BitFire 机器人控制 — WordPress 管理员指南

01

身份和验证

不要只相信名字

用户代理识别发出请求的软件，但它不能证明谁操作该软件。

用户代理声明Googlebot

任何人都可以轻松复制

网络证据DNS · IP 范围 · 网络所有者

无法冒充

BitFire 的决定已验证或未验证

在允许之前使用证据

BitFire 如何验证机器人

当获得可靠信息时，BitFire 会将机器人的声明与攻击者无法冒充的网络详细信息进行比较。

已验证的 DNS

检查地址是否属于已知爬虫程序声明的域。

IP 和路由数据

比较已发布的 IP 范围、网络所有权和路由信息。

声誉数据

使用已知地址和观察到的机器人行为来提供额外的上下文。

允许的机器人由 BitFire 的 WAF 和 RASP 保护进行检查。允许机器人绕过机器人限制；它不会关闭 BitFire 的其余部分。

02

访问决策

选择最窄的安全通道

大多数机器人应保持受限状态。仅当受信任的服务需要交互式访问时才使用“允许”，对于明显的滥用则使用“阻止”。

推荐默认值

受限

对普通公共内容的仅限查看访问。

通常可以：

使用 GET 请求读取公共页面
使用批准的查询参数
达到一组有限的安全终点

通常不能：

登录或提交表格
使用受限的 API 或 AJAX 操作
访问管理功能

值得信赖的服务

允许

适用于必须提交数据或调用 WordPress API 的服务。

仅在以下情况下使用：

您认可并使用该服务
其要求符合其目的
受限模式导致已确认的问题

恶意或不需要的

块

阻止访问受 BitFire 保护的页面。

常见原因：

密码和登录攻击
插件或用户枚举
漏洞利用和配置文件扫描
可疑的直接 PHP 请求

03

初始设置

利用三天的学习时间

BitFire 会了解网站访问者通常使用的已批准的查询参数、API 请求和 AJAX 操作。

第一天正常浏览

像普通管理员或客户一样访问公共页面并使用该网站。

第 1-2 天测试关键功能

测试表单、搜索、结帐、会员资格、登录和连接服务。

第 2-3 天让服务运行起来

允许预定作业和外部集成完成其正常工作。

第三天后审查区块

在创建异常之前调查请求。学习并不能保证每一个请求都是安全的。

04

搜索和类别

找到您需要的机器人

从 BitFire 仪表板打开 Bot Control，然后使用类别、搜索、过滤器和排序来缩小列表范围。

需要审查交互请求被阻止

这些机器人尝试 API、AJAX 操作或其他交互式端点。如果连接的服务停止工作，请查看此类别。

可疑高危行为

这些机器人尝试登录、搜索敏感文件、直接访问 PHP 或枚举 WordPress 信息。

可能合法已知的服务模式

该机器人类似于 BitFire 和 Slothstorm 数据中的普通服务。这提供了上下文，而不是身份证明。

未分类没有明确的分类

大多数机器人都出现在这里。如果它们没有造成问题，请将它们保留为受限状态并且不采取进一步的操作。

使用一个独特的词进行搜索

搜索是精确的而不是近似的。使用 google 而不是长描述，或搜索主要产品或公司名称。

1缩短搜索词。
2清除有源滤波器芯片。
3尝试另一个类别。
4再搜索一下。

BitFire 首先搜索所选类别。如果没有找到任何内容，则会将搜索范围扩展到所有类别。这就是为什么结果可能会根据当前显示的类别而有所不同。

行为感动管理员表单活动 登录活动 访问允许受限被阻止

05

审查证据

打开机器人详细信息

选择机器人的行以查看其最近的活动、请求、网络来源和可用的信誉信息。

最近的活动允许和阻止的总数数据中心或CDN国家和网络请求类型声誉证据

仅靠机器人名称不足以做出安全的决定。它的请求历史记录和网络详细信息提供了最有用的上下文。

查看 IP 地址

选择 IP 地址以查看可用的 DNS 名称、相关地址、大致网络位置、请求类别和访问控制。

BitFire·Bot IP 详细信息网络证据

IP 详细信息有助于区分真实服务和复制其名称的人。尽可能使用狭窄的 IP 规则。

锁仅已知地址

当其他系统复制相同名称时，将真实机器人限制为受信任的 IP 地址。

块欺骗性地址

阻止不相关或恶意地址，而不阻止整个合法爬虫。

允许已验证的服务

仅在确认地址的身份和预期用途后才允许该地址。

查看实际请求

