CMS Sicherheit

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

WordPress Security 
my ~/ is my castle
19.09.2015 Frank Staude <frank@staude.net>

Hallo!
Frank Staude

Email: frank@staude.net

Twitter: @staude

Webseite: www.staude.net

GitHub: staude

Co-Founder of WP...

Das hat doch nix mit mir zu tun!
•kleiner privater Blog

•unverfängliche Inhalte

•kaum öﬀentliche Wahrnehmung

•überschau...

Content is King
•Rechenleistung (CPU)

•Speicherplatz

•Bandbreite

•sendmail für Spamversand
nothing

CMS? No prob!
•CVE-Hitliste

•(21) Joomla: 309

•(22) Drupal: 290

•(29) WordPress: 247

•(38) Typo3: 178

•ohne Eintrag ≠...

Angriﬀsvektoren
•Brute-Force Attacs

•„Standard“ Benutzernamen

•schwache Passwörter

•XSS - Cross Site Scripting / SQL In...

Benutzername
•»admin« bis 3.0 als Vorgabe

•Teile des Domainnamens

•häuﬁge eMail-Adressen wie »info@…«

•Ein Admin-, ein ...

Passwörter

Passwörter NoGos
•Vorkommen in Wörterbüchern

•SocialHacking anfälliges

•Tastaturläufe und Folgen

•Passwort-Recycling

•...

Kopfschmerzen? Finger wund?

➡ Passwortmanager!

Verteidigungsstrategie
•willkürliche Benutzernamen

•starke Passwörter

•Sperre nach x Fehlversuchen  
für Zeitintervall ...

Update, Update, Update
•regelmässig WP-Core aktualisieren

•AutoUpdater seit 3.7!

•ok für Minor/Security-Releases

•regel...

Monitoring
•Server up?

•Dateien verändert?

•Benutzeranmeldungen?

•Eindringungsversuche?

•Wer hat wann was gemacht?

TTV
•zufällige Versionsnummer ausgeben

•.htaccess-Regeln zum Zugriﬀsschutz

•/wp-content/

•wp-conﬁg.php

•readme.html + ...

die Mauer erhöhen
•min. Login per SSL-Zertiﬁkat absichern

•Kostenlos bis < 50 €/p.a.

•ggf. Kosten beim Hosting für eigen...

Weitwinkel
•Lokaler Rechner sicher?

•Keylogger

•FTP Zugang geschützt?

•besser SFTP oder FTPS (SSL/TLS)!

•PW per eMail ...

Serverbasis
•Hosting

•Shared Hosting

•Virtual Host

•Managed Server

•Rootserver

•Housing

•Basissystem?

•OS?

•PHP?
...

im Fall der (Un)Fälle
•Backup!

•regelmässig, automatisiert, zeitgesteuert, oﬀsite

•MySQL-Datenbank

•Dateien, insp. /wp...

Fazit
•Sicherheit ist eine Daueraufgabe!

•Aufwand vs. Nutzen

•Make or Buy

Danke! Fragen?
frank@adminpress.de

Linksammlung
https://www.cvedetails.com/top-50-vendor-cvssscore-distribution.php

https://wpvulndb.com

http://wpengine.co...

Slideshare teilen

LinkedIn
Facebook
Twitter

Einbetten

Größe (px)

Ähnliche Slideshows am Ende anzeigen

WordPress-Shortcode

Link

Teilen
E-Mail

IF Tagung 2009 Intro Folien by Dennis Wittrock 2724 views
• Deutsch by hajj2013 87 views
Ost 1 1011b1 85 by Quinn Kane 121 views
Page Master by inclusaodigital2011 348 views
Eyeware - Project Glass und die Zuk... by Frederik Eichelbaum 3457 views
Blog y educación by Karolboiko 94 views

Auf Slideshare anzeigen

1 von 21 Anzeige

Auf Slideshare anzeigen

1 von 21 Anzeige