LWS Protect: Application Firewall für die Sicherheit Ihrer Webseiten

Procédure

Einführung in LWS Protect

Das Tool LWS Protect, das Sie im Abschnitt "Sicherheit" Ihres cPanels finden, ermöglicht es Ihnen, Ihre Website mit wenigen Klicks zu sichern, indem Sie die Sicherheitsregeln vor dem Webserver Ihres Hosting-Angebots anpassen.

Diese Sicherheitsregeln sind wirksam, sobald der Verkehr vor dem Webserver eintrifft, weit über Apache oder PHP hinaus, was Ihnen eine starke Einsparung von Ressourcen und eine erhöhte Effizienz ermöglicht. HTTP-Anfragen werden von der in Fastest Cache integrierten Anwendungs-Firewall analysiert, bevor sie an den Webserver weitergeleitet werden, also viel früher als ModSecurity oder sogar Ihre Sicherheitsplugins.

Neben den einfachen Sicherheitsregeln, die ModSecurity anbietet, verwendet LWS Protect auch externe Tools zur Analyse der Reputation sowie intern entwickelte Sicherheitsregeln als Reaktion auf Angriffe, die von unseren Systemadministratoren identifiziert wurden.

Zusammenfassung der LWS Protect-Regeln

Warum sollte man LWS Protect wählen, anstatt ein Sicherheitsplugin zu installieren?

Im Gegensatz zu den Sicherheitsplugins, die für CMS bereitgestellt werden, wirkt LWS Protect vor dem Webserver, noch bevor PHP ausgeführt werden kann. Im Gegensatz dazu erfordern Sicherheitsplugins für CMS, dass PHP ausgeführt wird und zumindest ein Teil des CMS gestartet ist, was jede Anfrage ressourcenintensiv macht und somit die Leistung anderer Besucher der Website negativ beeinflusst. Zugegeben, bei einer kleinen Website kann dieses Problem unauffällig und transparent sein, aber in größerem Maßstab können Sie Ihr Webhosting-Paket überlasten, insbesondere wenn Sie viele gleichzeitige Besucher haben und diese alle auf dynamische Elemente (= erfordern die Ausführung von PHP) zugreifen.

LWS Protect löst dieses Problem, indem es die Anfragen vor dem Webserver filtert, also vor der Ausführung von PHP und vor dem Start des CMS, noch bevor der Webserver überhaupt etwas tut. Wenn Sie also beispielsweise annehmen, dass Sie 1000 gleichzeitige Besucher auf Ihrer WordPress-Website haben und 50% davon bösartig sind, vermeiden Sie also 500 Ausführungen Ihres CMS und 500 Ausführungen von PHP. Sie sparen sowohl RAM als auch MySQL-Abfragen und verhindern, dass diese bösartigen Besuche die Leistung Ihrer echten Besucher beeinträchtigen können.

Die LWS Protect-Regelsets

Über das Symbol " LWS Protect " in Ihrem cPanel können Sie sofort ein Regelset aktivieren, um ein generisches Sicherheitsprofil anzuwenden. LWS bietet heute drei Sicherheitsprofile an:

• Hoch: für Webseiten, die regelmäßig Ziel von Angriffen sind.
• Niedrig: Für die normale Nutzung bestimmt (standardmäßig aktiviert).
• Aus: deaktiviert alle LWS Protect-Regelsets.

Um das aktive Regelset auf einer Webseite zu ändern, klicken Sie auf die Sicherheitsstufe, die mit dem betreffenden Domainnamen verbunden ist (1) und wählen Sie eine neue Sicherheitsstufe (2) :

LWS Protect Sicherheitsregeln anpassen.

Sie können die Sicherheitsregeln von LWS Protect auch individuell anpassen, indem Sie auf " Anpassen " klicken:

Die von LWS Protect angebotenen Sicherheitsregeln sind je nach ihrem Wirkungsbereich in verschiedenen Kategorien zusammengefasst:

• Die generischen Regeln richten sich an alle Websites.
• Die WordPress-Regeln wurden entwickelt, um den Zugang zu einer WordPress-Website zu sichern.
• Die unter dem Reiter "Bots" zusammengefassten Regeln beeinflussen den Zugriff auf Robots und Crawling-Tools.
• Die IP-Reputationsregeln basieren auf IP-Adressreputationssystemen.

