Zweck des Artikels
Dieser Leitfaden erklärt detailliert den progressiven Scan, den der Securantis‑Agent auf WordPress/WooCommerce‑Sites durchführt: welche Prüfungen vorgenommen werden (Integrität des Kerns, Plugins, Themes, verdächtige Dateien), wie die Engine sich an Servergrenzen anpasst, wie False Positives zu interpretieren und zu behandeln sind und wie die Allowlist sicher verwendet wird.
Zielgruppe und Voraussetzungen
- Für Administratoren von WordPress und technische Teams, die den Securantis‑Agenten einsetzen.
- WordPress‑Administrationszugang, um einen progressiven Scan zu starten, fortzusetzen oder abzubrechen.
- Grundlegende Kenntnisse des Hostings (Zugriff auf PHP/Server‑Logs) sind für die Fehlersuche hilfreich.
Überblick über das Vorgehen
- Progressiver Scan: Der Agent teilt die Analyse in Aufgaben (Jobs) auf und führt inkrementelle Worker aus. Das reduziert die Last pro Anfrage und ermöglicht, einen Scan nach einer Unterbrechung fortzusetzen (z. B. Fehlschlag von WP‑Cron, Schließen des Browsers).
- Durchgeführte Prüfungen: Härtungskontrollen (HTTPS, PHP‑Versionen, Updates für WordPress/Plugins/Themes, Debug‑Modus, Dateieditor), WooCommerce‑spezifische Sicherheit, Prüfungen von Security‑Headern, Vorhandensein eines Standard‑Administratorkontos, sensible Dateien, Suche nach PHP in Uploads (je nach Aktivierung) und Integritätsprüfung des WordPress‑Kerns (je nach Aktivierung).
- Signal‑Erkennung: Die Engine meldet gängige Muster (Dateinamen, die häufig von Backdoors verwendet werden, potenziell gefährliche Funktionen in Kombination mit HTTP‑Zugriffen, ausführbarer Inhalt in Uploads usw.). Jedes Signal wird mit einer Schweregradstufe versehen.
Wichtige Einstellungen und vorsichtige Konfigurationen
- Konfigurierbare Aktivierungen: Die Analyse der Uploads und die Integritätsprüfung des Kerns können ein‑ oder ausgeschaltet werden. Aktivieren Sie diese nur, wenn Ihr Hosting ausreichend permissiv ist und die PHP‑Ausführungszeit passt.
- Ausführungsdauer und Granularität: Der progressive Scan verringert die Last, indem er die Arbeit pro Iteration begrenzt. Wenn Ihre Worker häufig timeouts erreichen, erhöhen Sie die PHP‑Ausführungszeit oder reduzieren Sie die Batch‑Größe über die Hosting‑Einstellungen, anstatt kritische Prüfungen zu deaktivieren.
- Große Dateien und Pfade: Schutzmechanismen verhindern die Analyse von ungewöhnlichen Pfaden (sehr lange oder nicht normalisierte Pfade). Beachten Sie die Standard‑WordPress‑Struktur und vermeiden Sie extrem lange Pfade (> 1500 Zeichen), die eine Normalisierung verhindern.
Integritätsprüfung
- Integrität des Kerns: Wenn aktiviert, vergleicht die Analyse sensible Dateien und meldet mögliche Veränderungen. Einer Integritätsprüfung muss immer eine manuelle Kontrolle folgen; stellen Sie Dateien nicht automatisch wieder her oder löschen Sie sie nicht ohne menschliche Entscheidung.
- Ausnahmen und Agent‑Sicherheit: Der Agent vermeidet die Analyse seines eigenen Codes und bestimmter bekannter Systemdateien, um False Positives zu reduzieren.
False Positives: warum sie auftreten und wie man sie behandelt
Warum sie entstehen
- Generische Muster: Bestimmte PHP‑Funktionen (Kontoerstellung, Änderung von Authentifizierung) sind in individuellen Plugins legitim und können Alarm schlagen, wenn sie zusammen mit HTTP‑Eingaben verwendet werden.
- Häufige Dateinamen: Historisch missbrauchte Dateinamen können auch aus legitimen Gründen vorhanden sein (Migration, Kompatibilität).
- Angepasste Plugin/Theme‑Dateien: Obfuskierter Code oder automatisch von Theme‑Buildern generierter Code kann bösartigem Code ähneln.
Empfohlene Schritte bei jeder Alarmmeldung
- Lesen Sie die Beschreibung und den vom Scan angegebenen Schweregrad.
- Identifizieren Sie die betroffene Komponente (Kern, Plugin, Theme, Uploads).
- Sichern Sie die gemeldete Datei, bevor Sie Änderungen vornehmen.
- Untersuchen Sie den Inhalt lokal: suchen Sie nach bösartigen Mustern (dynamische Auswertungen, Injektionen, eval/base64_decode‑Funktionen in Verbindung mit externen Eingaben).
- Wenn die Meldung von einem bekannten Plugin/Theme stammt, prüfen Sie die offiziellen Updates oder den Support des Anbieters.
- Bestätigen Sie ein False Positive: Fügen Sie das Element über den sicheren Mechanismus von Securantis zur Allowlist hinzu (siehe folgenden Abschnitt).
- Bei Verdacht auf eine Infektion: Isolierung (Wartungsmodus, Zugriff einschränken), vollständige Sicherung, manuelle Quarantäne und gegebenenfalls Wiederherstellung aus einem sauberen Backup. Lassen Sie den Agenten keine Dateien automatisch löschen.
