iThemes Güvenlik İncelemesi: WordPress Sitenize Yüklemeye Değer mi? - MalCare

iThemes Security, WordPress sitelerini çeşitli güvenlik tehditlerinden korumak için tasarlanmış bir dizi özellik sunan bir WordPress güvenlik eklentisidir. Ancak web sitenize yüklemeye değer mi?

Etkinliğini, kullanım kolaylığını, diğer WordPress eklentileriyle uyumluluğunu ve maliyete değip değmeyeceğini değerlendirerek iThemes Security'nin derinlemesine bir incelemesini sağlayacağım. Bu makalenin sonunda, web sitenizin güvenlik ihtiyaçları için iThemes Security'nin doğru seçim olup olmadığını daha iyi anlayacaksınız.

iThemes'i yüklemek, sıfır güvenliğe sahip olmakla hemen hemen aynıdır. Aslında, aslında daha kötü olduğunu iddia ediyorum çünkü sizi tamamen dışarıda bırakabilir. Bu nedenle, sitenizi gerçekten koruyacak bir güvenlik eklentisi arıyorsanız, MalCare kesinlikle gidilecek yol.

genel bakış

iThemes bir güvenlik eklentisi gibi görünebilir, ancak en önemli üç özelliği eksiktir. Tüm 'yarım önlemlere aldanmayın; onlar sadece gösteri için.

Örneğin, belirtilen yaklaşımları, sitedeki güvenlik açıklarına karşı tetikte olmak için saldırıları gerçekleşmeden önce engellemektir, ancak aslında bir kullanıcıyı uyarmak için hiçbir şey yapmazlar. Her hafta güvenlik açıkları bulunan özet e-postaların gönderilmesini engellemek.

Bir güvenlik eklentisinin bu eğlence evinde bir yerlerde, hem yararlı hem de çalışan birkaç küçük güvenlik özelliği vardır.
Ardından, yaralanmaya hakaret eklemek için kendi sitelerinin güvenliğini sağlamak için başka bir güvenlik eklentisi kullanıyorlar. Bir güvenlik eklentisi sitesinin kendi ürününü kullanmadığı gerçeğini işlemek için bir dakikanızı ayırın.

Kritik güvenlik özellikleri ve iThemes

Bir güvenlik eklentisi arıyorsanız, onsuz yapamayacağınız bazı özellikler vardır: kötü amaçlı yazılım tarayıcı, kötü amaçlı yazılım temizleyici ve güvenlik duvarı. Eklentinin uygun olup olmadığına karar verirken bunlar listenizin başında olmalıdır.

Bu özellikler tartışılamaz ve herhangi bir incelemenin en önemli noktaları olmalıdır. Ancak iThemes, sitelerinin çeşitli yerlerinde bu kesin özelliklerin WordPress güvenliğinin dışında olduğunu belirtmiştir. Kesinlikle katılmıyorum.

Kötü amaçlı yazılım tarayıcı

Temel bilgilerle başlayalım. Kötü amaçlı yazılım taraması yapıyor mu? Hayır. Google'ın sitenizi kara listeye alıp almadığını kontrol eder. Bu bilgiyi tarama sonuçlarının ham veri bölümünde göreceksiniz.

Google, sitenizde bir kötü amaçlı yazılım taraması yürütürken, iThemes bunu yapmaz. iThemes, sitenizin halk arasında Google kara listesi olarak adlandırılan Google Şeffaflık Raporu'na girip girmediğini anlamanıza yardımcı oluyor. Bu taramayı sizin için çalıştırmak için kesinlikle iThemes'e ihtiyacınız yok. Google'ın sitesine gidebilir ve bilgiyi saniyeler içinde kendiniz alabilirsiniz.

Tarayıcının kötü amaçlı yazılım taraması yapmadığı düşünüldüğünde, otomatik taramalar bir tartışma konusu. Ancak, iyi bir güvenlik eklentisinin kötü amaçlı yazılımları otomatik olarak ve düzenli olarak taraması gerektiğini unutmamak önemlidir.

Daha önce gerçekleşmiş olayları gösteren bir “Günlükleri Görüntüle” bölümü de bulunmaktadır.

