为什么需要实时安全监控？
大多数WordPress网站主发现被黑，是在以下情况下：
– 客户投诉网站打不开或跳转到奇怪页面
– Google在搜索结果中添加”此网站可能不安全”警告
– 主机商发邮件说检测到恶意代码
典型的入侵发现延迟：7-30天。在这段时间内，攻击者可能已经：
– 植入了多个后门文件
– 修改了WordPress管理员密码并创建了新管理员账户
– 在数据库中注入了大量垃圾内容
– 利用你的服务器发送了成千上万封垃圾邮件
实时监控的目标是将发现时间从”数周”缩短到”数分钟”。
应该监控哪些事件？
| 事件类型 | 风险级别 | 说明 |
|---|---|---|
| 管理员登录失败（多次） | 高 | 暴力破解攻击信号 |
| 从未知IP/国家登录成功 | 高 | 账户可能已被攻破 |
| 新管理员账户被创建 | 严重 | 攻击者常用手段 |
| 核心文件被修改 | 严重 | 直接入侵后门植入 |
| 插件/主题文件被修改 | 高 | 恶意代码注入 |
| 新插件被安装 | 中 | 未经授权的插件安装 |
| 用户权限被提升 | 高 | 权限提升攻击 |
| 设置被修改 | 中 | 如邮件设置被改为攻击者邮箱 |
| 大量文章/页面被创建 | 中 | SEO垃圾页面注入 |
方法一：WP Activity Log 插件（专业日志工具）
WP Activity Log 是专注于活动日志的WordPress插件，功能最全面。
安装配置
- 安装：插件 → 安装新插件 → 搜索”WP Activity Log” → 安装并激活
- 进入 WP Activity Log → 设置 进行配置
核心功能配置
告警规则（通知功能）：
进入 WP Activity Log → 通知 → 新建通知：
规则1：检测可疑登录
触发条件：
- 事件类型：登录失败
- 超过阈值：5次/10分钟（来自同一IP）
告警方式：Email发送到管理员邮箱
规则2：检测新管理员账户
触发条件：
- 事件类型：用户角色变更
- 新角色：Administrator
告警方式：立即Email告警
规则3：检测核心文件变更
触发条件：
- 事件类型：文件完整性变更
- 涉及：WordPress核心文件
告警方式：立即Email告警
日志查看
WP Activity Log → 日志查看器，可以：
– 按时间、用户、事件类型筛选
– 查看每次登录的IP地址和地理位置
– 追踪任何变更的具体内容（改了什么、谁改的）
方法二：Wordfence 安全告警（已安装Wordfence的情况）
如果已安装Wordfence，它内置了活动监控和告警功能：
配置Email告警
Wordfence → 所有选项 → Email告警选项：
勾选以下事件的Email告警：
– ✓ 管理员登录时告警
– ✓ 非管理员登录时告警（可选，流量大时太吵）
– ✓ 检测到入侵时告警
– ✓ 扫描发现问题时告警
– ✓ 防火墙规则更新时告警
– ✓ 新WordPress版本发布时告警
查看实时流量
Wordfence → 工具 → 实时流量：
– 实时查看访问请求
– 区分人类/机器人/被封锁的请求
– 查看攻击者的攻击模式
配置登录安全告警
Wordfence → 登录安全 → 设置：
– 启用”登录成功时发送Email确认”（每次成功登录都发邮件）
– 对管理员账户启用此功能
方法三：Wordfence + Slack告警（进阶）
对于更重视安全的网站主，可以将告警发送到Slack即时消息：
通过Zapier实现：
1. 注册Zapier账户（免费版足够）
2. 创建Zap：触发器 = 收到特定格式的Email（来自Wordfence告警邮件）
3. 动作 = 发送Slack消息到指定频道
或使用WP Activity Log的 Slack 集成（付费功能）。
方法四：服务器层面的日志监控
除了WordPress层面，服务器层面的日志也很重要：
监控Apache/Nginx访问日志
# 实时监控访问日志
tail -f /var/log/nginx/access.log | grep "POST /wp-login"
# 统计最近24小时登录失败的IP
grep "wp-login.php" /var/log/nginx/access.log | grep " 200 " | awk '{print $1}' | sort | uniq -c | sort -rn | head -20
# 查找访问xmlrpc.php的IP
grep "xmlrpc.php" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -10
监控文件系统变更
# 使用inotifywait监控WordPress文件变更（需要安装inotify-tools）
inotifywait -m -r /path/to/wordpress --include="*.php" -e create,modify,delete
# 或者用Tripwire（更专业的文件完整性监控工具）
设置登录IP白名单（高级保护）
如果你的IP相对固定，可以在WordPress或服务器层面设置只允许特定IP访问后台：
通过.htaccess（仅允许你的IP访问wp-admin）：
<Directory /path/to/wordpress/wp-admin>
Order Deny,Allow
Deny from all
Allow from 你的.固定.IP.地址
</Directory>
注意： 如果你的IP是动态的，这个方法会把自己也锁在外面。动态IP的情况下，用Cloudflare Access（基于邮箱OTP）是更好的方案。
自动化安全健康检查脚本
以下脚本可以每天运行，检查关键安全指标：
#!/bin/bash
# WordPress安全日常检查脚本
DOMAIN="你的域名.com"
WP_PATH="/path/to/wordpress"
ADMIN_EMAIL="你的邮箱@example.com"
echo "=== WordPress安全检查报告 $(date) ===" > /tmp/security-check.txt
# 检查是否有新增的PHP文件（最近24小时）
echo "--- 最近24小时新增PHP文件 ---" >> /tmp/security-check.txt
find $WP_PATH -name "*.php" -newer /tmp/last-check -not -path "*/uploads/*" >> /tmp/security-check.txt 2>/dev/null
# 检查管理员用户数量（通过WP-CLI）
echo "--- 管理员用户列表 ---" >> /tmp/security-check.txt
wp --path=$WP_PATH user list --role=administrator --fields=ID,user_login,user_email >> /tmp/security-check.txt 2>/dev/null
# 更新检查时间戳
touch /tmp/last-check
# 发送报告
mail -s "WordPress安全检查报告 $DOMAIN" $ADMIN_EMAIL < /tmp/security-check.txt
建议的告警策略
立即告警（任何时间都要立刻响应）：
– 新管理员账户被创建
– WordPress核心文件被修改
– 管理员账户从未知国家/IP登录成功
每日汇总告警（定时Email）：
– 每日登录失败统计
– 扫描结果摘要
– 插件/主题更新状态
每周报告：
– 完整的活动日志摘要
– 安全漏洞检查结果
监控只是发现问题的第一步，一旦触发告警应立即响应。如果确认已被入侵，参考我们的WordPress被黑紧急修复指南，或联系专业安全修复服务。