Allowlist — Prinzipien und gute Vorgehensweisen
- Zweck: Bekannte und verifizierte Dateien oder Muster explizit erlauben, um wiederkehrende Meldungen zu vermeiden.
- Zugriff und Sicherheit: Fügen Sie nur Dateien zur Allowlist hinzu, deren Inhalt und Herkunft Sie geprüft haben. Jede zugelassene Eintragung muss dokumentiert werden (Wer, Warum, Datum).
- Umfang: Bevorzugen Sie präzise Freigaben (exakter Pfad, Dateisignatur) statt globaler Regeln. Vermeiden Sie, ganze Verzeichnisse ohne Not zu erlauben.
- Widerruf: Etablieren Sie eine regelmäßige Überprüfung der Allowlist‑Einträge, besonders nach Updates von Plugins/Themes.
Verhalten bei Servergrenzen (Timeouts, Speicher)
- Automatische Wiederaufnahme: Der progressive Scan ist so ausgelegt, dass er nach Unterbrechungen fortgesetzt werden kann (z. B. wenn WP‑Cron unterbrochen wird oder der Browser geschlossen wird).
- Wenn Worker regelmäßig fehlschlagen: 1) prüfen Sie PHP/Server‑Logs auf Timeouts und Speichermeldungen; 2) erhöhen Sie Ausführungszeit und PHP‑Speicher, falls möglich; 3) reduzieren Sie die Last pro Worker (Hosting‑Konfiguration); 4) führen Sie einen Scan in Nebenzeiten aus.
- Übersprungene Dateien: Manche Dateien können ignoriert werden, wenn ihr tatsächlicher Pfad außerhalb des erwarteten Bereichs liegt (Schutz vor Directory Traversal). Diese Dateien werden gezählt und gemeldet.
Häufige Fehler und Fehlersuche
- Scan kommt nicht voran: Prüfen Sie, ob der Job vorhanden ist und den Status „running“ hat. Ist der Job unterbrochen, nutzen Sie die Option zum Fortsetzen oder starten Sie einen neuen Scan. Überprüfen Sie WP‑Cron oder die Konfiguration der geplanten Hooks.
- Worker meldet einen kritischen Fehler: Sehen Sie in die PHP‑Error‑Logs und die Agent‑Logs, erhöhen Sie Ressourcen oder führen Sie die Worker falls möglich via CLI aus.
- Wiederkehrende False Positives: Prüfen Sie, ob die Datei dynamisch von einem Plugin/Theme erzeugt wird; falls ja, fügen Sie nach Überprüfung eine gezielte Regel zur Allowlist hinzu.
- Nicht normalisierte oder zu lange Pfade: Benennen Sie Dateien um oder verschieben Sie sie vom Site‑Verzeichnis, falls möglich, oder beheben Sie die Erzeugung in dem Plugin, das sie anlegt.
Vorsichtsmaßnahmen und Verantwortlichkeiten
- Keine automatische Löschung: Securantis löscht oder stellt verdächtige Dateien nicht automatisch wieder her. Quarantäne, Löschung und Wiederherstellung erfordern eine menschliche Handlung nach Prüfung.
- Backups: Erstellen Sie immer eine vollständige Sicherung vor jeglichen Korrekturmaßnahmen.
- Zugangsteilung: Geben Sie niemals Passwörter per E‑Mail oder Chat weiter. Zugänge für kostenpflichtige Interventionen werden nur über den sicheren Kundenbereich nach Bezahlung bereitgestellt.
Wann Sie den Securantis‑Support kontaktieren sollten
Kontaktieren Sie den Support, wenn:
- Sie eine Alarmmeldung hoher Schwere beobachten, deren Legitimität Sie nicht bestätigen können;
- der Scan trotz Anpassung der Ressourcen wiederholt mit Serverfehlern fehlschlägt;
- Sie eine aktive Kompromittierung vermuten und Unterstützung bei Analyse und Quarantäne benötigen;
- Sie Hilfe bei der Konfiguration einer sicheren, begrenzten Erlaubnisregel benötigen.
Geben Sie in Ihrer Anfrage an: Status des Jobs, Beschreibung der Alarmmeldung, Kopie der Serverfehlermeldung (ohne Passwörter), bereits unternommene Maßnahmen und, wenn möglich, ein Backup der gemeldeten Datei. Der Support wird Ihnen die nächsten Schritte mitteilen und gegebenenfalls die Modalitäten einer kostenpflichtigen Intervention.
Zusammenfassung und schnelle Best Practices
- Nutzen Sie den progressiven Scan, um die Serverbelastung zu reduzieren; deaktivieren Sie nicht standardmäßig kritische Prüfungen.
- Prüfen Sie wichtige Signale manuell und behalten Sie vor Änderungen ein Backup.
- Fügen Sie nur verifizierte und dokumentierte Elemente zur Allowlist hinzu; überprüfen Sie diese Einträge regelmäßig.
- Passen Sie PHP‑Ressourcen (Ausführungszeit, Speicher) an, wenn Worker Limits erreichen.
- Kontaktieren Sie den Securantis‑Support bei nicht gelösten kritischen Alarmen oder zur Unterstützung bei der Untersuchung.
Dieser Artikel hilft Ihnen, die Ergebnisse des progressiven Scans zu interpretieren und sicher zu reagieren, ohne destruktive Automatisierung. Wenn Sie Unterstützung bei der Analyse einer konkreten Datei benötigen, folgen Sie dem weiter oben beschriebenen Kontaktverfahren.