Welcome to our blog!

Jika kamu merupakan pengguna atau web master website WordPress, hal penting yang selalu kamu harus utamakan adalah masalah keamanan. WordPress merupakan content management system atau CMS yang paling banyak digunakan di internet, sehingga tidaklah aneh platform ini juga menjadi target serangan popular.

Salah satu langkah yang bisa kita lakukan untuk mengamankan website WordPress kita adalah dengan blok alamat IP agar tidak bisa mengakses WordPress admin, wp-admin dan wp-login.php. Kita bisa blok alamat IP semuanya kecuali alamat IP kita sendiri. Pada tutorialnya kami membahas untuk blok alamat IP di web server yang menggunakan Nginx.

Syarat-syarat Tutorial Ini:

– Web server kamu menggunakan Nginx, bagi yang menggunakan Apache tidak bisa menggunakan cara ini.
– WordPress kini sudah bisa bekerja di Nginx,

Blok Alamat IP Cegah Akses WordPress Admin di Web Server Nginx

Dengan men-setting perlindungan berbasis IP ini, website WordPress kamu tidak akan lagi rentan akan serangan seperti brute force. Serangan brute force merupakan salah satu metode serangan yang paling banya digunakan untuk menyerang CMS di internet. Blok alamat IP akan membantu kamu untuk mencegah hacker mencoba memasuki area WordPress admin, karena memang mereka tidak bisa mengaksesnya karena alamat IP-nya tidak ada di dalam daftar whitelist alamat IP.

Nginx: Blok Akses ke Area WordPress Admin

Yang pertama harus dilakukan adalah dengan mengedit file Nginx vhost, atau file nginx.conf, hal ini tergantung bagaimana cara kamu mengkonfigurasi Nginx service.

nano -w /etc/nginx/nginx.conf

Tambahkan kode dibawah ini untuk blok alamat IP semuanya, dan whitelist alamat IP kamu:

location ~ ^/(wp-admin|wp-login\.php) {
 allow 111.111.111.111;
 deny all;
}

Jika kamu meng-install WordPress di dalam folder misalnya sub folder /blog/, maka ketik kode seperti dibawah ini:

location ~ ^/blog/(wp-admin|wp-login\.php) {
 allow 111.111.111.111;
 deny all;
}

Ganti alamat IP 111.111.111.111 dengan alamat IP kamu.

Test Login ke Area WordPress Admin

Buka browser dan coba akses ke http://www.situskamu.com/wp-admin atau http://www.situskamu.com/wp-login.php. Jika kamu mengakses dari alamat IP yang dibolehkan maka harusnya bisa mengakses halaman tersebut, dan coba lagi dari ISP yang berbeda apakah bisa mengakses halaman WordPress admin tersebut?

Kesimpulan

Melindungi area WordPress admin wp-admin dan wp-login.php sangat mudah jika kamu menggunakan Nginx. Yang kamu butuhkan adalah ISP dengan alamat IP statik, atau bisa menggunakan koneksi VPN untuk mempunya alamat IP statik.

 

Bagi kamu yang sedang mencari hosting, Jakartawebhosting.com menyediakan WordPress Hosting, dengan kecepatan dan stabilitas pusat data dan server yang baik, up time server 99,9%, team support yang siap membantu 24 jam dan biaya langganan yang menarik.

WordPress merupakan aplikasi web content management system (CMS) yang paling popular di internet. Karena kepopulerannya ini, maka tidaklah aneh jika website yang menggunakan WordPress sering menjadi target serangan. Meski demikian kamu tidak perlu khawatir, karena ada banyak cara untuk mengamankan website WordPress kamu.

Salah satu serangan yang paling sering digunakan untuk menyerang website WordPress dengan menggunakan serangan Brute Force. Serangan Brute Force yang diterjemahkan kedalam bahasa Indonesia adalah serangan brutal. Teknik serangan terhadap sistem keamanan komputer dengan mencoba menebak password atau passcode sebanyak mungkin agar bisa masuk kedalam sistem.

