如何停止和防止对WordPress的DDoS攻击

WordPress是世界上最受欢迎的网站构建器之一，因为它具有强大的功能和安全的代码库。但是，这不能保护WordPress或任何其他软件免受Internet上常见的恶意DDoS攻击。

DDoS攻击会使网站变慢，最终使用户无法访问它们。这些攻击可以同时针对大型和小型网站。

现在，您可能想知道使用WordPress的小型企业网站如何在资源有限的情况下阻止此类DDoS攻击？

在本指南中，我们将向您展示如何有效地阻止和阻止对WordPress的DDoS攻击。我们的目标是帮助您了解如何管理DDoS攻击（如专业版）来防御网站安全。

什么是DDoS攻击？

DDoS攻击是分布式拒绝服务攻击的缩写，是一种网络攻击，它使用受损的计算机和设备从WordPress托管服务器发送或请求数据。这些请求的目的是减慢目标服务器的速度，并最终使其崩溃。

DDoS攻击是DoS（拒绝服务）攻击的演变形式。与DoS攻击不同，它们利用分布在不同区域的多个受损计算机或服务器。

这些受感染的计算机形成一个网络，有时称为僵尸网络。每台受影响的机器都充当机器人，并在目标系统或服务器上发起攻击。

这样一来，他们就可以在一段时间内不被注意，并在被阻止之前造成最大的损害。

即使是最大的互联网公司也容易受到DDoS攻击。

在2018年，流行的代码托管平台GitHub见证了大规模的DDoS攻击，每秒向其服务器发送1.3 TB的流量。

您可能还记得2016年臭名昭著的DYN（DNS服务提供商）攻击。这次攻击受到全世界新闻的报道，因为它影响了许多受欢迎的网站，例如亚马逊，Netflix，PayPal，Visa，AirBnB，《纽约时报》，Reddit和数以千计的其他网站。

为什么会发生DDoS攻击？

DDoS攻击背后有多种动机。以下是一些常见的问题：

• 精于技术的人无聊并喜欢冒险
• 试图提出政治观点的人和团体
• 针对特定国家或地区的网站和服务的组
• 针对特定企业或服务提供商的有针对性的攻击，对其造成金钱伤害
• 勒索并收取赎金

蛮力攻击和DDoS攻击有什么区别？

蛮力攻击通常试图通过猜测密码或尝试随机组合来侵入系统，以获得未经授权的系统访问。

DDoS攻击纯粹用于使目标系统崩溃，使其无法访问或使其速度变慢。

有关详细信息，请参阅有关如何使用分步说明阻止WordPress上的暴力攻击的指南。

DDoS攻击可能造成什么损失？

DDoS攻击会使网站无法访问或降低性能。这可能会导致不良的用户体验，业务损失，缓解攻击的成本可能高达数千美元。

以下是这些费用的明细：

• 网站无法访问导致业务损失
• 回答服务中断相关查询的客户支持成本
• 通过雇用安全服务或支持来减轻攻击的成本
• 最大的代价是不良的用户体验和品牌声誉

如何停止和防止对WordPress的DDoS攻击

DDoS攻击可以巧妙地掩饰并且难以处理。但是，通过一些基本的安全最佳实践，您可以阻止并轻松阻止DDoS攻击影响WordPress网站。

您需要采取以下步骤来防止和阻止WordPress网站上的DDoS攻击。

删除DDoS /蛮力攻击垂直

关于WordPress的最好的事情是它非常灵活。WordPress允许第三方插件和工具集成到您的网站并添加新功能。

为此，WordPress为程序员提供了几种API。这些API是第三方WordPress插件和服务可以与WordPress交互的方法。

但是，在DDoS攻击期间，也可以通过发送大量请求来利用其中一些API。您可以安全地禁用它们以减少这些请求。

在WordPress中禁用XML RPC

XML-RPC允许第三方应用程序与您的WordPress网站进行交互。例如，您需要XML-RPC才能在移动设备上使用WordPress应用程序。

如果您像绝大多数不使用移动应用程序的用户一样，则可以通过将以下代码添加到网站的.htaccess文件中来禁用XML-RPC 。

# Block WordPress xmlrpc.php requests<Files xmlrpc.php>order deny,allowdeny from all</Files>

有关其他方法，请参见有关如何轻松在WordPress中禁用XML-RPC的指南。

在WordPress中禁用REST API

WordPress JSON REST API使插件和工具能够访问WordPress数据，更新内容，甚至删除它。这是您可以在WordPress中禁用REST API的方法。

