MEDIDAS PREVENTIVAS

3 TIPOS DE ATAQUE
4
5
6

Cómo funciona este tipo de ataque?

Tenemos una máquina que es la máquina del hacker.
La cual utiliza máquinas o utiliza servidores que a su vez han comprometido a otras
máquinas.
Recuerdan lo que vimos en la lección anterior de temas que estén hackeados, que
tienen inserciones
o plugins?
Muchas veces no utilizan tu tema o no, muchas veces no utilizan tu página web
para jactarte a ti directamente,
sino lo que hacen es utilizar.
Ese tema, ese plugin.
Esas páginas hackeada como una máquina comprometida que luego pueden
controlar para ataques de DDO s.
Inundas al servidor de tráfico, muchísimo más tráfico de lo que el servidor puede
aguantar hasta que
el servidor acaba bloqueando.
Es decir, estos ataques mandan, mandan millones de páginas web hasta que el
servidor no aguanta,
porque todos los servidores, incluso los servidores más potentes, tienen un límite y
se bloquean.
El segundo ataque de DD o s más importante de la historia ocurrió en el 2010 y fue
un ataque muy disruptivo
y derribó los sitios web de más de 80 clientes, incluidos Amazon, Netflix, Eveam, Bi,
Spore, Spotify,
Tweeter, PayPal y Reddit.
No, si lo recuerdan, hace 4 años fue muy importante este ataque usando un
malware llamado Mirai.
Los piratas informáticos crearon un botnet de 100 mil dispositivos de internet.
Se dice que los daños causados por este ataque costaron 110 millones de dólares y
a pesar de que el
ataque se contuvo en un solo día, inmediatamente después del ataque, más de
catorce mil quinientos
dominios abandonaron los servicios de Dín, que fue básicamente la plataforma que
fue atacada.
7
6

Cuando visitamos una página web cualquiera y pulsamos sobre un enlace o

queremos descargar un archivo
en el proceso de trámite de la petición, el servidor web consulta el archivo HT
Acces con la idea de
aplicar las directivas y restricciones definidas antes de cursar la petición.
Ilógicamente cancelar aquellas peticiones que se encuentren prohibidas dentro de
este archivo.
Gracias a este archivo vamos a poder configurar nuestro servidor para hacerlo
mucho más seguro, pero
además también podremos realizar redirecciones, crear mensajes de error
personalizados, restringir
el acceso a carpetas, evitar el listado de directorios de nuestro servidor o permitir el
uso de nuestro
dominio sin usar las famosas doble www.
Este archivo es muy delicado, pues puede restringir incluso el acceso a nuestro
sitio.
Si no lo usamos con cuidado.
Durante el curso veremos diferentes líneas de comando que tenemos que agregar
a este archivo para proteger
nuestro sitio.
Si en algún momento, al hacer algún cambio, el archivo Hachette Access bloquea el
acceso a tu sitio
web, simplemente retira los cambios que hiciste y vuelve a subir tu archivo HT
Acces.
A continuación veremos diferentes formas de cómo editar este archivo.
7

CPANEL
YOAST SEO
CLIENTE FTP

10 ACCESO AL CPANEL

11
12
13
15
16
17
19

20 LIMITAR ACCESOS
21

A continuación vamos a ver las técnicas avanzadas para proteger nuestro sitio
WordPress.
Una de las lecciones más importantes es la creación de un Falwell.
Lo vamos a hacer de dos maneras.
Lo vamos a hacer con un plugin.
Es muy sencillo, instalando un plugin que les voy a recomendar y la otra es
modificando los archivos
de HT Acces.
Como en todas las lecciones, voy a tratar de siempre enseñar tanto la forma más
sencilla que es usando
un plugin como la más compleja que sería modificando el HTE.
En este caso es muy posible si no instalamos correctamente el código que se
bloquea nuestro sitio o
que manda error.
Si ese es el caso, no se preocupen, con borrar el código vuelve a estar toda la
normalidad.
Pero sí es muy importante tener esto en cuenta porque algunos servidores a lo
mejor no reaccionan bien
ante este fervor y puede que se bloqueen.
Entonces, si este llega a ser el caso, lo pueden desbloquear, etc..
Otra de las técnicas que vamos a ver también es cómo evitar el spam.
Cómo evitar el spam en comentarios técnicas para la forma de contacto 7.
Cómo evitar los hot linkin?
Vamos, esta es la parte más gruesa del curso y la parte más avanzada de cómo
proteger nuestro sitio.
Así que manos a la obra.
22

