Instalar y configurar Wordfence

¡Hola nómadas!

Volvemos con un breve y sencillo post sobre cómo instalar y configurar Wordfence, un plugin de seguridad que deberíamos tener todos en nuestro WordPress.

¿Qué es?

Como bien hemos dicho, es un plugin de seguridad que está compuesto principalmente por tres módulos:

Integridad/AV: Comprueba que los archivos del core de wordpress no han sido modificados por un posible malware o intruso.

Cortafuegos: En función de unas reglas que le especifiquemos, Wordfence podrá bloquear aquellas IP que realicen una acividad sospechosa o maliciosa.

Optimización: Permite optimizar el sitio mediante la caché de contenido. Nosotros no lo activamos porque ya utilizamos otro servicio externo para ello.

Instalación

Para instalar este plugin es tan sencillo como acceder con el perfil con rol de administrador a nuestro wordpress e ir a “Plugins”. Una vez dentro, veréis el botón de “Añadir nuevo”. Hecho esto, nos llevará a una página donde podemos subir un archivo comprimido con el plugin o bien buscarlo online e instalarlo desde este gestor.

Optamos por la segunda opción, buscamos “Wordfence” e instalamos el primero que nos aparece en la lista de resultados:

instalacion_wordfence_01

Tras realizar la instalación, aparecerá una ventana de asistente para poner el correo electrónico al cual recibir las alertas y, en caso de tenerlo, el código de activación para la versión premium.

instalacion_wordfence_02

instalacion_wordfence_03

Nosotros, dado que vamos a utilizar la versión sin licencia, vamos a pulsar sobre “No thanks“. Si alguno de vosotros quisiera la versión premium, pulsad sobre “UPGRADE TO PREMIUM“.

Te puede interesar  Instalación de Wordpress 4.9.x en Debian 8

Configuración

Desde el menú lateral, con un usuario privilegiado, veremos las siguientes opciones:

wordfence_menu_04

Dashboard

Al acceder al dashboard, veremos una página como la siguiente, donde podremos tener de un vistazo rápido el estado de nuestro wordfence.

wordfence_dashboard_05

Vamos a ver cada una de estos módulos como podemos configurarlo para que esté lo más cerca del 100%.

Firewall / Cortafuegos

Empezamos con el cortafuegos, vamos a ver qué opciones nos da y qué podemos hacer con él. Para ello, vamos a pulsar sobre “Manage Firewall”:

wordfence_firewall_06

Ahora veremos el estado de cada uno de las funcionalidades que tiene el firewall.

wordfence_firewall_07

Fijáos que no tenemos todo al 100%, pues, de querer completarlo y estar completamente protegidos tenemos que activar la opción “Premium” y tener una suscripción de pago (99$ por site / año).

Nosotros vamos a dejarlo así, mientras tanto, sin premium.

Si seguimos leyendo más abajo, tenemos las opciones básicas:

wordfence_firewall_08

Fijáos que tengáis “Web Application Firewall” activado, tal y como podéis ver en la imagen anterior.

Más opciones que tenéis si seguimos leyendo más abajo:

wordfence_firewall_09

Whitelisted IP addresses that bypass all rules: Significa que aquellas IP que pongáis en el cuadro de texto podrán ser ignoradas de ser analizadas por el cortafuegos. Digamos que cuando tenemos una IP de confianza, podemos añadirla aquí y nunca se le bloqueará ni denegará el acceso a ningún recurso.

Inmediately block IPs that access these URLs: Aquí podemos especificar ciertas rutas o recursos como, por ejemplo, /administrator/. Aquellas IP que intenten acceder a este recurso serán bloqueadas automáticamente. Por ejemplo, si ponemos /administrator/ que es el panel por defecto de Joomla!, bloquearemos muchos bots que buscan hacer daño a un CMS, aunque no tengamos dicho software. Más vale prevenir que curar.

Te puede interesar  Instalar Gitea en Raspberry Pi 3 con Docker

Ignored IP addresses for Wordfence Web Application Firewall alerting: Permite ignorar algunas IP que especifiquemos. Por ejemplo, si disponemos de un scanner como OpenVas o Nessus, podemos añadir la IP de este para que no nos genere ruido.

Protección frente a fuerza bruta

Otra de las funcionalidades del cortafuegos es la protección contra ataques de fuerza bruta. ¿Qué significa esto? Básicamente, y de forma resumida, bloqueará las direcciones IP que intenten por la fuerza acceder a nuestro panel de administración. Esta técnica utiliza nombres de usuario frecuentes (admin, user, etc…) y una lista de palabras (diccionario) para probar suerte mediante múltiples combinaciones. Para cada usuario frecuente, prueban cada una de las palabras del diccionario hasta dar con la clave correcta. Por eso, es importante que nuestra contraseña no sea fácil de adivinar ni sea una palabra que pueda estar en un diccionario o combinación numérica.

Para activar dicha protección, fijáos que tengáis la funcionalidad habilitada:

wordfence_firewall_10

Y más abajo podéis encontrar la parametrización. Por motivos obvios no vamos a mostrar qué hemos elegido nosotros. Estableced los parámetros que creáis oportunos o dejadlos tal y como viene por defecto.

Y básicamente son las opciones que más pueden interesaros, el resto, tal y como viene por defecto es suficiente dejarlo como está, no queremos entrar al detalle a explicar qué hace si no vamos a hacer ninguna modificación. Quizá más adelante nos planteemos un manual / guía más completo de Wordfence.

Scanner Anti-Malware

Otro de los módulos que tiene Wordfence es el de integridad que cuenta además con un motor de antivirus ( gratuito y de pago).

Para entrar a ver qué nos ofrece, desde el Dashboard de Wordfence pulsamos sobre Manage Scan:

Te puede interesar  Bastionado de Wordpress Paso a Paso

wordfence_firewall_11

Tal y como habéis imaginado, para tener la protección al 100% debemos pagar por ello y tener la suscripción premium. Por defecto, la versión gratuita ya nos ofrece una protección básica que cubre las necesidades básicas para un blog que acaba de empezar como el nuestro:

wordfence_scanner_12

Si queréis cambiar la intensidad del escáner seleccionad la opción que más os convenga. Nosotros lo dejamos en Standard. En caso de que sospechéis que habéis sido hackeados, cambiadlo a High Sensitivity.

Otras herramientas adicionales

Si queréis, desde el dashboard, podéis acceder a Tools para ver de qué otras herramientas podemos disponer:

  • Autenticación de dos factores que es de pago pero para los más paranoicos puede ser de gran utilidad.
  • Tráfico en vivo para ver las peticiones recientes que se están realizando a nuestro blog. Nos permitirá tomar acciones como bloquear la IP, por ejemplo, si estamos recibiendo un ataque.
  • Filtro de spam que, teniendo el plugin Akismet, no vemos necesario activar, además de que se necesita la suscripción premium.
  • Información whois de una dirección IP. Aunque ahora con la nueva ley de protección de datos poco o nada podremos conocer.

¡Y por ahora eso es todo, nómadas! Espero que os haya gustado este pequeño repaso al plugin de seguridad Wordfence que nos ayudará a proteger nuestro blog de los malintencionados usuarios o bots que intentan comprometerlo.

¡No os perdáis los siguientes artículos!

 

Instalar y configurar Wordfence
Etiquetado en:                                         

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *