深入剖析 iThemes Security Pro：WordPress 安全守护者
本文将对 iThemes Security Pro 进行一番审视，这款插件致力于保护广受欢迎且时常面临安全威胁的 CMS 系统——WordPress。
WordPress 具有极佳的易用性，即使是不熟悉计算机的用户也能在短时间内搭建并运行一个网站。可想而知，那些经过专业训练的网络犯罪分子利用这种便利性又能做到什么程度。
值得注意的是，WordPress 核心本身非常安全，仅占漏洞的 0.5%。然而，真正造成网站安全问题的是主题和插件。
但与此同时，正是这些插件让 WordPress 变得如此强大和灵活。
想要添加订阅表单？安装一个插件即可。
想要实现浮动的社交分享？也有相应的插件。
想要启用暗黑模式？插件同样可以满足。
简而言之，这些插件大大简化了我们使用 WordPress 的过程。
然而，插件也是 WordPress 安全问题的根源，占据了高达 97.1% 的安全事件。剩下的 2.4% 则源于我们离不开的那些精美 WordPress 主题。
因此，采取适当的安全措施至关重要，尤其是考虑到每天有约 30,000 个网站遭受黑客攻击的事实。
切勿犯下常见的错误，认为自身规模较小，不会成为黑客的有利可图的目标。实际上，中小型企业更容易成为受害者，这主要是因为它们缺乏有效的安全基础设施。
接下来，让我们详细了解 iThemes Security Pro，看看它是如何为我们的网站提供保护的。
入门指南
iThemes Security Pro 的入门级计划起价为每年 80 美元，所有计划均提供 30 天退款保证。首先，你需要创建一个 iThemes 账户，支付订阅费用，然后下载插件。
随后，转到 WordPress 后台，在插件部分上传并启用 iThemes Security Pro。
启用后，点击设置以开始配置流程。
配置过程非常详细，提供了大量可自定义的选项。当然，你也可以跳过配置，直接使用默认的保护设置。
iThemes Security Pro 的核心功能
以下将重点介绍 iThemes Security Pro 中一些显著的功能，它们旨在提升 WordPress 网站的安全性。
登录安全
登录安全是一个常见的安全漏洞，极易被利用。你可以通过实施严格的注册策略来提升安全性，例如启用双重身份验证、要求使用强密码、支持无密码登录等等。
虽然你可以为 WordPress 的各项功能找到独立的插件，但使用一个综合性的安全插件可以有效减少攻击面。
iThemes 还可以保护你的网站免受暴力破解登录尝试（稍后会详细讨论）。这些攻击通常利用用户设置的容易猜测的用户名和密码进行。
但是，仅仅设置一个强密码有时仍然不够。在黑客成功猜出正确密码之前，大量的尝试可能会导致网站对合法用户无法使用。当你的 wp-admin 后台被机器人疯狂加载时，有限的服务器资源将会不堪重负。
因此，最佳的防御方法是限制密码登录尝试的次数。
iThemes Security Pro 更进一步，通过其网络暴力防护功能，与其他用户共享这些不良行为者的信息。此外，你可以启用 reCAPTCHA 来保护你的网站免受垃圾邮件的侵扰。
最后，Magic Links 功能可以帮助你在其他选项被锁定时进入后台。
用户组
这是一个有用的功能，可以将一组特定的安全规则应用于特定的用户群体。例如，你可以创建一个编辑组，并要求他们在注册时必须使用最强的密码。
此外，你还可以通过其他多种方式来跟踪和监控特定的用户群体。
同样，你可以取消对特权用户的限制，例如双重身份验证等。
虽然添加 WordPress 的默认用户组（编辑、作者、订阅者等）非常简单，但你也可以从精心挑选的用户中创建自定义类别，并为他们设置特殊的权限。
此外，还有一个功能可以添加授权主机，以避免因错误操作而将自己锁定在网站之外。请注意，仅当你有专用 IP 地址时才使用此选项。
强制注销和密码更改
iThemes Security Pro 控制面板对于保护你的网站免受任何攻击非常有用。
你可以在面板中查看活跃用户、强制执行即时密码重置，以及全体或选择性地强制注销用户。
你还可以利用此功能来确保你的网站遵循最佳安全实践。此外，还可以设置自定义的密码有效期，之后用户必须更改密码。
在同一个面板中，你可以找到通过移动应用程序、电子邮件或身份验证代码设置双因素身份验证的选项。
这适用于任何具有 TOTP（基于时间的一次性密码）功能的身份验证应用程序，例如 Google Authenticator、Authy 等。
暴力破解保护
这是 iThemes Security Pro 真正发挥作用的领域。如果你的网站面临重复的登录尝试攻击，你有多种方式可以保护它。
首先，你可以设置自定义的登录失败次数，当攻击者超过此限制后会被锁定。此外，你可以设置锁定期，以防止黑客频繁重试。
然而，仅在特定时间段内禁止不良行为者是不够的。因此，你还可以设置在特定次数的锁定后永久禁止屡犯者。
此外，iThemes 还可以阻止尝试失败的 IP 或主机。你可以设置非常低的阈值以确保最大的安全性。
同样，你也可以设置 reCAPTCHA 的错误条目数量和锁定间隔。
更新和现场检查
WordPress 网站的另一个关键方面是过时的插件和主题。
虽然你可以从 WordPress 后台启用自动更新，但 iThemes Security 将所有更新功能集中在一个面板中。
你可以从版本管理部分管理主题、WordPress 核心和插件的更新。
iThemes Security Pro 还支持设置更新插件的延迟时间，这也适用于主题。但是，通常建议立即获取更新，而不是等待。
此外，你可以启用站点检查功能，以便在 WordPress 数据库发生任何值得注意的变化时收到警报。你可以在文件更改扫描中包含/排除特定的文件路径，还可以选择设置自动扫描，每天运行两次。
总结
以上是对 iThemes Security Pro 的简要介绍。它的功能强大且易于使用，非常适合个人和专业用户。
如果你正在寻找替代方案，可以尝试 SUCURI 或 MalCare。
然而，并非所有问题都完全掌握在网站所有者手中。有些重要的事项需要网络主机的关注。你可以检查托管安全措施，并验证你的网络主机是否为最坏的情况做好了准备。