23
Evitar la lista de usuarios y uso en un debate con este es una técnica con la
columna Eckert puede obtener
la lista de tus usuarios y tratar de hacer un ataque de fuerza bruta.
Realmente esto es muy sencillo, lo único que tienes que hacer es al final de la
página web de la dirección
de tu página web, teclear signo de interrogación.
Autor con TH.
Igual a uno y Le Descent.
Y lo que sucede es que la página nos va a mostrar el nombre del autor.
El número uno es el usuario original, así que van probando con diferentes números
y obtienen los diferentes
usuarios.
Entonces, lo que nos acaba mostrando es el nombre de este usuario.
Por qué es esto peligroso?
Porque entonces el hacker ya conoce el nombre de ese usuario y puede intentar
hacer un acceso de fuerza
bruta.
Vamos a hacer la prueba en otra página.
No hay ningún autor 1.
Aunque aquí se nos está dando Javier, vamos a intentar con otro autor.
Thon.
Incluso nos da las entradas publicadas por.
Como verán, entonces, es muy sencillo obtener los diferentes usuarios que existen
en una página web.
Así que vamos a ver dos formas para evitar esto.
El primer método es muy sencillo vamos a los usuarios.
Vamos a todos los usuarios y por ejemplo, vamos a editar.
Vemos que tiene lo que es el nombre de usuario, pero tiene el nombre.
Lo que hacemos es que en la sección de mostrar este nombre públicamente, en
lugar de seleccionar el
nombre de usuario, seleccionamos el nombre de la persona.
Con esto, la próxima vez que alguien intente hacer una enumeración de usuario, en
lugar de aparece
el nombre de usuario, aparecerá el nombre escogido por la persona.
Idealmente, el nombre de usuario debería de ser diferente al nombre.
Ahora tenemos que evitar la enumeración de usuarios completamente.
Para hacerlo existen dos formas la primera es modificando el archivo functions PHP
y la segunda va a
ser vía un plugin.
Vamos a ver la primera.
Para hacerlo vamos a pegar un código en el archivo de functions PHP de tu tema
de WordPress anexo a
esta lección viene un archivo de Word.
Estando en el escritorio de WordPress nos vamos a apariencia y nos vamos al
editor.
Estando en el editor de nuestro tema, buscamos el archivo functions.
Vamos a ir a la parte inferior de nuestro archivo.
Y abrimos el archivo anexo en Word.
Evita y yo se numeracion, copiamos a partir de la línea roja.
Lo pegamos.
Y actualizamos el archivo.
Con estas líneas de código estamos evitando de lleno que se haga el no me
bastion.
Vamos a hacer una prueba.
Como verán, ahora me aparece la pantalla en blanco en lugar de parecerme a los
autores.
Ahora vamos a hacerlo de una forma más sencilla, que es a través de un plugin.
Vamos a plugins añadir nuevo.
Y buscamos.
Y s en un me raison.
Como verán, es un plugin que tiene muy buenas críticas y muchas instalaciones
activas.
Última actualización Fue hace 7 meses.
Instalamos.
Y lo activamos.
Y listo.
Este plugin no tiene ninguna configuración.
Simplemente es instalarlo y funciona.
Entonces pueden utilizar cualquiera de los dos métodos a través del functions o a
través del plugin.
24 CREAR UN FIREWALL

Crear un fairway.
Mientras más popular sea tu sitio, más ataque de inserción de código tendrá una
manera muy sencilla
de detener estos por medio de un plugin llamado blog Butt CREIBLES.
Vamos a instalarlo, vamos a plugins añadir nuevo.
Buscamos.
Jueves.
Veremos que es un plugin que tiene muy buenas reseñas 5 estrellas, está activo a la
última versión
de WordPress y tiene 70 más de 70 mil instalaciones activas, lo cual es muy bueno.
Instalamos.
Activamos.
Y listo.
Es un plugin que no se necesita hacer nada más.
Es un plugin nada más de instalar y listo.
Con esto protege automáticamente tu sitio de inserciones malignas de código.
25 BLOKEA IP