Kötü amaçlı yazılımdan arındırma

iThemes kötü amaçlı yazılım tespit etmiyordu ve bu, kötü amaçlı yazılımı kaldıramayacakları anlamına geliyor. Bu nedenle, herhangi bir kaldırma işlemi sunmamaları tam bir şok değildi: otomatik, manuel veya sihirli.

güvenlik duvarı

Görünüşe göre iThemes'in bir güvenlik duvarı yok, ancak IP'nin kara listeye alınmasına izin verdiklerini iddia ediyorlar. Gerçekten işe yaramaması çok kötü. Bot koruma özelliği de oldukça zayıftır ve yaptığı tek şey, arama motoru botlarının sitenizi dizine eklemesini engellemektir. Yaptığı tek şey, o kadar kötü yapıyor ki, sitenize zarar veriyor.

IP'leri ve kullanıcı aracılarını yasaklayabilir veya hackrepair.com'dan önceden doldurulmuş bir yasak listesi kullanabilirsiniz. Ancak bu komutlar, onları .htaccess veya nginx.conf dosyasında yönettikleri için yanıltıcı olabilir, bu nedenle ideal değildir. Bunlar sunucu yapılandırma dosyalarıdır ve inanılmaz derecede güçlüdür. Ancak bunların kullanım amacı, ayarları siteye özel olarak özelleştirmektir. Bunlardan biri IP beyaz listesi veya kara listedir, ancak bu komutlar çok hantal olabilir ve bir yapılandırma dosyasında yönetilmesi zor olabilir.

Bu nedenle güvenlik duvarı başka bir yerde olmalıdır.

IP adreslerini bir istisna listesine de girebilirsiniz, ancak cihaz IP'leri sürekli değiştiği için bu sınırlı bir kullanımdır. Genel olarak, etkilenmedim.

İkincil güvenlik özellikleri

Görünüşe göre iThemes önemli güvenlik işlemlerini çok iyi yapamıyor. Peki ya kaba kuvvet koruması ve etkinlik günlükleri gibi görevler?

Giriş koruması

iThemes, kaba kuvvet korumasında büyüktür, ancak bu konuda berbattır. Kimin aklına gelirdi?

Bu özelliği test etmek için, yanlış şifre veya kullanıcı adıyla 10 denemeden sonra bizi hesabımdan çıkaracak eklentiyi kurdum. Bu testi iki farklı türde sitede yaptım. Normal bir sitede 10 denemeden sonra kilitlendim, ancak saldırıya uğramış test sitesinde 100'e kadar deneme yaptım ve engellenmedim. Engellenen girişimler, ağ kaba kuvvet saldırıları olarak günlüğe kaydedilirken, izin verilenler yerel kaba kuvvet saldırılarıydı.

Normal siteyi manuel olarak kaba zorlamayı bile denedim, ancak IP'nin yasaklı olmayanlar listesinden çıkarılmasına rağmen hala engellenmedim. Yapılandırmalara göre beni 15 dakika dışarıda tutması gerekirdi. Ama orada şans yok.

Herhangi bir hatalı girişin kaba kuvvet olarak kategorize edildiğini not etmek ilginçtir. iThemes'in kaba kuvvet koruma özelliği oldukça değişken ve tahmin edilemez.

Güvenlik açığı tespiti

Bir model algılıyorsanız, muhtemelen iThemes'in savunmasız eklentileri tespit etme iddialarının sahte olduğunu tahmin edeceksiniz. Sitelerimizde birkaç tane yükledim ve tarama tek bir tanesini bile tespit edemedi.

Peki sitenizdeki güvenlik açıklarına karşı sizi nasıl uyarıyor? iThemes size ara sıra eklentilerde ve genel olarak temalarda tespit edilen yeni güvenlik açıklarının bir listesini içeren bir e-posta gönderir, bu nedenle sitenizde hangilerinin olduğunu bulmanız ve bunları güncellemeniz gerekir. E-posta aboneliğinden çıkabilir ve tüm güvenlik açıklarını tamamen kaçırabilirsiniz. Bu hiç de proaktif bir yaklaşım değildir ve sitenizdeki güvenlik açıklarını belirleme sorumluluğu size aittir.

Güncel olmayan eklentileri ve temaları güncellemek için özel olarak tasarlanmış bir sürüm yönetimi özelliğine sahip olmaları daha da saçma, ancak hangilerinin güvenlik açıkları olduğunu kontrol paneline ekleyemiyorlar.

