داترا سکوریتی

داترا سکوریتی چه کاری انجام می‌دهد؟

داترا سکوریتی نسخه ۱.۰.۰ یک افزونه سخت‌سازی و پایش امنیت وردپرس است. هدف آن کاهش سطح حمله و کمک به مدیر برای مشاهده رویدادهای مهم است؛ نه ارائه ادعای «امنیت صددرصد». امنیت واقعی همچنان به بروزرسانی WordPress و افزونه‌ها، تنظیم هاست، رمزهای قوی، نسخه پشتیبان و سیاست دسترسی وابسته است.

محافظت از ورود و احراز هویت دومرحله‌ای

افزونه برای تلاش‌های ورود Rate Limit و قفل موقت بر پایه هش IP دارد. TOTP 2FA همراه با Recovery Code پیاده‌سازی شده و Secret مربوط به TOTP به‌صورت رمزگذاری‌شده نگهداری می‌شود. پیام خطای عمومی ورود و تنظیم طول نشست نیز برای کاهش افشای اطلاعات و کنترل نشست‌ها وجود دارد.

سخت‌سازی WordPress

کنترل XML-RPC و Pingback، جلوگیری از REST User Enumeration و Author Enumeration و گزینه‌های مربوط به Application Passwords در افزونه وجود دارند. همچنین تلاش می‌شود بارگذاری Payloadهای PHP محدود و از اجرای PHP در uploads برای سرورهای سازگار محافظت شود.

هدرها و فایروال سبک

هدرهایی مانند X-Content-Type-Options، X-Frame-Options، Referrer-Policy و Permissions-Policy قابل اعمال هستند. HSTS و CSP نیز به‌صورت گزینه‌ای در نظر گرفته شده‌اند، چون فعال‌سازی نادرست آن‌ها می‌تواند روی منابع خارجی یا دسترسی سایت اثر بگذارد. فایروال سبک، الگوهای واضحی مانند Path Traversal، Null Byte و نمونه‌های آشکار XSS را بررسی می‌کند.

اسکن و گزارش

بررسی Checksum فایل‌های هسته، جستجوی PHP در uploads، بررسی فایل‌های PHP اضافه در بخش‌های حساس و اسکن اکتشافی قالب/افزونه همراه با مقایسه تغییرات از قابلیت‌های نسخه هستند. رویدادها در لاگ ثبت می‌شوند، امکان ماسک IP و خروجی CSV وجود دارد و هشدار ایمیلی و اسکن زمان‌بندی‌شده هسته نیز پیش‌بینی شده است.

نیازمندی و محدودیت

نسخه بررسی‌شده ۱.۰.۰ حداقل WordPress 6.4 و PHP 8.0 را اعلام می‌کند. بعضی کنترل‌ها مانند حفاظت uploads یا هدرهای خاص به نوع وب‌سرور و تنظیمات هاست وابسته‌اند. قبل از فعال‌کردن HSTS/CSP یا قوانین سخت‌گیرانه، تست روی Stage توصیه می‌شود.