您需要做的第一件事是安装并激活Disable WP Rest API插件。有关更多详细信息，请参阅有关如何安装WordPress插件的分步指南。

该插件开箱即用，它将为所有未登录的用户禁用REST API。

激活WAF（网站应用防火墙）

禁用诸如REST API和XML-RPC之类的攻击媒介，对于DDoS攻击的保护有限。您的网站仍然容易受到普通HTTP请求的攻击。

尽管您可以通过尝试捕获不良的机器IP并手动阻止它们来缓解小型DOS攻击，但是这种方法在处理大型DDoS攻击时不是很有效。

阻止可疑请求的最简单方法是激活网站应用程序防火墙。

网站应用程序防火墙充当您的网站和所有传入流量之间的代理。它使用智能算法捕获所有可疑请求，并在它们到达您的网站服务器之前将其阻止。

我们建议使用Sucuri，因为它是最好的WordPress安全插件和网站防火墙。它在DNS级别上运行，这意味着他们可以在向您的网站发出请求之前捕获DDoS攻击。

Sucuri的价格从每月20美元起（每年支付）。

我们在WPBeginner上使用Sucuri。请参阅我们的案例研究，了解它们如何帮助阻止我们网站上的数十万次攻击。

或者，您也可以使用Cloudflare。但是，Cloudflare的免费服务仅提供有限的DDoS保护。您至少需要注册他们的业务计划才能获得第7层DDoS防护，每月费用约为200美元。

有关详细的并排比较，请参阅我们关于Sucuri与Cloudflare的文章。

注意：在DDoS攻击期间，在应用程序级别运行的网站应用程序防火墙（WAF）的效率较低。一旦流量到达您的Web服务器，它们就会阻止流量，因此它仍然会影响您的整体网站性能。

找出是蛮力攻击还是DDoS攻击

暴力攻击和DDoS攻击都大量使用服务器资源，这意味着它们的症状看上去非常相似。您的网站会变慢，并且可能会崩溃。

您只需查看Sucuri插件的登录报告，就可以轻松找到是蛮力攻击还是DDoS攻击。

只需安装并激活免费的Sucuri插件，然后转到Sucuri安全性»上次登录页面。

如果您看到大量随机登录请求，则表明您的wp-admin受到了蛮力攻击。为了缓解这种情况，您可以查看有关如何阻止WordPress中的暴力攻击的指南。

DDoS攻击期间要做的事情

即使您具有Web应用程序防火墙和其他保护措施，也可能发生DDoS攻击。诸如CloudFlare和Sucuri之类的公司会定期处理这些攻击，并且大多数时候您永远不会听说它，因为它们可以轻松地缓解它。

但是，在某些情况下，当这些攻击很大时，它仍然会影响您。在这种情况下，最好做好准备，以减轻DDoS攻击期间和之后可能出现的问题。

您可以采取以下措施来最大程度地减少DDoS攻击的影响。

1.提醒您的团队成员

如果您有团队，则需要将该问题告知同事。这将帮助他们为客户支持查询做准备，寻找可能的问题，并在攻击期间或之后提供帮助。

2.告知客户不便之处

DDoS攻击可能会影响您网站上的用户体验。如果您经营WooCommerce商店，那么您的客户可能无法下订单或登录其帐户。

您可以通过社交媒体帐户宣布您的网站存在技术问题，并且一切将很快恢复正常。

如果攻击很大，那么您还可以使用电子邮件营销服务与客户进行交流，并要求他们关注您的社交媒体更新。

如果您有VIP客户，那么您可能想使用商务电话服务拨打单个电话，并让他们知道您如何恢复服务。

在艰难时期的沟通对保持品牌声誉具有巨大的影响。

3.联系托管和安全支持

与您的WordPress托管提供商联系。您可能正在目睹的攻击可能是针对他们的系统的较大攻击的一部分。在这种情况下，他们将能够为您提供有关情况的最新更新。

请与您的防火墙服务联系，并让他们知道您的网站受到DDoS攻击。他们也许能够更快地缓解这种情况，并可以为您提供更多信息。

在像Sucuri这样的防火墙提供程序中，您还可以将设置设置为偏执模式，这有助于阻止大量请求并使普通用户可以访问您的网站。

确保您的WordPress网站安全

WordPress开箱即用非常安全。但是，作为世界上最受欢迎的网站构建器，它经常成为黑客的目标。

幸运的是，您可以在网站上应用许多最佳安全实践，以使其更加安全。

我们为初学者编写了完整的WordPress分步指南。它将引导您完成最佳的WordPress网站建设安全设置，以保护您的网站及其数据免遭常见威胁。