İki faktörlü kimlik doğrulama

iThemes'te iki faktörlü kimlik doğrulama, tam olarak ilan edildiği gibi çalışır. Mobil uygulama, e-posta ve yedek kodlar dahil olmak üzere birden çok yöntemle iki faktörlü kimlik doğrulamayı ayarlayabilirsiniz.

Ek olarak, kullanıcı rollerine dayalı 2FA'nın yanı sıra geleneksel oturum açma işlemleri için kullanılamayan REST API ve XML-RPC için ayrı uygulama şifreleri ayarlamak mümkündür. Bu ayar, kullanıcı profilinde bulunabilir ve oradan ayarlanabilir.

Bununla birlikte, güvenlik endişeleri nedeniyle, XML-RPC genellikle devre dışıdır ve bu ayrı parolaların kullanımını sınırlar.

Etkinlik günlüğü

Kullanıcı etkinlik günlüğü yöneticiler için etkinleştirilmiştir, ancak ne yazık ki tüm etkinlikler doğru bir şekilde günlüğe kaydedilmez, bu nedenle hemen hemen işe yaramaz.

Sertleştirme özellikleri

• Dosya İzleme: Bu, güvenlik için güvenebileceğiniz bir özellik değildir. Dosya ve klasörlerde beklenmeyen değişiklikler olup olmadığını izleyebilirsiniz, ancak bununla ilgili birkaç sorun vardır. Hangi dosyaları izleyeceğinizi bilmeniz ve iyi değişiklikleri kötü değişikliklerden ayırt edebilmeniz gerekir. Ayrıca, bilgisayar korsanları dosyaların değiştirilme tarihlerini değiştirebilir, bu yüzden bu özelliğin bununla nasıl başa çıkacağından emin değilim.
  
  Dosya uzantısı hariç tutma listesi, kötü amaçlı yazılım taşıdığı bilinen ve yararlı olmayan jpeg ve ico'yu da içerir. Ayrıca eklenti/tema kurulumlarını, eklenti güncellemelerini veya gönderilerde ve sayfalarda yapılan değişiklikleri algılamaz.

• Sertleştirme araçları: Bu bölümdeki seçenekler. Örneğin, veritabanı önekini değiştirebilir ve buradan WordPress tuzlarınızı değiştirebilirsiniz ki bu güzel. Bunu yapmak için genellikle WordPress oluşturucusunu kullanırsınız ve ardından wp-config dosyasındaki tuzları manuel olarak değiştirmeniz gerekir, bu nedenle bu kullanışlı bir araçtır. Bu bilgiyi nerede arayacağınızı bilmiyorsanız, 'Dosya izinlerini kontrol edin' de yararlıdır. Ancak burada izinleri değiştiremezsiniz ve bunun nasıl yapılacağına dair bir gösterge yoktur. Sunucu IP'lerini tanımlama özelliği, IP'nizin ne olduğunu anlamanıza yardımcı olur, böylece onu yasak olmayanlar listesine ekleyebilirsiniz. Bu, başka bir yerde kolayca yapılabileceği için en iyi ihtimalle bir gösteriş.

• Yüklemeler klasöründe, eklenti klasörlerinde ve tema klasörlerinde PHP yürütmesini engelle: Açıklamadan, iThemes'in PHP komut dosyalarına yönelik harici istekleri engellediği anlaşılıyor. Bir tür saldırı için kullanışlıdır, bu yüzden yüklemeler klasörü için kullanmanızı tavsiye ederim. Ancak eklentilerin ve temaların kesinlikle komut dosyaları olacaktır, bu nedenle bunları engellemenin mantıklı olup olmadığı siteye bağlıdır. Dosyalar doğrudan oradan çağrılmıyorsa, bunun yerine admin-ajax gibi bir şey kullanılıyorsa, sorun değil. Ancak bazı eklentilerin doğrudan erişilmesi gereken komut dosyaları vardır ve bunlar bozulur. Normal bir kullanıcının bunu belirlemesi zordur.

iThemes'i yükleme ve yapılandırma

Şimdiye kadar, güvenlik özellikleri konusunda pek şansım olmadı. Peki ya kullanılabilirlik; kurulumu ve yapılandırması kolay mı?