Lo que la Zipi.
En esta lección veremos un método alternativo para que puedas bloquearlas y pez.
A pesar de toda la seguridad que hemos creado, es posible que sigamos
recibiendo comentarios spam o
algún bot que esté robando recursos de tu sitio.
Muchas veces recibes comentarios que claramente son spam, entonces puedes
bloquear la IP de estos usuarios
o bots para que no vuelvan a publicar.
Están.
Para hacerlo, vamos a instalar un plugin llamado Lupe Man.
Vamos a Plugins.
Añadir nuevo.
Y buscamos WPP Vann.
Vemos que la última actualización es de hace 7 meses y tiene más de 20000
instalaciones.
Instalamos.
Activamos.
Y listo.
Este es otro plugin que solamente se necesita activar para que empiece a
funcionar, ya que tenemos
detectado alguna IP.
Por ejemplo.
Este es un correo de un comentario para autorizar.
He recibido ya muchos de este autor, que además vemos que claramente es spam.
Entonces aquí tengo swipe.
La copiamos.
En Ajustes vamos a Abban.
Y aquí es donde puedo bloquear las IPS, por ejemplo.
Una por renglón.
También puedo bloquear un rango de pez.
Aquí viene un ejemplo.
Se está bloqueando este rango.
A este rango incluso me permite bloquear.
Hasta Snaps, junto a ese Gepetto, CNN, etcétera.
Aquí incluso nos permite poner un mensaje cuando el usuario está bloqueado.
Salvamos cambios y listo.

26 EVITAR HOTLINSK

Evitar Hutchings.
Judt Link es cuando otro sitio usa imágenes hospedada en tu sitio web.
De esta forma roban ancho de banda al mostrar imágenes que siguen en tu
servidor.
Por ejemplo, en lugar de guardar una imagen GIF y cargarla en su propio sitio web,
la persona usa
un enlace de tipo absoluto hacia la imagen semejante a sitio web junto com
diagonal imagen punto gif.
En lugar de un enlace de tipo relativo.
Quien efectúa Judt Linkin esta usando el ancho de banda de la persona propietaria
del sitio web en la
cual hay imagenes archivada.
Esto tiene un costo para dicho propietario y es que podría terminar con todo el
ancho de banda del servidor
del propietario, haciendo que la imagen ya no pueda visualizarse o en casos
extremos hasta que erse
el sitio web.
Más que esto, simplemente es una práctica que no debería de ocurrir.
Evitar esto es muy sencillo, vamos a utilizar un pequeño código que vamos a
colocar en tu archivo Hachette
Axis.
Para editar nuestro HT Acces lo haremos esta vez desde nuestro cPanel.
Les recuerdo que en cada clase uso diferentes métodos para editar los archivos, ya
sea la elección
de ustedes cuál usar.
En este caso lo vamos a hacer a través del cPanel.
Buscamos el fiel manager.
Y les recuerdo que tenemos que ir al documento raíz y mostrar los archivos
ocultos.
Seleccionamos el HT Acces y vamos a El editor de código.
Bien, nos localizamos justo antes de la última sección del código, que es la que
cambia los permalink
de nuestro sitio web.
Y abrimos el archivo que se encuentra anexo a esta lección.
Evitar Jot Links.
De este código solamente tienen que cambiar esta parte donde dice tu sitio web,
deben poner el nombre
de su sitio sin incluir doble W.W.
En el caso de que lo tengan.
En este caso lo cambiamos de esta forma.
Lo copiamos.
Y lo peor?
Salvamos y listo.
Con esto estamos evitando que puedan usar imágenes directamente desde nuestro
sitio web.
27

29
29
En esta sección vamos a ver las mejores prácticas.
Muchas de ellas pueden parecer muy obvias, pero la realidad es que vale la pena
que las repasemos,
porque incluso a mí me ha pasado que no las seguimos, no las hicimos como un
hábito y por ahí pues
una puerta ataque la otra parte que vamos a ver dentro de estas secciones.
Qué hacer si fuiste hackeado?
Desgraciadamente no hay mucho que hacer.
Podemos seguir un plan, pero depende del ataque y depende de qué tan profundo
sea éste.
Muchas veces vamos a tener que recurrir a un experto.
La intención de este curso, justamente, es que no lleguemos a ese punto, sino que
esté tan bloqueado
y tan protegido en nuestro sitio, que nunca lleguemos a esa situación.
Pero si llegara a darse el caso, tenemos que seguir una serie de procedimientos.
Y si a pesar de seguir esos procedimientos sigues haquedado nuestro sitio, pues ya
tendremos que recurrir
a un profesional de la seguridad.
31 MEJORES PREACTICAS