VietNetwork.Vn

WordPress là CMS phổ biến nhất trên thế giới. Và mặc dù đây thường là một điều tốt nhưng nó cũng có thể khiến WordPress trở thành mục tiêu của các phần mềm độc hại đang tìm kiếm phạm vi tiếp cận rộng rãi.


Thật không may, vì các cuộc tấn công mạng ngày càng trở nên lớn hơn và có quy mô lớn hơn trong những năm qua nên về lâu dài, vấn đề thường không phải là "nếu" mà là "khi nào" các doanh nghiệp trực tuyến sẽ bị tấn công. Và những thành công được công bố rộng rãi của các cuộc tấn công ransomware gần đây có nghĩa là xu hướng này có thể sẽ tiếp tục.

Như đã nói, có rất nhiều bước bạn có thể thực hiện để làm cho trang web của mình ít bị tổn thương hơn trước các cuộc tấn công thông thường.

1. Hiểu rủi ro

Ransomware là phần mềm mà kẻ tấn công cài đặt trên máy chủ hoặc máy tính của bạn sau khi khai thác để giành quyền truy cập. Sau khi cài đặt, phần mềm thường sẽ tự động thực thi ngay lập tức hoặc sau khi không hoạt động một thời gian.

Cho đến vài năm trước, các cuộc tấn công ransomware thường nhắm vào các máy trạm Windows. Tuy nhiên, các nhà phân tích bắt đầu ghi nhận sự gia tăng các trường hợp tấn công vào các trang web WordPress.

Sau khi phần mềm đã thực thi, ransomware sẽ sử dụng mã hóa mạnh mẽ để khóa tất cả các tệp của bạn, từ chối quyền truy cập của bạn. Thay vào đó, những gì bạn còn lại là một giao diện yêu cầu thanh toán tiền chuộc – thường bằng bitcoin không thể theo dõi – để mở khóa các tập tin.

2. Trả tiền chuộc

Một số doanh nghiệp nổi tiếng và thậm chí cả các thành phố trên toàn thế giới đã bị ảnh hưởng trong những năm gần đây. Vào tháng 6, Lake City ở Florida đã trả khoản tiền chuộc 500.000 USD cho những tin tặc đã chiếm quyền kiểm soát hệ thống máy tính của họ.

Nhưng việc trả tiền chuộc không đảm bảo rằng tin tặc sẽ giải mã được dữ liệu của bạn. Và ngay cả khi làm như vậy, họ có thể để lại các phần của phần mềm để mã hóa lại các tệp của bạn sau này.

Trong một số trường hợp, phần mềm tạo tệp.php chứa giao diện được cho là để mở khóa các tệp được mã hóa. Tuy nhiên, tệp này không hoạt động và ngay cả khi bạn có quyền truy cập, bạn sẽ cần một Nhà phát triển WordPress có tay nghề cao để sửa tất cả các mã bị hỏng.

3. Luôn cập nhật mọi thứ

Luôn cập nhật WordPress cũng như mọi chủ đề và plugin lên bản phát hành mới nhất là cách đơn giản nhất để bảo vệ trang web của bạn khỏi phần mềm tống tiền. Những bản cập nhật này bao gồm các bản vá bảo mật mới nhất từ các nhà phát triển.

Hacker không ngừng tìm kiếm lỗ hổng để khai thác. Khi những điều này đã được xác định, các nhà phát triển sẽ phát hành các bản vá để khắc phục sự cố. Các phiên bản lỗi thời của WordPress có một lỗ hổng lớn vì chúng không được phát triển để chống lại các mối đe dọa bảo mật mới nhất.

Bạn cũng nên kiểm tra thường xuyên xem phiên bản PHP và MySQL trên máy chủ của bạn có được cập nhật hay không. Một đại lý WordPress tốt sẽ đảm nhiệm việc cập nhật mọi thứ cho bạn để bạn không phải lo lắng.

4. Bảo vệ chống lại các cuộc tấn công vũ phu Brute Force

Cuộc tấn công vũ phu Brute Force, như tên gọi của nó, là một cuộc tấn công đơn giản, trong đó bot cố gắng truy cập vào trang web của bạn bằng cách sử dụng hàng trăm tổ hợp tên người dùng và mật khẩu mỗi phút cho đến khi chúng hiểu đúng.

