“Zit er een firewall op?” is vaak de eerste vraag die ondernemers stellen als het over de beveiliging van hun website gaat. Begrijpelijk, want het is de term die iedereen kent. Wat er precies gebeurt als het antwoord ja is, blijft meestal in het midden, en dat is jammer. Want een firewall doet veel, maar lang niet alles, en het verschil tussen die twee bepaalt hoe veilig u werkelijk bent.
In dit artikel leest u wat een WordPress firewall in de praktijk tegenhoudt, waar zijn grens ligt, welke soorten er zijn en waar u op let bij het instellen. Geen productvergelijking, wel een eerlijk beeld van wat u ervan mag verwachten.
Wat een firewall in de praktijk doet
Stel u een portier voor die naar bezoekers kijkt voordat ze binnenkomen. Hij kent geen namen, maar hij herkent gedrag en signalen. Zo werkt een firewall voor uw website ook: elk verzoek dat binnenkomt wordt getoetst aan regels, en verdacht verkeer wordt geweigerd voordat WordPress het te zien krijgt.
Concreet houdt een goede firewall dit tegen:
- Geautomatiseerde inlogpogingen. Scripts die duizenden wachtwoorden proberen op wp-login.php. Dit is verreweg het grootste volume.
- Bekende aanvalspatronen. Verzoeken die proberen een specifiek lek in een specifieke pluginversie uit te buiten, herkenbaar aan hun opbouw.
- Pogingen om bestanden te lezen die verboden terrein zijn, zoals wp-config.php of mappen die niet openbaar horen te zijn.
- Injectiepogingen waarbij er code of databasecommando’s in een formulierveld of een adresregel worden gestopt.
- Verkeer uit bekende slechte hoeken: IP-adressen die elders al betrapt zijn, of netwerken waar structureel aanvallen vandaan komen.
Belangrijk is de zogenoemde virtuele patch. Wordt er een lek gevonden in een populaire plugin, dan kan de firewall een regel toevoegen die aanvallen op dat lek blokkeert, ook voordat u de plugin heeft bijgewerkt. Dat koopt u tijd, en op sites met veel plugins is dat vaak het meest waardevolle onderdeel. Het is nadrukkelijk geen vervanging van de update.
Wat een firewall niet doet
Hier begint het eerlijke deel, en het is precies waar een vals gevoel van veiligheid ontstaat.
Een firewall beschermt niet tegen een geldig wachtwoord. Weet iemand uw beheerderswachtwoord, bijvoorbeeld doordat het bij een datalek van een andere dienst is uitgelekt, dan logt hij gewoon in. Voor de firewall is dat een normale bezoeker. Dit is de reden dat tweestapsverificatie zoveel toevoegt: dat is een aparte slotgracht.
Een firewall ruimt niets op. Zit er al malware in uw site, dan blijft die daar staan. De firewall kijkt naar binnenkomend verkeer, niet naar wat er al op uw server ligt. Daarvoor heeft u een scanner nodig, en dat is een aparte voorziening.
Een firewall kent geen onbekende lekken. Een aanval die gebruikmaakt van een kwetsbaarheid die nog nergens is gemeld, past in geen enkele regel. Slimme firewalls vangen een deel daarvan op door verdacht gedrag te herkennen, maar dat is geen garantie.
Een firewall doet niets aan uw eigen fouten. Een plugin uit een dubieuze bron, een medewerker die zijn wachtwoord deelt, of een beheerdersaccount dat na een vertrek is blijven staan: daar staat geen regel tegen.
Een firewall vervangt geen back-up. Dat klinkt vanzelfsprekend, maar in de praktijk zien we regelmatig sites waar zwaar is ingezet op afscherming terwijl het herstelplan ontbreekt.
Twee soorten, met een wezenlijk verschil
Er zijn ruwweg twee manieren waarop een firewall voor een WordPress-site werkt, en het verschil is groter dan het lijkt.
