Under attack

Zitat von hedu

Meine Websites sind gerade unter recht heftiger brute-force attack von mehreren Server (Litauen, Polen, etc.).

Das nennt man "Grundrauschen" und geschieht meistens automatisiert. Nicht weiter tragisch, wenn man u.a. die von dir erwähnten Regeln einhält.

Zitat von hedu

Der Beitrag ist ja nicht gedacht zum mitleidserregenden Jammern, sondern um wieder einmal auf ein paar Basis-Sicherheitsmaßnahmen aufmerksam zu machen.

Nein, ich habe es auch nicht als Jammern aufgefasst. Nur leider halten sich die wenigsten an deine Hinweise bzw. ignorieren das Problem Sicherheit komplett.

Zitat von hedu

Aber auf jeden Fall den User "admin" völlig zu entfernen.

Warum? Eine Methode wie die Brute-Force-Methode nährt sich einzig und allein von einem unsicheren Passwort. Der User admin spielt hier eigentlich keine Rolle.

Ein sicheres Passwort besteht aus mindestens 12 Zeichen... Egal welche!

d*#5tGGds,£%

Gruss B-52

Zitat von hedu

Natürlich wäre ein 24 Zeichen Passwort ja noch sicherer als eins mit 12 Zeichen, aber das wird langsam unrealistisch.

Noch viel wirksamer wäre ein One-Time-Password. Läßt sich auch sehr gut in Wordpress anwenden.

Diesen Yubikey setzt ich selber für etliche Wordpress Installationen ein, funktioniert problemlos.

http://www.yubico.com/yubikey

Den User "admin" zu entfernen oder umzubenennen bringt (fast) gar nichts.

Habe kürzlich erst gesehen, wie ein Bot die User-IDs von 1 bis 10 mit http://example.org/?author=1 (2,3,...) durchprobiert hat. Bei aktiven Permalinks leitet WP diese Aufrufe dann auf http://example.org/author/name um und schon kennt der Angreifer den Login-Name.

Gruß
Ingo

http://example.org/?author=1