WordPress mas seguro con Wordfence Security

wordfence

Hace unos meses hice un análisis sobre el plugin Better WP Security (http://openwebcms.es/2013/seguridad-en-wordpress-con-better-wp-security/), una suite de seguridad que ayuda a proteger WordPress.

Pero como siempre existen alternativas, en este caso me gustaría hablar del plugin Wordfence Security, una suite de seguridad con Firewall (o algo parecido) para WordPress en forma de plugin desarrollada por el autor de Benchmark (http://openwebcms.es/2013/wordpress-benchmark-comprobar-el-rendimiento-de-wordpress/)

La instalación de Wordfence Security es como la de cualquier otro plugin, utilizando el gestor de plugins de WordPress o descargándolo desde WordPress.org y subiéndolo por FTP al servidor.

Después de instalar Wordfence Security se añadirá un nuevo menú al final de la barra de la izquierda del panel de administración de WordPress:

Podemos observas que las funciones del plugin se encuentran agrupadas en varias secciones: Scan, Live Traffic, Blocked IPs, Country Blocking, Scan Shedule, Whois Lookup, Advanced Blocking y Options.

La primera vez que accedemos a la administración de Wordfence accedemos a la pantalla Scan, debemos pulsar sobre el botón azul “Start a Wordfence Scan” situado arriba de todo:

Después de darle debemos esperar a que Wordfence termine de analizar la instalación de WordPress, puede tardar unos minutos, más o menos dependiendo del tamaño del sitio web y de la potencia y recursos del servidor.
Las operaciones realizadas durante el escaneo son estas:

  • Recolecta los datos de los archivos de WordPress, de los plugins y de los themes para comprobar que no tienen código malicioso posteriormente.
  • Recolecta los datos de malware de la base de datos de Wordfence.
  • Compara los archivos del nucleo de WordPress con los de la instalación.
  • Escanea los themes en busca de Malware.
  • Escanea los plugins en busca de Malware.
  • Escanea otros archivos en busca de Malware.
  • Escanea las URL del sitio con Google Safe Browsing List.
  • Escanea las URL de los comentarios sitio con Google Safe Browsing List.
  • Escanea las contraseñas.
  • Escanea cambios no autorizados en las DNS.
  • Comprueba si hay espacio disponible en disco.
  • Escanea themes y plugins antiguos.

Por ultimo muestra el resultado en forma de LOG, además también ofrece estadísticas del análisis como por ejemplo el tamaño y el número de archivos analizados:

Desde la pestaña Live Traffic podemos ver algunas estadísticas en tiempo real de nuestro sitio web: Clicks, visitantes, usuarios registrados, 404s y también datos de la memoria utilizada por Wordfence y la memoria utilizada en total por toda la instalación de WordPress (aunque esto aparece en todas las ventanas):

Wordfence 5

La sección Blocked IPs permite bloquear IPs de visitantes malintencionados o de robots. La información mostrada de las IPs incluye geolocalización, ISP y hostname.
Wordfence también puede bloquear IPs automáticamente en algunos casos.

Wordfence también puede bloquear visitantes por país, pero esto solo está permitido en la versión Premium, puedes encontrar esta función en la sección Country Blocking.

La función de programar escaneados también está restringida solamente a los usuarios de la versión Premium, esta función la puedes encontrar en el menú Scan Shedule.

Wordfence también dispone de una herramienta de WHOIS para IPs y dominios, aunque solo funciona con dominios globales (.com, .net, .org, etc…). Puedes encontrar esta función en la sección Whois Lookup.

Por último, otra función interesante del plugin es la situada en la sección Advanced Blocking que permite bloquear el acceso de los visitantes condicionado por rangos de IPs completos o parciales, bloquear por User-Agent (Navegadores) y especificar una razón. Esta herramienta permite implementar reglas de acceso a nuestro sitio web:

Las opciones de configuración de Wordfence puedes encontrarlas en la sección Options, pero hay que tener en cuenta que son bastantes y algunas bastante complejas, por lo que no es muy recomendable tocar si no sabes cómo hacerlo.
Algunas de las opciones que podemos configurar son las siguientes:

  • Activar o desactivar el firewall.
  • Activar o desactivar opciones de seguridad en la autentificación.
  • Activar o desactivar Live Traffic.
  • Activar o desactivar programación de escaneos (Versión premium),
  • Permite configurar un correo a donde enviar las alertas.
  • Permite configurar el nivel de seguridad (4 niveles).
  • Permite configurar que alertas se dispararan.
  • Permite ignorar elementos de Live Traffic distinguiendo por IP, navegador o usuarios.
  • Permite elegir que elementos se analizaran durante el escaneo.
  • Permite especificar límites de utilización de memoria.
  • Permite ocultar la versión de WordPress.
  • Comprueba la fortaleza de las contraseñas.
  • Permite especificar las reglas del Firewall.

Como puedes observar, Wordfence es una interesante alternativa para mantener protegido un sitio web WordPress sin necesidad de tener “excesivos” conocimientos acerca de seguridad, aunque es importante tener nociones.
Evidentemente existen otras alternativas, si conoces algunas más interesante puedes ponerla en los comentarios.

La página del plugin en WordPress.org es: http://wordpress.org/plugins/wordfence/

Leave a Comment