Een pluginfirewall draait binnen uw eigen site. Het verzoek komt binnen op uw server, WordPress start op, en dan pas beslist de plugin of het verkeer mag. Voordeel: eenvoudig te installeren, kent uw site van binnen, en kan precies zien welke plugin wordt aangevallen. Nadeel: uw server doet het werk. Bij een grote hoeveelheid aanvalsverkeer wordt uw site langzaam of onbereikbaar, ook al blokkeert de firewall netjes.
Een firewall op netwerkniveau zit vóór uw server. Het verkeer gaat eerst langs een dienst als Cloudflare of Sucuri, en alleen wat door de zeef komt bereikt uw hosting. Voordeel: uw server merkt niets van geblokkeerd verkeer, en dit is de enige variant die bij een grootschalige overbelastingsaanval echt helpt. Nadeel: uw verkeer loopt via een derde partij, wat u AVG-technisch even moet nagaan, en de instellingen zijn wat abstracter. Meer daarover in de uitleg over een web application firewall.
Voor de meeste kleine en middelgrote Nederlandse sites is een goed ingestelde pluginfirewall voldoende. Bij webshops, sites die eerder zijn aangevallen of sites met veel verkeer is de netwerkvariant het overwegen waard.
Instellen: waar het misgaat
Een firewall die standaard is geïnstalleerd en verder niet is bekeken, doet ongeveer de helft van zijn werk. Let op deze punten.
- Zet de blokkade op inlogpogingen aan en stel een redelijk aantal in, bijvoorbeeld vijf pogingen. Dit is de instelling met het meeste effect.
- Controleer of uw eigen IP niet geblokkeerd raakt. Voeg uzelf toe aan de uitzonderingen, of weet in elk geval hoe u zichzelf deblokkeert. Buitengesloten worden van uw eigen site is de meest voorkomende ergernis.
- Zet meldingen aan, maar niet alle. Krijgt u dagelijks veertig mails, dan leest u ze na een week niet meer. Beperk het tot ernstige gebeurtenissen.
- Draai niet twee firewallplugins tegelijk. Ze zitten elkaar in de weg en veroorzaken vreemde storingen.
- Test na installatie of uw formulieren, uw betaalkoppeling en uw boekhoudkoppeling nog werken. Firewalls blokkeren geregeld legitiem verkeer van externe diensten.
- Kijk maandelijks in het logboek. Niet om alles te lezen, maar om te zien of er een patroon zit in wat er wordt geprobeerd.
Een voorbeeld: een boekhoudkantoor in Assen zag klachten dat het aanvraagformulier niet aankwam. De firewall bleek de koppeling met de externe mailverzenddienst te blokkeren, omdat die vanaf een IP-reeks kwam die op een zwarte lijst stond. Twee weken aanvragen kwijt, opgelost met één uitzonderingsregel. De les: na het aanzetten van een firewall test u alles wat naar buiten of naar binnen praat.
Zie het als één laag
Een firewall is de buitenste laag en houdt het grootste volume tegen. Daarachter horen nog vier dingen te staan: actuele software, sterke en unieke wachtwoorden met tweestapsverificatie, een scanner die kijkt wat er binnen gebeurt, en een geteste back-up voor als het toch misgaat. Ontbreekt een van die vier, dan is de firewall vooral geruststelling.
Wilt u dat samenhangend geregeld hebben zonder er zelf naar om te kijken, dan zit een ingestelde firewall met scans en meldingen bij vrijwel elke vorm van professionele websitebeveiliging, ook bij WebMaintor, waar de meldingen door iemand worden gelezen in plaats van alleen doorgestuurd.
Concrete volgende stap: kijk in uw beheerscherm of er een beveiligingsplugin actief is en of de blokkade op inlogpogingen daadwerkelijk aanstaat. Dat ene vinkje weert in de praktijk het grootste deel van het aanvalsverkeer op een WordPress-site.
