My Home is my Castle Wie sichere ich Content Management Systeme ab am Beispiel von WordPress. Präsentation zur 6. CMS Night im Rahmen der #nueww

1. CMS Security
my ~/ is my castle

2. ad personam
• Stefan Kremer
• freiberuflicher Systemberater
Mac, Web, CTI
• WordPresser seit Duke Ellington
• Contributor WordPress.tv
Mitgründer WP-Meetup Franken
• Vorrangiger Einsatz von WP als
CMS für Kundenpräsenzen
@stkjj
stefanredaktiv
stefan@redaktiv.de

3. CMS? No prob! Oder doch?
• CVE-Hitliste
• (19) Joomla: 305
• (22) Drupal: 268
• (27) WordPress: 232
• (35) Typo3: 174
• ohne Eintrag ≠ sicher, sondern nur noch
nicht dokumentiert

4. Basisanalyse
• Hosting
• Shared Hosting
• Virtual Host
• Managed Server
• Rootserver
• Housing
• Basissystem?
• OS?
• PHP?
• MySQL?
• Webadmin Tool?

5. Angriffsvektoren
• „Standard“ Benutzernamen
• schwache Passwörter
• veraltete Installationen
• schlechter Code
• SQL Injections
• XSS - Cross Site Scripting
• …

6. Login Credentials
• was spricht eigentlich gegen den
Benutzernamen »asylufdeworig23r«?
• Name der Katze oder Geburtsdatum der
Oma ist kein Passwort!
• Ein Admin, ein User-Account
• Kopfschmerzen? Finger wund?
➡ Passwortmanager!

9. Brute-Force Attacs
• Durchprobieren von Credentials
➡ willkürliche Benutzernamen
➡ starke Passwörter
• Sperre nach x Versuchen für Zeitintervall y
• Blacklisting der IP
➡ iThemes Security (ex BetterWPSecurity)

10. Monitoring
• Server up?
• Dateien verändert?
• Benutzeranmeldungen?
• Eindringungsversuche?
• Logouts?
➡ iThemes Security (ex BetterWPSecurity)

11. Update, Update, Update
• regelmässig WP-Core aktualisieren
• Achtung: AutoUpdater seit 3.7!
• besser: Benachrichtigung bei Update
• regelmässig PlugIns aktualisieren
• regelmässig (Premium) Themes aktualisieren

12. TTV
• zufällige Versionsnummer ausgeben
• .htaccess-Regeln zum Zugriffsschutz
• /wp-content/
• wp-config.php
• readme.html + liesmich.html
• „hide and seek“ (/wp-content, wp_, …)
➡ iThemes Security (ex BetterWPSecurity)

13. die Mauer erhöhen
• Login per SSL-Zertifikat absichern
• Kosten < 50 €/p.a.
• http://www.psw.net/ssl-zertifikate.cfm
• Zwei-Faktor Authentifizierung
• https://github.com/sergejmueller/2-Step-Verification

14. im Fall der (Un)Fälle
• Backup!
• regelmässig, automatisiert, zeitgesteuert
• MySQL-Datenbank
• Dateien, insp. /wp-content/uploads/
• Wiederherstellung üben!

15. Fazit
• Sicherheit ist eine Daueraufgabe!
• Aufwand vs. Nutzen
• Make or Buy

16. Vielen Dank für die
Aufmerksamkeit!