Difesa proattiva di WordPress: reputazione IP condivisa via API

Difesa proattiva di WordPress: reputazione IP condivisa via API

L’informazione esiste già, manca solo la strada per arrivare

Ogni installazione di Deskmode blocca tentativi di accesso e sa da quale indirizzo arrivano. Presi singolarmente quei blocchi dicono poco: un indirizzo, una data, un sito. Messi insieme diventano una cosa che nessun sito da solo può sapere, quali indirizzi stanno attaccando siti WordPress in questo momento.

Da questa versione Deskmode Pro Suite mette in comune quel dato. Una volta al giorno il plugin invia al nostro servizio gli indirizzi che ha bloccato e riceve quelli segnalati dagli altri siti. Nella schermata Sicurezza login compare un elenco con la nazione, quanti siti diversi hanno segnalato quell’indirizzo e quando è successo l’ultima volta, più un grafico dell’andamento degli ultimi sette giorni.

Questo è ciò che intendiamo per proattivo: non un aggettivo, ma un momento spostato più indietro. Se l’informazione arriva prima che l’indirizzo bussi alla tua porta, il primo tentativo non lo subisci affatto.

Perché non blocchiamo automaticamente

La domanda arriva sempre, ed è quella giusta: se sapete che un indirizzo è ostile, perché non lo bloccate e basta?

Perché una segnalazione sbagliata, moltiplicata per tutti i siti che ricevono la lista, diventa un danno serio. Una VPN aziendale, un provider condiviso da centinaia di clienti, l’indirizzo di un ufficio da cui lavorano venti persone: basta che finisca nell’elenco per errore e viene respinto ovunque nello stesso momento. Te ne accorgeresti dalle telefonate.

Gli indirizzi condivisi compaiono quindi in un elenco con un pulsante Blocca accanto a ciascuno, e la decisione resta tua. Anticipare l’informazione è utile; delegare la decisione è un altro paio di maniche.

Una soglia prima di considerare ostile un indirizzo

Un indirizzo entra nella lista condivisa solo dopo che almeno tre siti diversi lo hanno segnalato, entro una finestra di trenta giorni. Ogni sito conta come un voto solo, per quante volte segnali lo stesso indirizzo.

Serve a evitare che un’installazione configurata male, o compromessa, faccia finire nella lista di tutti un indirizzo legittimo. Il prezzo è che la lista si popola più lentamente; il beneficio è che quando un indirizzo compare, ci è arrivato per accordo fra siti indipendenti.

Cosa esce dal tuo sito

Solo gli indirizzi IP che hai già bloccato. Nessun contenuto, nessun dato dei visitatori, nessun nome utente. Il tuo sito viene identificato da un codice a senso unico calcolato sul dominio: il servizio sa quanti siti hanno segnalato un indirizzo, non quali.

E la funzione è spenta di serie. Finché non spunti la casella nella schermata Sicurezza login, non parte nessuna richiesta, come per ogni altra funzione del plugin che contatta l’esterno.

Perché una lista specifica per WordPress

I servizi di reputazione generalisti raccolgono segnalazioni da qualunque fonte e per qualunque tipo di attacco: scansioni di porte, invio di posta indesiderata, tentativi contro servizi che non hai nemmeno installato. Sono liste ampie e generiche.

Questa nasce da siti WordPress e da tentativi contro l’accesso di WordPress. Un indirizzo che ha appena provato duecento password su un altro sito è esattamente ciò che ti serve sapere prima che arrivi da te, e non è un’informazione che troveresti in una lista generalista, dove si perde nel rumore.