Kurulum

Uzun ve nihayetinde gereksiz bir kurulum süreci olmasına rağmen, ücretsiz sürümü yüklemek çok kolaydır. Pro sürümü için bir lisansa kaydolmanız ve eklentiyi sitelerinden indirmeniz gerekir.

Kullanım kolaylığı

iThemes'in kullanımı gerçekten kafa karıştırıcı. Teknik jargon ve karmaşık ayarlar, günlük kullanıcıların anlamasını zorlaştırıyor. Ayrıca iddia ettiği şeyi yapmıyor gibi görünüyor. Kullanılabilirlik için bir başparmak aşağı.

Bildirimler ve uyarılar

Hiç uyarı yok. Aşırı uyarılardan kaçınmaktan yanayım, ancak iThemes ile hangi ayarları denerseniz değiştirin, herhangi bir uyarı alamazsınız. Bildirimleri isteseniz bile, onları alamayacaksınız.

Kullanıcı yönetimi

Elbette, güvenlik ayarlarını kullanıcı rollerine göre ayarlayabilirsiniz, ancak bunların çoğu gereksizdir. Örneğin, güçlü parolalar tüm kullanıcılar için verilmelidir. İlk bakışta etkileyici görünen çok sayıda seçenek var, ancak gerçekçi olarak, ayrıntılı ayrıntılara girmenize gerek yok. Çünkü, kullanıcı düzeyinde bir hesap saldırıya uğrarsa, bilgisayar korsanları ayrıcalıklarını potansiyel olarak yönetici düzeyine yükseltebilir. Sonuç olarak, bu özellik göründüğü kadar yararlı değil.

Dikkate alınması gereken diğer faktörler

iThemes pek bir güvenlik eklentisi değildir. Ancak, güvenliğin ötesinde, iThemes'i seçerken göz önünde bulundurulması gereken birkaç faktör daha vardır. Burada eklentinin sunucu üzerindeki etkisinden ve desteğin iyi olup olmadığından bahsedeceğim.

Sunucu kaynakları üzerindeki etki

Sunucu kaynakları söz konusu olduğunda, iThemes mükemmel bir puan alır. Hiçbir etkisi yok: O kadar hafif ki, neredeyse eklenti orada değil veya hiçbir şey yapmıyor. Bu izler.

Yardım ve Destek

Yardım ve desteğe gelince, bunu kendim test etmedim. Ancak, WordPress deposundaki incelemelere bakmak, bunun harika olmadığını gösteriyor.

Fiyatlandırma

iThemes fiyatları yakın zamanda değişti ve bu gerçekten mantıklı değil. Önceden, sınırsız site için üst düzey bir planları vardı. Şimdi, planlar 1 site için 99 $ ile 10 site için 299 $ arasında değişiyor. İster eski ister yeni fiyatlandırma olsun, iThemes kesinlikle para kaybıdır.

iThemes'e en iyi alternatifler nelerdir?

Bu incelemede iThemes'i eleştirdiğim için seçeneklere ihtiyacınız var. WordPress güvenliği için en iyi eklentiler hangileridir? İşte en iyi seçimler:

• MalCare: MalCare, piyasadaki en iyi güvenlik eklentisidir; tarayıcı süper hassastır, güvenlik duvarı güvenilirdir ve otomatik bir kötü amaçlı yazılım temizleyici çok etkilidir. Her plan, güvenlik uzmanlarından oluşan bir ekip tarafından sınırsız kötü amaçlı yazılım temizleme içerir. İki faktörlü kimlik doğrulamanın yanı sıra, MalCare'de her büyük ve küçük WordPress güvenlik özelliğini bulacaksınız. Yanlış gidemezsin.
• Wordfence : Wordfence'in ücretsiz sürümü, bir tarayıcı ve güvenlik duvarı da dahil olmak üzere oldukça iyi bir koruma sunar. Güvenlik duvarı düzenli olarak güncellenir, ancak ücretsiz sürüm premium sürümün gerisinde kalır. Kötü amaçlı içerik bulunursa, güvenli bir şekilde kaldırmak için daha pahalı bir plana yükseltme yapılması gerekir.
• Sucuri: Sucuri'nin tüm ücretli planları, sınırsız kötü amaçlı yazılım temizleme ile birlikte gelir. Dezavantajı, tarayıcının her zaman doğru olmamasıdır, bu nedenle kaldırma özelliğini çalıştırmadan önce olası kötü amaçlı yazılım sorunlarının farkında olmanız gerekir.

