Attacco Brute Force - Cosa è e come bloccarlo

Brute-force è un metodo per indovinare la tua password provando combinazioni di lettere, numeri e simboli. Alcuni attacchi brute-force utilizzano dizionari di password comunemente utilizzate, parole, etc. per poter accelerare il processo usato per indovinare la password degli utenti.

La prima cosa che dovrai fare per proteggerti da questi attacchi è scegliere password e nome utente appropriati. Cerca di non utilizzare nomi comuni per il tuo nome utente come admin, administrator, superuser. Per quanto riguarda la tua password, cerca di impostarne una più complessa possibile, includendo numeri, caratteri speciali, caratteri maiuscoli e minuscoli. Ci sono generatori di password complesse disponibili gratis. Se hai difficoltà ad utilizzare e ricordare lunghe password, puoi utilizzare gestori di password come 1Password ad esempio.

Se rilevi che qualcuno sta provando a lanciare attacchi di brute-force contro il tuo sito (questi attacchi generano un enorme ammontare di login falliti nei tuoi log), puoi bloccare gli IP riconosciuti e bloccarne l’accesso totalmente al tuo sito. Per fare ciò, puoi semplicemente aggiungere la seguente linea nel tuo file .htaccess:

deny from 123.123.123.123

Rimpiazza 123.123.123.123 con il vero IP dell’hacker.

In più, dovresti limitare l’accesso alla admin area del tuo sito al tuo solo indirizzo. Nel caso tu stia utilizzando WordPress, esso dovrebbe essere la tua cartella wp-admin.

Nel caso tu stia utilizzando Joomla! 3.x – avrai bisogno di proteggere la cartella “administrator”. In realtà, questa è una buona pratica ed è consigliabile farlo anche se non hai rilevato attacchi contro il tuo sito web. Le regole che dovresti scrivere nel file .htaccess sono le seguenti:

deny from all
allow from 222.222.222.222

Rimpiazza 222.222.222.222 con il tuo indirizzo IP. Per trovare il tuo indirizzo IP, puoi semplicemente utilizzare vari servizi online come whatismyip.com per esempio.

Più informazioni su come proteggere i tuoi siti WordPress e Joomla! 3.x possono essere recuperate nei nostri tutorial:

Tutorial sulla sicurezza di WordPress