Wordpress absichern

Zitat von Cvst1lleo

Sichert Ihr Euer Wordpress nachträglich ab, und wenn ja, wie?

Ja - das in allen Webhosting Tarifen verfügbare Plesk WordPress Toolkit liefert hier meiner Meinung nach das perfekte Werkzeug. (Gegen den typischen Vertipper Wordpress sichert das jedoch nicht ab *SCNR*)
Ansonsten gibt es noch jede Menge Plugins, die je nach Anwendungsfall nützlich sein können, aber auch wieder Einfallstore für die heute relativ weit verbreiteten Lieferketten-Angriffe auf z.B. in Plugins eingesetzte Software-Bibliotheken sind.

Im WordPress Toolkit gibt es dann neben der Möglichkeit Backups oder auch Updates von Themes und Plugins zu fahren, bei Sicherheitsmaßnahmen z.B. folgende 1-Klick-Aktionen: [bei der Markierung "(Kann zurückgesetzt werden)" ist die Aktion reversibel]

Sicherheitsmaßnahmen
Zugriff auf Dateien und Verzeichnisse einschränken
Sicherheitsschlüssel konfigurieren
Zugriff auf "xmlrpc.php" blockieren (Kann zurückgesetzt werden)
Verzeichnissuche blockieren (Kann zurückgesetzt werden)
Ausführung von PHP-Skripts im Verzeichnis "wp-includes" nicht erlauben (Kann zurückgesetzt werden)
Ausführung von PHP-Skripts im Verzeichnis "wp-content\uploads" nicht erlauben (Kann zurückgesetzt werden)
Zugriff auf "wp-config.php" blockieren (Kann zurückgesetzt werden)
Skriptverkettung für WordPress-Administrator-Panel deaktivieren (Kann zurückgesetzt werden)
Pingbacks deaktivieren (Kann zurückgesetzt werden)
Nicht verwendete Skriptsprachen deaktivieren
PHP-Ausführung in Cache-Verzeichnissen deaktivieren (Kann zurückgesetzt werden)
Dateibearbeitung im WordPress-Dashboard deaktivieren (Kann zurückgesetzt werden)
Standardpräfix von Datenbanktabellen ändern
Schutz vor Bots aktivieren (Kann zurückgesetzt werden)
Zugriff auf sensible Dateien blockieren (Kann zurückgesetzt werden)
Zugriff auf potenziell sensible Dateien blockieren (Kann zurückgesetzt werden)
Zugriff auf HTACCESS- und HTPASSWD-Datei blockieren (Kann zurückgesetzt werden)
Autorenscans blockieren (Kann zurückgesetzt werden)
Standardbenutzername des Administrators ändern

netcup_WCP_wp-toolkit_Sicherheitsstatus.png

Zusätzlich dazu werden auch bekannte CVEs also Sicherheitslücken von WordPress Kernteilen oder Plugins aufgelistet und mögliche Workarounds angeboten, die man auch direkt anwenden kann.

Zitat von Cvst1lleo

Ich hatte es nun manuell installiert.

Meines Wissens scannt das Tookit mit [Suchen] auch nach Installationen, die nicht direkt über das WP-Toolkit erfolgt sind.
"Dateisystem auf WordPress-Installationen durchsuchen."

netcup_WCP_wp-toolkit_Suchen.png
Einfach mal drauf drücken und schauen was so passiert

Meine persönliche Meinung zum Login: Beim Adminzugang würde ich entweder ein sehr langes, zufällig generiertes Passwort verwenden oder die Passwortanmeldung komplett deaktivieren.

WP-WebAuthn bietet dafür die Option „Nur WebAuthn“.

Ich persönlich finde es sinnvoll, mindestens zwei FIDO2-Hardwarekeys (z. B. YubiKey, Google Titan, Token2 oder SoloKey) zu registrieren – einen für den Alltag und einen als Backup. WebAuthn über Android, Windows oder iOS ist zwar möglich, für Admin-Zugänge würde ich persönlich aber eher auf dedizierte Hardware setzen, weil das ein zusätzliches Gefühl von Sicherheit und Kontrolle gibt.

Zitat von Cvst1lleo

Gehen die da wirklich über den AdminZugang rein? Machen die das nicht über PlugIns?

Manchmal weder noch.
https://cybersecuritynews.com/wp2shell-rce-vulnerability/

Zitat von Copro

Zusätzlich dazu werden auch bekannte CVEs also Sicherheitslücken von WordPress Kernteilen oder Plugins aufgelistet und mögliche Workarounds angeboten, die man auch direkt anwenden kann.

Danke für die Übersicht. Ich konnte das nur irgendwie nicht finden.

/Edith: Habs gefunden.