Jede Sicherheitsregel verfügt über mindestens zwei Zustände: aktiv und inaktiv. Wenn Sie bestimmte Regeln aktivieren, können Sie ihre Einstellungen verfeinern:

Die Regeln sind sofort aktiv und mit allen unseren anderen Tools zur Leistungsoptimierung kompatibel: Fastest Cache, LiteSpeed und Ipxchange.

Browserüberprüfung auf gängigen Verwaltungsseiten.

Empfohlene Regel.

Diese Regel implementiert eine Vorabprüfung beim Zugriff auf gängige Administrationsseiten (wp-admin, administrator, admin*, wp-login.php, ...), um Tools zu blockieren, die sich als Webbrowser ausgeben. Die Überprüfung erfolgt durch das Senden einer Captcha-Seite, um sicherzustellen, dass die vermeintlichen Anfragen von Browsern tatsächlich von Menschen hinter einem Webbrowser und nicht von einem Bot gestellt werden.

Blockieren Sie den HTTP-Zugriff auf aktuelle Entwicklungsordner.

Diese Regel wird empfohlen.

Diese Regel verhindert den HTTP-Zugriff auf gängige Entwicklungsordner wie .sql-Dateien, .git-Ordner, .env-Dateien. Dadurch wird ein Informationsleck verhindert, falls Sie während der Entwurfsphase vergessen haben, z. B. eine .sql-Sicherungsdatei auf Ihrer Website zu löschen.

HTTP-Zugriffe auf .php-Dateien blockieren.

Mit Vorsicht zu aktivieren. Nicht kompatibel mit WordPress.

Diese Regel blockiert den direkten Zugriff auf .php-Dateien, indem sie den Zugriff auf alle URLs mit dem Begriff ".php" verhindert. Dadurch wird eine mögliche Umgehung der URL-Umschreibungen, die Sie in Ihrer .htaccess-Datei festgelegt haben, verhindert.

Aggressives Anti-DDoS.

Mit Vorsicht zu aktivieren.

Das aggressive Anti-DDoS führt eine Vorabprüfung aller HTTP-Anfragen durch, die von einem Webbrowser an Ihre Website gerichtet werden. Dieser Mechanismus, der mit dem Browser-Überprüfungsmechanismus in den Administratorordnern identisch ist, verhindert somit, dass automatisierte Bots Ihre Website erreichen.

WordPress: Blockieren xmlrpc.php.

Mit Vorsicht zu aktivieren. Kann Probleme mit einigen WordPress-Plugins verursachen.

Blockiert systematisch den Zugriff auf die Datei xmlrpc.php mit einem Fehler 403. Eine Datei, die früher verwendet wurde, um API-Anfragen an WordPress zu stellen. Heute wird sie weitgehend durch wp-admin/admin-ajax.php ersetzt. Sie wird jedoch aus Gründen der Rückwärtskompatibilität mit Tools, die noch auf xmlrpc.php basieren, beibehalten.

WordPress: Begrenzen Sie die Anzahl der möglichen Abfragen auf /wp-admin und /wp-login.php.

Empfohlen und standardmäßig auf 20 Abfragen/10 Minuten aktiviert.

Diese Regel begrenzt die Anzahl der Anfragen, die eine IP-Adresse an wp-admin und wp-login.php stellen kann. Der Anfragezähler ist für alle Webseiten in unserem Park gleich, nur die Blockierschwelle ist für jede Webseite spezifisch. Dadurch können zwei Arten von Angriffen mit einer einzigen Regel blockiert werden: Bruteforce-Angriffe, die auf eine einzelne Webseite abzielen, sowie Bruteforce-Angriffe, die auf eine große Anzahl von Webseiten abzielen.

Da es sich um einen gemeinsamen Zähler handelt, müssen Sie diese Blockierschwelle je nach der Anzahl der Websites, die Sie hosten und auf die Sie gleichzeitig zugreifen, anpassen. Wenn Sie mehrere Websites haben und das Dashboard gleichzeitig auf einem einzigen PC öffnen, ist es sehr wahrscheinlich, dass Sie die Blockierschwelle anpassen müssen, um nicht blockiert zu werden.

