Avis quotidiens d'échec des tentatives de connexion pour un administrateur non existant
Je gère un site multi-utilisateur et, depuis une semaine ou deux, des avis quotidiens indiquent que quelqu'un est bloqué en raison de tentatives de connexion infructueuses pour l'utilisateur "admin" via le plug-in Limit Login Attempts .
Il n'y a pas de compte utilisateur pour "admin" et je suppose qu'il s'agit d'une attaque visant à obtenir l'accès à la section wp-admin du site.
Je suppose que s'il n'y a pas d'utilisateur "admin", ces tentatives ne réussiront jamais.
Suis-je sûr de ne pas tenir compte de ces avis puisqu'il n'y a pas d'utilisateur nommé "admin" ou puis-je prendre d'autres mesures pour protéger mon site contre un accès malveillant?
Les tentatives ont été effectuées à partir de plusieurs adresses IP différentes, donc bloquer l'adresse IP ne dissuaderait que temporairement le comportement. Limiter wp-admin à des adresses IP spécifiques n’est pas réaliste en raison du nombre d’utilisateurs qui se connectent à partir d’endroits différents.
Oui, vous pouvez l'ignorer en toute sécurité, en particulier si votre site n'a pas d'utilisateur "admin". L'attaque par la force brute ne réalisera jamais rien. J'utilise également les tentatives de connexion avec limite, principalement à cette fin. Cela me permet de savoir quand des tentatives de force brute manuelles ont été effectuées sur mon compte utilisateur final. (La dernière fois que je me suis intéressé au WHOIS de l'IP, l'attaque venait de Russie, FWIW.)
À moins de bloquer l’adresse IP, vous ne pouvez rien faire pour empêcher les tentatives de force brute. S'ils deviennent gênants, augmentez simplement la durée de verrouillage.
Il serait peut-être intéressant de regarder Fail2Ban si vous voulez empêcher les gens d'essayer d'autres vilaines choses sur votre serveur, mais je viens de trouver une référence à ce plugin que je suis sur le point d'explorer moi-même:
La vérification Captcha et le blocage IP temporaire apporteront une sécurité supplémentaire à notre WordPress. Ces deux feachers fournissent en suivant le plugin http://wordpress.org/plugins/wp-limit-login-attempts .