Co monitorować
Logi dostępu serwera.
Pokazują każde żądanie do strony — w tym nietypowe wzorce, jak masowe próby dostępu do wp-login.php w krótkim czasie (sygnał ataku brute-force) albo próby wywołania plików, które nie powinny być bezpośrednio dostępne.
Logi błędów PHP.
Nagły wzrost błędów, zwłaszcza dotyczących nieznanych plików lub funkcji, bywa sygnałem, że coś w kodzie zostało zmodyfikowane — czasem to pierwszy widoczny objaw infekcji, zanim zauważy się cokolwiek innego.
Log zmian plików.
Narzędzia takie jak Wordfence potrafią monitorować zmiany w plikach core, motywu i wtyczek względem oryginałów — patrz jak skonfigurować i używać Wordfence. Nieoczekiwana zmiana w pliku, którego od dawna nikt nie edytował, to jeden z najbardziej wiarygodnych sygnałów włamania.
Log logowań i prób logowania.
Logowania z nietypowych lokalizacji, o nietypowych porach albo seria nieudanych prób logowania na konto administratora — to sygnały, które warto sprawdzić od razu, nie dopiero przy okazji.
Dlaczego same logi nie wystarczą bez alertów.
Logi, które nikt regularnie nie przegląda, są prawie tak samo bezużyteczne jak ich brak. Realną wartość dają dopiero w połączeniu z automatycznymi alertami — e-mail przy przekroczeniu progu nieudanych logowań, przy zmianie pliku administratora czy wykryciu podejrzanego pliku. To dokładnie ten mechanizm konfigurujemy w ramach naszych planów stałej opieki nad WordPress.