Como Parar e Prevenir um Ataque DDoS no WordPress

O WordPress é um dos construtores de sites mais populares do mundo porque oferece recursos poderosos e um código seguro. No entanto, essa popularidade o torna um alvo para ataques DDoS.

Hackers usam ataques DDoS para deixar sites lentos e inacessíveis aos usuários. Esses ataques podem atingir sites pequenos e grandes. As consequências de um ataque DDoS podem ser graves, resultando em perda de receita, danos à reputação e visitantes frustrados.

O WPBeginner tem sido alvo de muitos desses ataques, e aprendemos como tomar medidas para minimizar o risco e manter nosso site seguro. Você pode estar se perguntando como um site de pequena empresa usando WordPress pode prevenir tais ataques DDoS com recursos limitados.

Este guia mostrará como prevenir e parar ataques DDoS no WordPress, permitindo que você gerencie a segurança do seu site com confiança contra ataques como um profissional.

O que é um Ataque DDoS?

DDoS (Distributed Denial of Service - Negação de Serviço Distribuída) é um tipo de ataque cibernético que usa computadores e dispositivos comprometidos para enviar ou solicitar dados de um servidor de hospedagem WordPress. O objetivo dessas solicitações é desacelerar e, eventualmente, travar o servidor alvo.

Ataques DDoS evoluíram de ataques DoS (Denial of Service - Negação de Serviço). Ao contrário de um ataque DoS, eles se aproveitam de muitas máquinas ou servidores comprometidos espalhados por diferentes regiões.

Essas máquinas comprometidas formam uma rede, que às vezes é chamada de botnet. Cada máquina afetada age como um bot e lança ataques contra o sistema ou servidor alvo. Isso permite que eles passem despercebidos por um tempo e causem o máximo de dano antes de serem bloqueados.

Mesmo as maiores empresas de internet são vulneráveis a ataques DDoS.

Em 2018, o GitHub, uma popular plataforma de hospedagem de código, sofreu um ataque DDoS massivo que enviou 1,3 terabytes por segundo de tráfego para seus servidores.

Você também pode se lembrar do notório ataque de 2016 contra a DYN (um provedor de serviços DNS). Este ataque recebeu cobertura mundial da mídia, pois afetou muitos sites populares como Amazon, Netflix, PayPal, Visa, Airbnb, The New York Times, Reddit e milhares de outros sites.

Perguntas Frequentes sobre DDoS

Aqui estão algumas respostas para perguntas frequentes sobre ataques DDoS.

Por que os Ataques DDoS Acontecem?

Existem várias motivações por trás dos ataques DDoS. Aqui estão algumas comuns:

• Pessoas tecnicamente habilidosas que estão entediadas acham isso aventureiro
• Pessoas e grupos que defendem um ponto político
• Grupos que visam sites e serviços de um determinado país ou região
• Ataques direcionados a uma empresa ou provedor de serviços específico para causar danos financeiros
• Chantagem para coletar dinheiro de resgate

Qual é a Diferença Entre um Ataque de Força Bruta e um Ataque DDoS?

Ataques de força bruta tentam obter acesso não autorizado a um sistema adivinhando senhas ou tentando combinações aleatórias.

Ataques DDoS são puramente usados para derrubar o sistema alvo, tornando-o lento ou inacessível.

Para mais detalhes, veja nosso guia sobre como bloquear ataques de força bruta no WordPress.

Que Danos Podem Ser Causados por um Ataque DDoS?

Ataques DDoS podem reduzir o desempenho de um site ou torná-lo inacessível. Isso resulta em uma má experiência do usuário, perda de negócios e os custos de mitigação do ataque, que podem ser milhares de dólares.

Aqui está uma análise desses custos:

• Perda de negócios devido à inacessibilidade do site
• Custo de suporte ao cliente para responder a consultas relacionadas à interrupção do serviço
• Custo de mitigação do ataque contratando serviços de segurança ou suporte
• O maior custo é a má experiência do usuário e a reputação da marca

Como Parar e Prevenir Ataques DDoS no WordPress?

Ataques DDoS podem ser disfarçados de forma inteligente e difíceis de lidar. No entanto, com algumas práticas básicas de segurança, você pode prevenir e parar facilmente ataques DDoS de afetar seu site WordPress.

