Especialista en servidores y Hosting VPS
Informe de Wordfence y WPScan
/
RSS Feed
La seguridad ya sabemos que no es una montaña en la que subimos, ponemos nuestra tienda de campaña, prendemos la fogata y nos quedamos ahí contando historias frente al fuego. La seguridad es una pelea constante que debemos de luchar para asegurar nuestros WordPress y VPS.
- Pero no estamos solos
- Tenemos a dos grandes gigantes dentro de la industria: Wordfence y WPScan
- Ayudándonos en nuestra lucha
- Ellos tienen algunas colaboraciones
- Y entre ella esta el informe de seguridad de mitad de año
- Este informe se basa en los datos de ataque dentro de Wordfence
- Y la base de datos de vulnerabilidades de WPScan
- Juntos nos dan una imagen más completa
- De la situación actual de seguridad de WordPress
- Por separado sería muy interesante estos datos
- Pero en conjunto el informe es más completo
- Solo en esta mitad del año WPScan a registrado
- 602 nuevas vulnerabilidades
- En todo el 2020 solo se tuvieron 514
- De todo el informe vamos a comenzar destacando
- El aumento de los ataques a contraseñas
- Wordfence bloqueó más de 86 mil millones de intentos de ataque de contraseñas
- Entre los métodos más utilizados destacan:
- Listas de contraseñas comprometidas
- Ataques de diccionario
- Ataques de fuerza bruta
- También han descubierto que el inicio de sesión estándar
- Es el principal objetivo en el ataque a contraseña con un alarmante 40.4%
- Luego tenemos al XML-RPC con 37.7%
- Y han detectado que este estos ataques siguen en aumento y van a la alza
- ¿Qué podemos hacer? ¡Histeria! ¡Caos!
- No, recordemos las buenas practicas:
- Segundo factor de autenticación en todas las cuentas de administradores
- Contraseñas seguras
- Deshabilitar el XML-RPC si no lo estas ocupando
- El el informe también han compartido
- Que se siguen buscando vulnerabilidades antiguas
- En el core y en los plugins
- Por lo que es importante estar actualizados
- Comparte Wordfense que son 4 mil millones de solicitudes bloqueadas debido a vulnerabilidades e IP bloqueadas
- De los resultados relacionados al firewall
- La regla directorio transversal tiene un 27.1% de todas las solicitudes
- Y van tras los archivos de nuestra carpeta publica
- Tratan de entrar por ejemplo al wp-config.php
- Para sacar datos de la base de datos
- E inyectar código para tomar el control del sitio
- ¿Qué podemos hacer? ¡Histeria! ¡Caos!
- Hosting seguro
- Con permisos en carpetas y archivos correctos
- Y desactivar la ejecución de PHP en sitios donde no se requiere
- De las 602 nuevas vulnerabilidades
- ¿Sabes cuántas son del core?
- ¡ T R E S ! Solo tres
- Es decir que 599 vulnerabilidades vienen de plugins y themes
- Y que WordPress ha hecho bien sus tareas esta primera mitad del año
- ¿Los plugins y themes son más inseguros?
- ¡Claro que no!
- Estos datos son el resultado
- Del crecimiento del ecosistema WordPress
- Del interés del core en la seguridad
- Y del interés por descubrir y reportar vulnerabilidades
El reporte lo podés descargar gratis para ver con más calma todos los resultados y analizar si estás completo o si te falta algún área por revisar. Además el fundador y director ejecutivo de WPScan Ryan Dewhurst ha dicho que esperan lanzar a final de año el reporte definitivo al 2021 y están analizando más formas de colaborar con Wordfense.