Das Dokument behandelt Sicherheitsaspekte von Content-Management-Systemen (CMS) wie WordPress, Joomla und Drupal, einschließlich gängiger Angriffsvektoren und Best Practices zur Verbesserung der Sicherheit. Es betont die Wichtigkeit von regelmäßigen Updates, starken Passwörtern, Monitoring und Sicherheitsmaßnahmen wie SSL-Zertifikaten und Zwei-Faktor-Authentifizierung. Zudem wird auf die Notwendigkeit von Backups und die kontinuierliche Auseinandersetzung mit Sicherheitsfragen hingewiesen.

1. CMS Security
my ~/ is my castle

2. ad personam
• Stefan Kremer
• freiberuflicher Systemberater
Mac, Web, CTI
• WordPresser seit Duke Ellington
• Contributor WordPress.tv
Mitgründer WP-Meetup Franken
• Vorrangiger Einsatz von WP als
CMS für Kundenpräsenzen
@stkjj
stefanredaktiv
stefan@redaktiv.de

3. CMS? No prob! Oder doch?
• CVE-Hitliste
• (19) Joomla: 305
• (22) Drupal: 268
• (27) WordPress: 232
• (35) Typo3: 174
• ohne Eintrag ≠ sicher, sondern nur noch
nicht dokumentiert

4. Basisanalyse
• Hosting
• Shared Hosting
• Virtual Host
• Managed Server
• Rootserver
• Housing
• Basissystem?
• OS?
• PHP?
• MySQL?
• Webadmin Tool?

5. Angriffsvektoren
• „Standard“ Benutzernamen
• schwache Passwörter
• veraltete Installationen
• schlechter Code
• SQL Injections
• XSS - Cross Site Scripting
• …

6. Login Credentials
• was spricht eigentlich gegen den
Benutzernamen »asylufdeworig23r«?
• Name der Katze oder Geburtsdatum der
Oma ist kein Passwort!
• Ein Admin, ein User-Account
• Kopfschmerzen? Finger wund?
➡ Passwortmanager!

9. Brute-Force Attacs
• Durchprobieren von Credentials
➡ willkürliche Benutzernamen
➡ starke Passwörter
• Sperre nach x Versuchen für Zeitintervall y
• Blacklisting der IP
➡ iThemes Security (ex BetterWPSecurity)

10. Monitoring
• Server up?
• Dateien verändert?
• Benutzeranmeldungen?
• Eindringungsversuche?
• Logouts?
➡ iThemes Security (ex BetterWPSecurity)

11. Update, Update, Update
• regelmässig WP-Core aktualisieren
• Achtung: AutoUpdater seit 3.7!
• besser: Benachrichtigung bei Update
• regelmässig PlugIns aktualisieren
• regelmässig (Premium) Themes aktualisieren

12. TTV
• zufällige Versionsnummer ausgeben
• .htaccess-Regeln zum Zugriffsschutz
• /wp-content/
• wp-config.php
• readme.html + liesmich.html
• „hide and seek“ (/wp-content, wp_, …)
➡ iThemes Security (ex BetterWPSecurity)

13. die Mauer erhöhen
• Login per SSL-Zertifikat absichern
• Kosten < 50 €/p.a.
• http://www.psw.net/ssl-zertifikate.cfm
• Zwei-Faktor Authentifizierung
• https://github.com/sergejmueller/2-Step-Verification

14. im Fall der (Un)Fälle
• Backup!
• regelmässig, automatisiert, zeitgesteuert
• MySQL-Datenbank
• Dateien, insp. /wp-content/uploads/
• Wiederherstellung üben!

15. Fazit
• Sicherheit ist eine Daueraufgabe!
• Aufwand vs. Nutzen
• Make or Buy

16. Vielen Dank für die
Aufmerksamkeit!