Aqui estão os passos que você precisa tomar para prevenir e parar ataques DDoS em seu site:

1. Remover Verticais de Ataque DDoS / Força Bruta
2. Ativar um WAF (Firewall de Aplicação Web)
3. Identificar se é um Ataque de Força Bruta ou DDoS
4. O que Fazer Durante um Ataque DDoS
5. Como Manter seu Site WordPress Seguro

Remover Verticais de Ataque DDoS / Força Bruta

A melhor coisa sobre o WordPress é que ele é altamente flexível. O WordPress permite que plugins e ferramentas de terceiros se integrem ao seu site e adicionem novos recursos.

Para fazer isso, o WordPress disponibiliza várias APIs para programadores. Essas APIs são métodos pelos quais plugins e serviços de terceiros do WordPress podem interagir com o WordPress.

No entanto, algumas dessas APIs também podem ser exploradas durante um ataque DDoS enviando uma tonelada de requisições. Você pode desativá-las com segurança para reduzir essas requisições.

Desativar XML RPC no WordPress

XML-RPC permite que aplicativos de terceiros interajam com seu site WordPress. Por exemplo, você precisa de XML-RPC para usar o aplicativo WordPress em seu dispositivo móvel.

Se você é como a grande maioria dos usuários que não usam o aplicativo móvel para gerenciar seu site, então você pode desativar o XML-RPC simplesmente adicionando o seguinte código ao arquivo .htaccess do seu site:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Para métodos alternativos, veja nosso guia sobre como desativar o XML-RPC no WordPress facilmente.

Desativar a REST API no WordPress

A REST API JSON do WordPress permite que plugins e ferramentas acessem dados do WordPress, atualizem conteúdo e/ou até mesmo o excluam. Veja como você pode desativar a REST API no WordPress.

Recomendamos o uso do plugin WPCode. Este é o melhor plugin de snippets de código que permitirá desativar a REST API em apenas alguns cliques.

Para mais informações, consulte nosso guia sobre como desativar a JSON REST API no WordPress.

Alternativamente, você pode usar o plugin Disable WP Rest API. O plugin funciona imediatamente e desativará a REST API para todos os usuários não logados.

Ativar um WAF (Firewall de Aplicação Web)

Desativar vetores de ataque como REST API e XML-RPC oferece proteção limitada contra ataques DDoS. Seu site ainda é vulnerável a requisições HTTP normais.

Embora você possa mitigar um pequeno ataque DDoS tentando capturar os IPs das máquinas maliciosas e bloqueá-los manualmente, essa abordagem é menos eficaz ao lidar com um ataque grande.

A maneira mais fácil de bloquear solicitações suspeitas é ativando um firewall de aplicação web.

Um firewall de aplicação web atua como um proxy entre o seu site e todo o tráfego de entrada. Ele usa um algoritmo inteligente para capturar todas as solicitações suspeitas e bloqueá-las antes que cheguem ao servidor do seu site.

Recomendamos o uso do Sucuri porque ele é o melhor plugin de segurança para WordPress e firewall de aplicação web. Ele roda em nível de DNS, o que significa que pode capturar um ataque DDoS antes que ele possa fazer uma solicitação ao seu site.

Os preços do Sucuri começam em US$ 199,99 por ano.

Usamos o Sucuri no WPBeginner. Veja nosso estudo de caso sobre como eles ajudam a bloquear centenas de milhares de ataques em nosso site.

Alternativamente, você pode usar Cloudflare. No entanto, o serviço gratuito do Cloudflare oferece apenas proteção limitada contra DDoS. Você precisará assinar pelo menos o plano de negócios deles para proteção DDoS de camada 7, que custa cerca de US$ 200 por mês.

Veja nosso artigo sobre Sucuri vs. Cloudflare para uma comparação detalhada lado a lado.

Identificar se é um Ataque de Força Bruta ou DDoS

Tanto ataques de força bruta quanto ataques DDoS utilizam intensivamente os recursos do servidor, o que significa que seus sintomas parecem bastante semelhantes. Seu site ficará mais lento e poderá travar.

Você pode descobrir facilmente se é um ataque de força bruta ou um ataque DDoS olhando os relatórios de login do plugin Sucuri.

Simplesmente instale e ative o plugin gratuito Sucuri e, em seguida, vá para a página Sucuri Security » Last Logins.

Se você está vendo um grande número de solicitações de login aleatórias, isso significa que seu wp-admin está sob um ataque de força bruta. Para pará-lo, você pode ver nosso guia sobre como bloquear ataques de força bruta no WordPress.