WordPress için bir güvenlik eklentisi nasıl seçilir?

Web siteniz için mükemmel güvenlik eklentisini seçmek zor olabilir. Dışarıda bu kadar çok çözüm varken hangisinin ihtiyaçlarınıza uygun olduğunu bilmek zor olabilir. Bu bölümde, bir güvenlik eklentisine karar verirken göz önünde bulundurmanız gereken tarama araçları, kötü amaçlı yazılımdan koruma araçları, güvenlik duvarları ve daha fazlası dahil olmak üzere temel özelliklerin üzerinden geçeceğim.

Önemli güvenlik özellikleri

• Kötü amaçlı yazılım taraması: Kötü adamların bir adım önünde olmaya çalışmak, hiç bitmeyen bir kedi fare oyunu gibi gelebilir. Neyse ki, sitelerdeki kötü amaçlı yazılımları otomatik olarak tespit etmenin etkili yolları var.
  
  Ancak, güvenlik eklentilerinin kötü amaçlı yazılımları tespit etmek için kullandığı tüm yöntemler eşit derecede etkili değildir. Örneğin, Wordfence tarafından kullanılan imza eşleştirme mekanizması, şüpheli herhangi bir kötü amaçlı yazılımın kodunu, bilinen kötü amaçlı yazılım imzalarından oluşan bir veritabanıyla karşılaştırır. Tehditlerin tespit edilebilmesi için veritabanının düzenli olarak güncellenmesi gerekir. Tahmin edebileceğiniz gibi, yeni kötü amaçlı yazılımlar ve sıfırıncı gün tehditleri yakalanmaz. MalCare, kötü niyetli olup olmadığını kontrol etmek için kodu gözden geçiren çok daha güvenilir bir sinyal eşleştirme mekanizması kullanır. Bu şekilde, en yeni tehditler bile tarayıcı tarafından yakalanır.

• Kötü amaçlı yazılım temizleme: Sitenize kötü amaçlı yazılım bulaştıysa, sitenizden kurtulmak zor olabilir. Bazı durumlarda, kötü amaçlı dosyaları silebilir ve etkilenen site dosyalarını onarabilirsiniz. Ancak daha karmaşık durumlar için deneyimli bir güvenlik uzmanından yardım almanız gerekebilir. Birçok güvenlik eklentisi, uzmanlıkları için birinci sınıf bir özellik olarak kötü amaçlı yazılım temizleme sunar. MalCare, güvenilir otomatik kötü amaçlı yazılım temizleme özelliğine ve her planda uzmanlar tarafından sınırsız temizlemeye sahip tek çözümdür.

• Güvenlik Duvarı: İyi ve güvenilir bir güvenlik duvarı olmadan hiçbir güvenlik kurulumu tamamlanmış sayılmaz. Güvenlik duvarları, gelen trafik için filtre görevi görür ve kötü amaçlı kodların web sitenize sızmasını önlemeye yardımcı olur. Güvenlik duvarlarının gerçekten etkili olması için sık sık güncellenmesi, kapsamlı bir günlük listesi tutması ve WordPress'ten önce yüklenmesi gerekir.

Diğer güvenlik özellikleri

• Güvenlik açığı tespiti: Hiç kimse web sitesinin varlığından haberdar olmadığı bir güvenlik açığı nedeniyle saldırıya uğradığını öğrenmek istemez. Bir güvenlik açığı tarayıcısı, WordPress çekirdeğinizdeki, eklentilerdeki ve temalardaki tüm güvenlik açıklarını tespit etmenize yardımcı olabilir, böylece bunları hızlı bir şekilde düzeltebilirsiniz.

• İki faktörlü kimlik doğrulama: Kullanıcı hesaplarınızı güvende tutmaya yardımcı olmak için iki faktörlü kimlik doğrulamayı (2FA) dikkate almaya değer. Bu, bir kullanıcının oturum açmasına izin vermeden önce iki farklı kimlik doğrulama yöntemi gerektirerek ekstra bir güvenlik katmanı ekler. 2FA ile, kullanıcıların hem bildikleri bir şeye (kullanıcı adı ve şifre gibi) hem de sahip oldukları bir şeye (telefon veya güvenlik belirteci gibi) ihtiyacı vardır. .

