6/8 Ein Sicherheitsplugin macht eine komplexe Installation nicht automatisch sicher
Es klingt verlockend, nach der Installation vieler Plugins einfach noch ein Sicherheitsplugin hinzuzufügen. Dieses kann durchaus nützliche Funktionen bereitstellen, beispielsweise Anmeldeversuche begrenzen, Änderungen protokollieren oder eine Zwei-Faktor-Anmeldung ergänzen.
Es kann aber keine fehlerfreie Installation garantieren. Ein Sicherheitsplugin läuft innerhalb derselben Anwendung, die es schützen soll. Hat ein Angreifer bereits weitreichenden Zugriff erlangt, kann er unter Umständen auch Sicherheitsfunktionen deaktivieren, Dateien manipulieren oder seine Spuren verschleiern.
Sicherheit muss deshalb auf mehreren Ebenen entstehen: durch ein möglichst kleines System, sorgfältig ausgewählte Komponenten, sichere Zugangsdaten, Zwei-Faktor-Authentifizierung, aktuelle Servertechnik, restriktive Dateirechte, externe Backups, Überwachung und eine schnelle Reaktion auf Warnmeldungen.
Das wirksamste Plugin gegen Plugin-Probleme ist manchmal schlicht ein Plugin weniger.
Auch deaktivierte Erweiterungen sollten gelöscht werden
Deaktivierte Plugins werden zwar nicht mehr regulär durch WordPress ausgeführt, ihre Dateien liegen aber weiterhin auf dem Webserver. Je nach Art einer Schwachstelle kann ein direkter Aufruf verwundbarer Dateien trotzdem möglich sein. Zudem werden deaktivierte Erweiterungen leicht vergessen und irgendwann nicht mehr aktualisiert.
Was nicht benötigt wird, sollte daher nicht nur deaktiviert, sondern vollständig entfernt werden. Das gilt auch für ungenutzte Themes, alte Sicherungskopien im öffentlich erreichbaren Webverzeichnis, nicht mehr verwendete Testinstallationen und vergessene Unterverzeichnisse.
Eine alte WordPress-Kopie unter `/alt/`, `/test/` oder `/backup/` kann genauso kompromittiert werden wie die sichtbare Hauptseite. Angreifer interessieren sich nicht dafür, ob eine Installation noch verlinkt ist. Es genügt, dass sie über das Internet erreichbar ist.
Dies ist Artikel 6/8