O que Fazer Durante um Ataque DDoS

Ataques DDoS podem acontecer mesmo que você tenha um firewall de aplicação web e outras proteções em vigor. Empresas como CloudFlare e Sucuri lidam com esses ataques regularmente e, na maioria das vezes, você nunca ouvirá falar deles, pois elas conseguem mitigá-los facilmente.

No entanto, em alguns casos, quando esses ataques são grandes, eles ainda podem impactá-lo. Nesse caso, é melhor estar preparado para mitigar os problemas que podem surgir durante e após o ataque DDoS.

A seguir estão algumas coisas que você pode fazer para minimizar o impacto de um ataque DDoS.

1. Alerte os Membros da Sua Equipe

Se você tem uma equipe, precisa informar seus colegas sobre o problema.

Isso os ajudará a se preparar para consultas de suporte ao cliente, ficar atento a possíveis problemas e ajudar durante ou após o ataque.

2. Informe os Clientes Sobre o Incômodo

Um ataque DDoS pode afetar a experiência do usuário em seu site. Se você administra uma loja WooCommerce, seus clientes podem não conseguir fazer um pedido ou fazer login em suas contas.

Você pode anunciar através de suas contas de mídia social que seu site está tendo dificuldades técnicas e que tudo voltará ao normal em breve.

Se o ataque for grande, você também pode usar seu serviço de marketing por e-mail para se comunicar com os clientes e pedir que sigam suas atualizações nas mídias sociais.

Se você tem clientes VIP, talvez queira usar seu serviço de telefonia empresarial para fazer ligações individuais e informá-los sobre como você está trabalhando para restaurar os serviços.

A comunicação durante esses tempos difíceis faz uma enorme diferença em manter a reputação da sua marca forte.

3. Contate o Suporte de Hospedagem e Segurança

Entre em contato com seu provedor de hospedagem WordPress. O ataque ao seu site pode ser parte de um ataque maior visando os sistemas deles. Nesse caso, eles poderão fornecer as últimas atualizações sobre a situação.

Entre em contato com seu serviço de firewall e informe-os que seu site está sob ataque DDoS. Eles poderão mitigar a situação ainda mais rápido e fornecer mais informações.

Com provedores de firewall como a Sucuri, você também pode definir suas configurações para o 'Modo Paranoico', que ajuda a bloquear muitas solicitações e tornar seu site acessível para usuários normais.

Como Manter seu Site WordPress Seguro

O WordPress é bastante seguro por padrão. No entanto, como o construtor de sites mais popular do mundo, ele é frequentemente alvo de hackers.

Felizmente, existem muitas práticas recomendadas de segurança que você pode aplicar ao seu site para torná-lo ainda mais seguro.

Compilamos um guia completo de segurança do WordPress passo a passo para iniciantes. Ele o guiará pelas melhores configurações de segurança do WordPress para proteger seu site e seus dados contra ameaças comuns.

Você também pode gostar de ver outros artigos relacionados à melhoria da segurança do seu WordPress:

• Como Realizar uma Auditoria de Segurança do WordPress (Checklist Completo)
• Melhores Plugins de Segurança do WordPress para Proteger Seu Site (Comparados)
• Melhores Scanners de Segurança do WordPress para Detectar Malware e Hacks
• Como Escanear Seu Site WordPress em Busca de Código Potencialmente Malicioso
• Principais Motivos Pelos Quais Sites WordPress São Hackeados (& Como Evitar)
• Como Proteger Seu Site WordPress Contra Ataques de Força Bruta
• Como Encontrar um Backdoor em um Site WordPress Hackeado e Corrigi-lo
• Como Monitorar Atividade do Usuário no WordPress com Logs de Auditoria de Segurança
• Como Adicionar Cabeçalhos de Segurança HTTP no WordPress (Guia para Iniciantes)

Esperamos que este artigo tenha ajudado você a aprender como bloquear e prevenir um ataque DDoS no WordPress. Você também pode querer ver nosso guia sobre como prevenir ataques de injeção SQL no WordPress e nossa lista de verificação essencial de tarefas cruciais de manutenção do WordPress a serem realizadas regularmente.

Se você gostou deste artigo, por favor, inscreva-se em nosso Canal do YouTube para tutoriais em vídeo do WordPress. Você também pode nos encontrar no Twitter e no Facebook.