Ein Fehler 403 wird angezeigt, wenn die Blockierung wirksam ist, und die Blockierung wird aufgehoben, sobald die Anzahl der Anfragen, die von der IP-Adresse in den letzten 600 Sekunden gestellt wurden, wieder unter die Blockierungsschwelle fällt.

WordPress: Blockieren sensibler Dateien

Empfohlen und standardmäßig aktiv.

Diese Regel verhindert den Zugriff auf sensible Dateien und Pfade in WordPress. Sie verhindert unter anderem die Ausführung von .php-Dateien im WordPress-Upload-Ordner und im wp-includes-Ordner und verringert so die Gefahr von Schäden durch Eindringen oder Virenbefall auf Ihrer Website.

SEO-Roboter blockieren/einschränken

Blockieren oder beschränken Sie die Anzahl der Anfragen pro Minute, die SEO-Bots wie Ahrefs, Semrush und Majestic durchführen können. Die Bots werden anhand ihres User-Agent und/oder ihrer IP-Adressen identifiziert.

Blockieren Sie gefälschte Google Bots.

Wird empfohlen.

Ermöglicht das Blockieren von gefälschten Google Bots. Gefälschte Google Bots werden anhand ihrer IP-Adresse, des bereitgestellten User-Agent und des Reverse DNS erkannt. Die Daten werden dann mit den von Google selbst bereitgestellten Informationen über seine Bots verglichen. Wenn etwas inkonsistent ist, wird die Blockierung mit einem 403-Fehler angezeigt.

Bösartige Bots blockieren

Blockiert bösartige Bots, die in den öffentlichen schwarzen Listen für Bots aufgeführt sind. Die Bots werden anhand ihrer IP-Adresse und/oder ihres User-Agents als bösartig oder nicht bösartig identifiziert. Es wird dann ein 403-Fehler angezeigt.

Leere User-Agents blockieren.

Wird empfohlen.

Blockieren Sie die Anfrage, wenn der HTTP-Header "User-Agent" leer ist. Dies geschieht häufig bei den Standardkonfigurationen der von Hackern verwendeten Tools zum Scannen von Schwachstellen. Es wird dann ein Fehler 403 angezeigt.

Blockieren von bösartigen IPs

Empfohlen und standardmäßig aktiv bei "Browser mit einem Captcha überprüfen".

Diese Regel blockiert den Zugriff auf die Website von IP-Adressen, die als bösartig gemeldet wurden. Wir verwenden mehrere öffentliche Datenbanken, um bösartige IP-Adressen zu identifizieren. Die Reputation einer IP-Adresse wird bis zu 24 Stunden in unseren Aufzeichnungen gespeichert. Es wird eine Captcha-Überprüfung durchgeführt, wenn die IP-Adresse einen schlechten Ruf hat, oder eine Blockierung mit Fehler 403, je nachdem, welche Blockierung Sie gewählt haben.

Das Tor-Netzwerk blockieren

Mit dieser Regel können Sie den Zugriff auf Ihre Website aus dem Tor-Netzwerk blockieren. Die Erkennung des Tor-Netzwerks erfolgt über die Identifizierung der IP-Adresse in der öffentlichen Datenbank der Tor Exit Nodes. Es wird dann ein Fehler 403 angezeigt, wenn die IP-Adresse in der Liste enthalten ist.

Blockadeverläufe einsehen

Um die von LWS Protect durchgeführten Blockierungen einzusehen, gehen Sie zu LWS Protect und klicken Sie auf die Schaltfläche " Blockierungshistorie ", die mit dem betreffenden Domainnamen verbunden ist :

Sie können dann die Ereignisse nach Ihren Bedürfnissen filtern:

• Hostname / Domain
• Datums-/Zeitbereich
• Blockierte IP-Adresse
• HTTP-Anfrage
• Nachricht

Einmal, nachdem Sie auf "Search" geklickt haben, werden die Logs unter Berücksichtigung der eingesetzten Filter aktualisiert :