打开与用户代理关联的请求，并将请求的页面、方法和安全结果与服务的目的进行比较。监视器请求主页可能是正常的。同名请求密码文件则不然。

研究名字

网络搜索可以提供背景信息，但不能证明请求是真实的。

删除条目

删除与阻止不同。如果机器人返回，BitFire 可能会再次列出它。

06

安全变更

小心允许被阻止的服务

与机器人相关的块通常使用以下开头的代码 2400。在更改访问权限之前将请求与受影响的服务进行匹配。

1

确定失败的原因

请记下 WordPress 功能或服务、大致时间、请求 ID 和块代码。

2

查找最近的活动

打开需求审查，按最近的活动排序，然后搜索服务或产品名称。

3

比较证据

检查请求时间、URL、IP 详细信息和操作是否符合服务的目的。

4

进行狭窄的改变

仅允许匹配的机器人或受信任的 IP 地址，然后再次测试服务。

5

监控结果

查看其下一个请求以确认连接正常且保持预期状态。

一次更改多个机器人

选中每个机器人旁边的复选框，检查每个选定的名称，然后选择允许、限制或阻止。使用批量允许谨慎。一次批准一项经过验证的服务比批准整个类别更安全。

07

冒充

识别虚假搜索爬虫

攻击者经常借用 Google、Bing 或 Facebook 等可信名称，让恶意流量看起来无害。

BitFire · 机器人身份假身份

假徽章意味着所声称的身份与可用的网络证据不匹配。不允许基于名称。

01打开详情

检查 IP、DNS、位置和网络所有权。

02比较行为

该请求是否与所声明的服务通常执行的操作相符？

03使用窄块

拦截欺骗地址，而不拦截正版爬虫。

04保护真正的机器人

保持限制或将其锁定到经过验证的地址。

不允许机器人仅仅停止重复的警报。 如果该活动不熟悉并且您的网站运行正常，则“受限”是更安全的选择。

08

分层保护

使用一项明确的机器人控制策略

多个 WordPress 机器人拦截插件可能会创建冲突的规则、重复的挑战和令人困惑的日志。

WordPress 内部

使用 BitFire 作为主要机器人策略

将机器人访问级别和 WordPress 特定的例外情况保留在一个易于理解的位置。

在 WordPress 之前

保留有用的主机或 CDN 保护

您的提供商仍然可以在拒绝服务攻击和流量到达 WordPress 之前提供帮助。

避免在两个系统中使用广泛的允许规则。一次更改一项配置。每次更改后测试网站。记录每个异常的创建位置。当服务被阻止时检查两个系统。

09

常见问题

在不降低保护的情况下排除故障

从最细微的更改开始，每当您不确定时，请将机器人返回到受限状态。

连接的服务停止工作

重现问题一次并记下时间。
查找以以下内容开头的块代码 2400.
检查需要审查和最近的活动。
仅允许与服务匹配的机器人或 IP 地址。
再次测试连接。

搜索没有返回结果

使用较短的术语，清除过滤条件，尝试其他类别，并搜索部分公司或产品名称。

允许的机器人仍被阻止

允许绕过机器人限制，而不是 WAF 或 RASP。打开被阻止的请求以识别哪个保护阻止了它。查看该特定请求或联系支持人员，而不是禁用防火墙。

熟悉的爬虫有一个假徽章

根据名称不允许。查看 IP 和 DNS 详细信息；不相关的系统可能会冒充真正的爬虫。

您更改了错误的机器人

将其返回到“受限”并测试该网站。当您不确定时，受限是最安全的恢复设置。

10

持续审查

保持机器人控制简单

机器人控制不需要日常管理。在重要的网站更改后以及作为例行定期维护的一部分进行审查。

审核时间

连接的服务停止工作
您安装的插件具有与您的网站联系的外部服务
您更换支付、营销或监控提供商
报告显示重复的自动化活动
机器人尝试敏感的 WordPress 操作

审核期间

将未使用的服务返回到受限服务
确认仍需要允许的机器人
阻止明显恶意的重复活动
不要打扰无害的未分类机器人
更改后测试重要功能

快速决策指南

01
你认得吗？
如果不是，请将其保留为受限。
02
您的网站需要吗？
如果不是，请将其限制或阻止（如果有滥用行为）。
03
网络是否已验证？
在允许之前查看其请求。
04
访问范围可以更窄吗？
尽可能首选受信任的 IP 地址。
05
还不确定吗？
保留其限制并联系支持人员。

关于作者

科里·马什

Cory 拥有 20 多年的互联网安全经验，是 BitFire 项目的首席开发人员。

阅读 BitFire 安全研究 →

了解和管理机器人

有用的访客还是自动威胁？

推荐设置