Boot Server suchen ständig Lücken auf der Seite

Die Frage ist, was das bringen soll? Du könntest z.B. den Pfad für das öffentliche Dateiverzeichnis ändern - wenn das nicht der Standard ist ("sites/default/files") ist schon schwerer erkennbar, dass es sich um eine Drupal-Installation handelt. Du kannst auch mit einem eigenen Modul die Pfade "user", "user/password"und "user/register" entfernen und umschreiben, wobei ich mir da nicht sicher bin, ob das nicht auch weitreichende Folgen haben kann.

Aber Du kannst z.B. nicht ändern, unter welchem Pfad Dein Theme und die Module gespeichert werden. Binden diese z.B. eigene Grafiken ein, ist schon dadurch mit dem Pfad "sites/all/modules/..." erkennbar, dass es sich um eine Drupal-Installation handelt. Nutzt Du Bildstile, bekommen die Bilder außerdem ein Token angehängt - ebenfalls ein Footprint. Einige andere Fottrpints findest Du, wenn Du einfach mal Google bemühst.

Also kurzum: um wirklich sicher zu verstecken, dass Deine Seite eine Drupal-Seite ist, müsstest Du mehr wissen als die Hacker... und ob das jetzt viel bringt, sei mal dahingestellt. Wenn es nicht gerade wieder so ein GAU ist wie Drupalgeddon und Deine Installation und die Module aktuell sind, bist Du eigentlich auf der sicheren Seite.

Noch was dazu: https://www.drupal.org/node/766404

Ok danke für die Antwort.
ja aktuell ist alles.
Ich wollte es halt nur schwer machen diese dauerhafte abfragen nach Lücken.
Außerdem frage ich mich ob die überhaupt nochmal aufhören immer node/add aufzurufen.Sind bestimmt 4 mal Pro Stunde.
Und es sind schon 300 Ips die Project Honeypot durch das httpbl gespeert hat.
Und die Seite hat nur ca 5 echte Besucher am Tag.

Willkommen im Internet...
Wichtiger als "security through obscurity" ist wirklich das regelmäßige einspielen von Sicherheitsupdates.
Gegen die Vielzahl an Bots die das Netz abklappern lässt sich nur wenig ausrichten.

Ich habe zusätzlich zum Honeypot noch Fail2ban installiiert. Hiermit kannst du für verschiedene Ereignisse im Logfile noch Firewallregeln setzen, die eine Zeitlang gültig sind. Das setzt allerdings einen Zugang zu einem Server und etwas Grundverständnis für Firewalls voraus.

Danke
Dann habe ich ja so weit alles richtig gemacht.
Fail2ban muss ich mal schauen ob das auf einem Webhosting geht.
Ich habe recht guten Kontakt zu dem Server Admin.