Cum să identificați adresa IP a hackerilor și să vă protejați site-ul

Detectarea unui atac asupra site‑ului

Dacă site‑ul dvs. a fost compromis, consecințele pot varia de la spam în comentarii la conținut ofensator care poate atrage probleme legale. În momentul în care observați orice semn de hacking, schimbați imediat parola folosită pentru încărcarea conținutului, fie prin interfața web, fie prin FTP. Asigurați-vă că doar persoanele de încredere, cu acces administrativ necesar, cunosc această parolă.

Verificarea jurnalului de server

Presupunând că aveți acces la jurnalul serverului (file‑log), descărcați-l. De obicei este un fișier text mare, poate fi necesar să îl deschideți cu un editor care suportă fișiere de dimensiuni mari.

Un exemplu de linie din jurnal arată așa:

000.000.000.000 - - [13/Oct/2009:13:51:31 -0600] "GET /about.php HTTP/1.1" 200 3286 "-" "google.com"

Explicație:

• 000.000.000.000 – adresa IP a vizitatorului.
• [13/Oct/2009:13:51:31 -0600] – data și ora accesului (zonă Centrală).
• GET /about.php HTTP/1.1 – metoda și fișierul cerut.
• 200 – codul de stare HTTP (OK).
• 3286 – numărul de octeți trimisi.
• "google.com" – refererul (pagină de proveniență). Liniile goale indică accesuri directe.

Exemplu: dacă știți că pagina about.php a fost modificată între orele 11:00 și 14:00, căutați toate intrările pentru acea pagină în intervalul respectiv. Dacă există o singură intrare, adresa IP a hackerului este cea găsită. Dacă apar mai multe IP-uri, observați ce activități au avut loc (ex.: refreshuri excesive, comentarii abuzive, încercări de login).

Blocarea accesului hackerului

Odată identificată adresa IP, adăugați următoarele directive în fișierul .htaccess (situat la rădăcina site‑ului):

Options -Indexes
Order allow,deny
Allow from all
Deny from 000.000.000.000

Astfel, IP‑ul blocat nu va mai putea accesa niciun fișier al site‑ului. Repetați procesul pentru toate IP‑urile suspecte.

Restaurarea site‑ului

După blocare, restaurați fișierele afectate la starea inițială. Dacă folosiți un plan de hosting cu backup automat, restaurați din backupul recent. Dacă nu, contactați furnizorul pentru a obține jurnalul și alte informații de diagnostic.

Acces limitat la jurnalul serverului

Pe planurile de hosting mai scumpe, administratorii serverului oferă acces la fișierele de log. Dacă nu aveți acces, solicitați sprijinul suportului tehnic. Menționați toate încercările de hacking, chiar și cele eșuate, pentru a preveni eventuale breșe pe alte site‑uri pe același server.

Înțelegerea locului hackerului

Odată ce aveți adresa IP, puteți folosi servicii de geolocație (ex.: ipinfo.io, MaxMind) pentru a obține detalii: oraș, țară, cod poștal, ISP. Dacă abuzul continuă, raportați activitatea ISP‑ului către autoritățile competente.

Îmbunătățiri suplimentare

Pe lângă blocarea IP‑urilor, luați în considerare implementarea unor măsuri suplimentare:

• Utilizarea unui firewall web (ex.: ModSecurity).
• Activarea autentificării cu doi factori pentru conturile de admin.
• Scanarea regulată a site‑ului cu un antivirus dedicat (ex.: Sucuri Scan).
• Monitorizarea traficului cu instrumente precum Google Analytics pentru a detecta activități anormale.

Protejarea site‑ului nu se rezumă la o singură acțiune. O abordare completă, combinând monitorizarea, blocarea IP‑urilor și actualizarea regulată a securității, vă va ajuta să reduceți semnificativ riscul unui atac viitor.