atmanız gereken adımlar şunlardır.

DDoS / Brute Force Saldırı Dikeylerini Kaldırın

WordPress ile ilgili en iyi şey, oldukça esnek olmasıdır. WordPress, üçüncü taraf eklentilerin ve araçların web sitenize entegre olmasına ve yeni özellikler eklemesine olanak tanır.

Bunu yapmak için WordPress, programcılara birkaç API sunar. Bu API'ler, üçüncü taraf WordPress eklentilerinin ve hizmetlerinin WordPress ile etkileşime girebileceği yöntemlerdir.

Bununla birlikte, bu API'lerden bazıları, bir DDoS saldırısı sırasında tonlarca istek göndererek de kullanılabilir. Bu istekleri azaltmak için bunları güvenle devre dışı bırakabilirsiniz.

WordPress'te XML RPC'yi devre dışı bırakın

XML-RPC, üçüncü taraf uygulamaların WordPress web sitenizle etkileşime girmesine izin verir. Örneğin, WordPress uygulamasını mobil cihazınızda kullanmak için XML-RPC'ye ihtiyacınız var.

Mobil uygulamayı kullanmayan kullanıcıların büyük çoğunluğu gibiyseniz, aşağıdaki kodu web sitenizin .htaccess dosyasına ekleyerek XML-RPC'yi devre dışı bırakabilirsiniz.

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternatif yöntemler için, WordPress'te XML-RPC'nin nasıl kolayca devre dışı bırakılacağına ilişkin kılavuzumuza bakın.

WordPress'te REST API'yi devre dışı bırakın

WordPress JSON REST API, eklentilerin ve araçların WordPress verilerine erişmesine, içeriği güncellemesine ve/veya silmesine izin verir. WordPress'te REST API'yi nasıl devre dışı bırakabileceğiniz aşağıda açıklanmıştır.

Yapmanız gereken ilk şey, Disable WP Rest API eklentisini kurmak ve etkinleştirmektir. Daha fazla ayrıntı için, bir WordPress eklentisinin nasıl kurulacağına ilişkin adım adım kılavuzumuza bakın.

Eklenti kutudan çıkar çıkmaz çalışır ve oturum açmamış tüm kullanıcılar için REST API'yi devre dışı bırakır.

WAF'yi (Web Sitesi Uygulama Güvenlik Duvarı) etkinleştirin

REST API ve XML-RPC gibi saldırı vektörlerini devre dışı bırakmak, DDoS saldırılarına karşı sınırlı koruma sağlar. Web siteniz hala normal HTTP isteklerine karşı savunmasızdır.

Kötü makine IP'lerini yakalamaya çalışarak ve bunları manuel olarak engelleyerek küçük bir DOS saldırısını hafifletebilirsiniz, ancak bu yaklaşım büyük bir DDoS saldırısıyla uğraşırken çok etkili değildir.

Şüpheli istekleri engellemenin en kolay yolu, bir web sitesi uygulaması güvenlik duvarını etkinleştirmektir.

Bir web sitesi uygulaması güvenlik duvarı, web siteniz ile gelen tüm trafik arasında bir proxy görevi görür. Tüm şüpheli istekleri yakalamak ve web sitesi sunucunuza ulaşmadan önce engellemek için akıllı algoritma kullanır.

En iyi WordPress güvenlik eklentisi ve web sitesi güvenlik duvarı olduğu için Sucuri'yi kullanmanızı öneririz. DNS düzeyinde çalışır, bu da web sitenize bir istekte bulunmadan önce bir DDoS saldırısını yakalayabilecekleri anlamına gelir.

Sucuri için fiyatlandırma ayda 20 dolardan başlar (yıllık olarak ödenir).

WPBeginner'da Sucuri kullanıyoruz. Web sitemize yapılan yüz binlerce saldırıyı engellemeye nasıl yardımcı olduklarına ilişkin örnek olay incelememize bakın.

Alternatif olarak, Cloudflare'ı da kullanabilirsiniz. Ancak Cloudflare'nin ücretsiz hizmeti yalnızca sınırlı DDoS koruması sağlar. Ayda yaklaşık 200 ABD Doları tutarındaki 7. katman DDoS koruması için en azından iş planlarına kaydolmanız gerekir.

Ayrıntılı bir yan yana karşılaştırma için Sucuri vs Cloudflare hakkındaki makalemize bakın.

Not: Uygulama düzeyinde çalışan Web Sitesi Uygulama Güvenlik Duvarları (WAF'ler), bir DDoS saldırısı sırasında daha az etkilidir. Web sunucunuza ulaştığında trafiği engellerler, bu nedenle genel web sitenizin performansını etkilemeye devam eder.

Brute Force veya DDoS Saldırısı Olduğunu Öğrenmek

Hem kaba kuvvet hem de DDoS saldırıları sunucu kaynaklarını yoğun bir şekilde kullanır, bu da semptomlarının oldukça benzer göründüğü anlamına gelir. Web siteniz yavaşlar ve çökebilir.