Pada artikel kali ini kami akan membahas mengenai salah satu cara untuk menghadang serangan Brute Force pada website WordPres. Teknik yang akan kami bahas menggunakan ModSecurity.

Apa Itu ModSecurity

ModSecurity (atau dikenal juga dengan mod_security, security2_module, modsec) merupakan module Apache yang didesain dengan fungsi yang mirip dengan Web Application Firewall, yang memiliki tujuan untuk membantu melindungi website dari berbagai tipe serangan seperti: SQL Injection, Iframe attacks, Webshell/Backdor Detection, Botnet Attack Detection, Brute Force dan HTTP Denial of Service (DoS) attacks.

Untuk cara instal ModSecurity bisa mengunjungi BlogHostingIndonesia.com

Cara Menghadang Serangan Brute Force di WordPress

Pertama yang harus dilakukan adalah membuat file yang diberi nama bruteforce.conf, yang ditaruh pada lokasi ini: /usr/local/apache/conf/bruteforce.conf.

Bisa dengan mengetik command:

nano -w /usr/local/apache/conf/bruteforce.conf

Kemudian copy code dibawah ini ke dalam file tersebut:

# WordPress ModSecurity Brute Force Rules
# -----------------------------------------------------------------------------
# TX.max_requests - # of requests allowed during x period of time
# TX.requests_ttl - time in seconds
# TX.block_ttl - block time in seconds
# -----------------------------------------------------------------------------

SecRequestBodyAccess On
SecDataDir /tmp
SecAction "phase:1,pass,setvar:TX.max_requests=6,setvar:TX.requests_ttl=180,setvar:TX.block_ttl=900,initcol:ip=%{REMOTE_ADDR},nolog,id:5001000"
SecRule IP:blocked "@eq 1" "phase:1,drop,log,id:5001001"

# WordPress Anti Brute Force Rules
<LocationMatch "/wp-login.php">
SecAction "phase:2,chain,nolog,id:5001002"
SecRule REQUEST_METHOD "^POST$" "chain"
SecRule ARGS_POST_NAMES "^log$" "chain"
SecRule ARGS_POST_NAMES "^pwd$" "chain"
SecAction "setvar:ip.request_count=+1,expirevar:ip.request_count=%{TX.requests_ttl}"

SecRule IP:request_count "@ge %{TX.max_requests}" "phase:2,drop,setvar:ip.blocked=1,expirevar:ip.blocked=%{TX.block_ttl},log,msg:'Blocked by %{TX.block_ttl} seconds',id:5001003"

Loading Rules Anti Brute Force

Sekarang kita harus mengkonfigurasi ModSecurity untuk meng-load rule anti brute force, dengan menjalankan command ini:

echo "Include /usr/local/apache/conf/bruteforce.conf" >> /usr/local/apache/conf/modsec2.user.conf

Kemudian restart Apache untu menerapkan perubahan:

service httpd restart

Hasil dari rule anti serangan brute force untuk WordPress ini akan di-log pada Apache error log.

Menonaktifkan Rule Anti Serangan Brute Force

Jika rule ModSecurity ini menyebabkan masalah, kamu bisa menonaktifkannya dengan mengedit file /usr/local/apache/conf/modsec2.user.conf, lalu hapus line dibawah ini:

Include /usr/local/apache/conf/bruteforce.conf

Kemudian restart Apache untuk menerapkan perubahan:

service httpd restart

Itulah cara untuk melindungi website WordPress kamu dari serangan brute force. Untuk cara yang lebih mudah kamu bisa menggunakan plugin.

 

Bagi kamu yang sedang mencari hosting, Jakartawebhosting.com menyediakan WordPress Hosting, dengan kecepatan dan stabilitas pusat data dan server yang baik, up time server 99,9%, team support yang siap membantu 24 jam dan biaya langganan yang menarik.