• Giriş koruması: WordPress yönetici alanınızı kaba kuvvet saldırılarından korumak çok önemlidir. Bunlar, kullanıcı adınızı ve şifrenizi rastgele tahmin ederek hesabınıza girmeye yönelik otomatik girişimlerdir. Kendinizi korumak için oturum açma koruma özelliklerine sahip bir eklenti yüklemelisiniz.

• Etkinlik günlüğü: Web sitenizde neler olup bittiğini takip etmek istiyorsanız, etkinlik günlüğü sahip olmak için harika bir araçtır. Sitenizde meydana gelen tüm değişiklikleri izlemenize ve herhangi bir güvenlik olayını hızlı bir şekilde belirlemenize yardımcı olur. Bu, tehditlere hızla yanıt vermenize ve web sitenizi güvenli tutmanıza yardımcı olabilir.

Güvenlik eklentilerinin olası sorunları

• Sunucu etkisi: Güvenlik eklentileri, sunucu kaynaklarınızı zorlayarak sitenizi yavaşlatabilir ve daha az duyarlı hale getirebilir. Bunun nedeni, sitenizde kötü amaçlı yazılım taramaları yapmaları veya güvenlik duvarını güçlendirmek için sitenizin sunucu kaynaklarını kullanmalarıdır. Wordfence bu cephedeki en kötü suçludur. Öte yandan MalCare, taramalarını kendi sunucusunda yapacak şekilde tasarlanmıştır, bu nedenle kendi kaynaklarınızı kullanmayacaktır. Web sitenizi yavaşlatmayan eklentiler aramaya çalışın.

Son düşünceler

iThemes, yüklemek için harcadığı az enerjiye bile değmez. Zayıf bir kötü amaçlı yazılım tarayıcısına, kötü amaçlı yazılım temizleme araçlarına ve güvenlik duvarına sahip değildir. Bunu atlayıp MalCare gibi daha kapsamlı güvenlik çözümlerine bakmanız daha iyi.

SSS

iThemes güvenliğinin özellikleri nelerdir?

Pek çok özelliğe sahip olduklarını iddia ediyorlar ama hepsi çan ve ıslık. Kötü amaçlı yazılım tarayıcıları olduğunu iddia ediyorlar, ancak yalnızca sitenizin kara listeye alınıp alınmadığını kontrol ediyorlar. IP'leri engelleme seçeneklerinin olduğunu söylüyorlar ama bu gerçekten işe yaramıyor. Oldukça işe yaramaz bir oturum açma korumasına, tamamlanmamış bir etkinlik günlüğüne, düzmece güvenlik açığı algılamasına ve zar zor kullanışlı güçlendirme özelliklerine sahipler. Çalışan tek güvenlik özelliği, iki faktörlü kimlik doğrulamadır.

Wordfence güvenliği ile iThemes güvenliği arasındaki fark nedir?

Wordfence en iyi ücretsiz güvenlik eklentisidir ve iThemes en kötüsüdür. Wordfence en güncel güvenlik duvarına, çoğunlukla etkili bir tarayıcıya ve bazı otomatik kötü amaçlı yazılım temizleme seçeneklerine sahiptir. iThemes, sitenizdeki kötü amaçlı yazılımı gerçekten tanımlamaz, kötü amaçlı yazılım temizleme işlevine ve güvenlik duvarına sahip değildir.

iThemes güvenliğimi nasıl sıfırlarım?

Parolayı sıfırlamak için iThemes Üye Paneli Oturum Açma sayfasına gidin. Şifreyi sıfırlamak için bir bölüm var. Hesapla ilişkili kullanıcı adını veya e-postayı ekleyin. Daha sonra bir e-posta ve 30 dakika boyunca geçerli olan şifreyi sıfırlamak için bir bağlantı alacaksınız.

iThemes aboneliğimi nasıl iptal edebilirim?

iThemes aboneliğinizi iptal etmek için satış ekiplerine ulaşmanız gerekecek. Onlara [email protected] adresinden e-posta gönderin