Sucuri eklentisinin giriş raporlarına bakarak kaba kuvvet saldırısı mı yoksa DDoS saldırısı mı olduğunu kolayca öğrenebilirsiniz.

Basitçe, ücretsiz Sucuri eklentisini kurun ve etkinleştirin ve ardından Sucuri Güvenliği » Son Girişler sayfasına gidin.

Çok sayıda rastgele oturum açma isteği görüyorsanız, bu, wp-admin'inizin kaba kuvvet saldırısı altında olduğu anlamına gelir. Bunu azaltmak için WordPress'te kaba kuvvet saldırılarının nasıl engelleneceğine ilişkin kılavuzumuza göz atabilirsiniz.

DDoS Saldırısı Sırasında Yapılması Gerekenler

Bir web uygulaması güvenlik duvarınız ve diğer korumalarınız mevcut olsa bile DDoS saldırıları gerçekleşebilir. CloudFlare ve Sucuri gibi şirketler bu saldırılarla düzenli olarak ilgilenir ve çoğu zaman kolayca azaltabilecekleri için asla duymazsınız.

Ancak bazı durumlarda, bu saldırılar büyük olduğunda sizi yine de etkileyebilir. Bu durumda, DDoS saldırısı sırasında ve sonrasında ortaya çıkabilecek sorunları azaltmak için hazırlıklı olmak en iyisidir.

Aşağıda, bir DDoS saldırısının etkisini en aza indirmek için yapabileceğiniz birkaç şey bulunmaktadır.

1. Ekip üyelerinizi uyarın

Bir ekibiniz varsa, iş arkadaşlarınızı konu hakkında bilgilendirmeniz gerekir. Bu, müşterilerin müşteri desteği sorgularına hazırlanmalarına, olası sorunları aramalarına ve saldırı sırasında veya sonrasında yardımcı olmalarına yardımcı olacaktır.

2. Müşterileri rahatsızlık hakkında bilgilendirin

Bir DDoS saldırısı, web sitenizdeki kullanıcı deneyimini etkileyebilir. Bir WooCommerce mağazası işletiyorsanız, müşterileriniz sipariş veremez veya hesaplarına giriş yapamayabilir.

Web sitenizin teknik sorunlar yaşadığını ve yakında her şeyin normale döneceğini sosyal medya hesaplarınız üzerinden duyurabilirsiniz.

Saldırı büyükse, müşterilerle iletişim kurmak ve onlardan sosyal medya güncellemelerinizi takip etmelerini istemek için e-posta pazarlama hizmetinizi de kullanabilirsiniz.

VIP müşterileriniz varsa, bireysel telefon görüşmeleri yapmak ve hizmetleri geri yüklemek için nasıl çalıştığınızı onlara bildirmek için iş telefonu hizmetinizi kullanmak isteyebilirsiniz.

Bu zor zamanlarda iletişim, markanızın itibarını güçlü tutmada büyük bir fark yaratır.

3. Barındırma ve Güvenlik Desteği ile İletişime Geçin

WordPress barındırma sağlayıcınızla iletişime geçin. Tanık olabileceğiniz saldırı, sistemlerini hedef alan daha büyük bir saldırının parçası olabilir. Bu durumda, size durumla ilgili en son güncellemeleri sağlayabileceklerdir.

Güvenlik Duvarı hizmetinize başvurun ve web sitenizin bir DDoS saldırısı altında olduğunu bildirin. Durumu daha da hızlı hafifletebilirler ve size daha fazla bilgi sağlayabilirler.

Sucuri gibi güvenlik duvarı sağlayıcılarında, ayarlarınızı birçok isteği engellemeye ve web sitenizi normal kullanıcılar için erişilebilir hale getirmeye yardımcı olan Paranoid modunda olacak şekilde ayarlayabilirsiniz.

WordPress Web Sitenizi Güvende Tutma

WordPress kutunun dışında oldukça güvenlidir. Ancak, dünyanın en popüler web sitesi oluşturucusu olarak, genellikle bilgisayar korsanları tarafından hedef alınır.

Neyse ki, web sitenizi daha da güvenli hale getirmek için uygulayabileceğiniz birçok en iyi güvenlik uygulaması vardır.

Yeni başlayanlar için eksiksiz bir adım adım WordPress güvenlik kılavuzu derledik. Web sitenizi ve verilerini yaygın tehditlere karşı korumak için en iyi WordPress güvenlik ayarlarında size yol gösterecektir.

Bu makalenin, WordPress'te bir DDoS saldırısını nasıl engelleyeceğinizi ve önleyeceğinizi öğrenmenize yardımcı olduğunu umuyoruz. Ayrıca, en yaygın WordPress hataları ve bunların nasıl düzeltileceğiyle ilgili kılavuzumuza da göz atmak isteyebilirsiniz.

Bu makaleyi beğendiyseniz, lütfen WordPress video eğitimleri için YouTube Kanalımıza abone olun. Bizi Twitter ve Facebook'ta da bulabilirsiniz.