هجمات التخمين بسيطة لكنها لا تتوقف. برنامج آلي يجرب كلمة مرور بعد أخرى حتى تنجح واحدة. وكل صفحة دخول عامة تتعرض لهذه المحاولات، من ووردبريس إلى SSH. والخبر الجيد أن عدة طبقات من الحماية توقفها تقريباً بالكامل.
كيف تعمل
يستخدم المهاجمون قوائم بكلمات مرور شائعة ومسربة. ويوزعون المحاولات على عناوين IP كثيرة لتجنب الحظر البسيط. بعضهم يستهدف حساباً واحداً بكلمات مرور كثيرة. وآخرون يجربون كلمة مرور شائعة واحدة على آلاف الحسابات. وكلا الأسلوبين رخيص على المجرمين.
طبقات الحماية
- استخدم كلمات مرور طويلة وفريدة واحفظها في مدير كلمات مرور.
- فعّل التحقق بخطوتين لكل حسابات المديرين.
- حدد عدد محاولات الدخول وأضف تأخيراً قصيراً بعد الفشل.
- احظر المكررين تلقائياً بأدوات مثل fail2ban.
- غيّر أسماء المستخدمين الافتراضية مثل admin.
- قيّد صفحات الإدارة بعناوين IP معروفة عندما تستطيع.
- استخدم مفاتيح SSH بدل كلمات المرور على الخوادم.
إيقاف هجمات التخمين من الخادم
حظر الزيارات الضارة قبل وصولها إلى التطبيق يوفر الموارد. الجدران النارية على الخادم وجدران تطبيقات الويب تُسقط المهاجمين المعروفين مبكراً. وهذا يبقي موقعك سريعاً حتى أثناء الهجوم. وفي الاستضافة المشتركة تكون معظم هذه الحماية مفعلة أصلاً.
راقب العلامات
الارتفاع المفاجئ في محاولات الدخول الفاشلة علامة تحذير. وكذلك الاستهلاك العالي للمعالج على صفحة الدخول. راجع سجلات الأمان أسبوعياً. وإذا رأيت آلاف المحاولات فشدد القواعد وتأكد أن التحقق بخطوتين مفعل.
لا تحظر المستخدمين الحقيقيين
التوازن مهم. الحد الصارم جداً قد يحظر عملاء حقيقيين أخطؤوا في كتابة كلمة المرور. استخدم حظراً قصيراً يطول مع كل فشل. ووفّر استعادة كلمة المرور بالبريد، واشرح القواعد في صفحة الدخول.
تضيف خدمة حماية المواقع لدينا جداراً نارياً وحماية للدخول. وللخوادم اتبع قائمة تأمين VPS وفكّر في الحماية من DDoS للخدمات العامة. بهذه الطبقات تتحول الهجمات إلى مجرد أسطر في سجل بدلاً من أزمة.
تذكير أخير
غيّر كلمات المرور فوراً إذا شككت في تسربها. وراجع قائمة المستخدمين كل شهر. هذه العادات البسيطة تحمي حسابك أكثر من أي أداة منفردة.
وإذا رأيت محاولات من دولة لا تخدمها فيمكنك تقييد الدخول إلى لوحة الإدارة منها مؤقتاً.