Bản chất thẳng thắn của các cuộc tấn công này khiến chúng tương đối dễ ngăn chặn bằng cách cấm các địa chỉ IP cố gắng truy cập trang web của bạn nhiều lần với thông tin đăng nhập không chính xác. Nhưng nếu không có lớp bảo vệ đơn giản này, bot có thể liên tục cố gắng giành quyền truy cập cho đến khi thành công.

Giới hạn số lần đăng nhập được tải lại là một plugin cho phép bạn giới hạn số lần thử đăng nhập, cả thông qua trang đăng nhập và cookie.

5. Đặt bảo mật truy cập mạnh mẽ

Nghe có vẻ hiển nhiên, việc sử dụng các từ ngắn, có thể đoán được – hoặc thậm chí tệ hơn là 'mật khẩu' - vì mật khẩu của bạn sẽ khiến trang web WordPress của bạn cực kỳ dễ bị tấn công.

Nhưng ngay cả những mật khẩu mạnh được sử dụng quá lâu hoặc cho quá nhiều ứng dụng khác nhau cũng có thể trở nên dễ bị tấn công. Chúng tôi khuyên bạn nên sử dụng trình tạo mật khẩu như 1Password để tạo và lưu trữ an toàn các mật khẩu mạnh, duy nhất cho mỗi lần đăng nhập.

Ngoài ra, bạn có thể thêm xác thực 2 yếu tố vào thông tin đăng nhập WordPress của mình bằng Google Authenticator. Lớp bảo mật bổ sung này có thể được kích hoạt trên cơ sở mỗi người dùng, cho phép các vai trò người dùng ít đặc quyền hơn tiếp tục đăng nhập bằng mật khẩu.

6. Cài đặt chứng chỉ SSL

Chứng chỉ SSL đảm bảo rằng tất cả dữ liệu được truyền giữa máy tính và trình duyệt của bạn đều được mã hóa, khiến tin tặc khó chặn kết nối hơn nhiều.

Các nhà cung cấp dịch vụ lưu trữ WordPress được quản lý như WP Engine bao gồm cài đặt và gia hạn chứng chỉ SSL tự động với tất cả các gói lưu trữ của họ.

7. Thay đổi tiền tố cơ sở dữ liệu WordPress

WordPress sử dụng tiền tố cơ sở dữ liệu mặc định và việc sử dụng tiền tố này khiến trang web của bạn dễ bị tấn công SQL SQL. Điều này có thể được ngăn chặn bằng cách thay đổi tiền tố wp- mặc định sang một từ khác.

Nếu bạn đã cài đặt WordPress với tiền tố mặc định thì đừng lo lắng. Có một số plugin vẫn có thể cho phép bạn thay đổi nó – chỉ cần đảm bảo bạn sao lưu mọi thứ trước, đề phòng có sự cố xảy ra.

8. Tắt chỉnh sửa tập tin

Nếu tin tặc giành được quyền truy cập vào bảng điều khiển WordPress quản trị viên của bạn, chúng sẽ có thể chỉnh sửa bất kỳ tệp nào nằm trong quá trình cài đặt WordPress của bạn.

Do đó, việc thiết lập bảo mật truy cập mạnh mẽ là tuyến phòng thủ đầu tiên. Tuy nhiên, bằng cách tắt tính năng chỉnh sửa tệp, tin tặc sẽ không thể sửa đổi bất kỳ tệp nào của bạn, ngay cả khi chúng có quyền truy cập vào trang tổng quan của bạn.

Điều này được thực hiện bằng cách hạn chế hoàn toàn tệp theme-editor.php và xóa tùy chọn Chỉnh sửa chủ đề khỏi CMS.

9. Các biện pháp bổ sung

Các biện pháp bảo mật bổ sung bao gồm luôn tuân theo các nguyên tắc phát triển phương pháp hay nhất được nêu trong WordPress Codex. Tốt nhất, bạn cũng nên thực hiện đánh giá ngang hàng về mã của mình, vì điều này giúp cải thiện chất lượng tổng thể và có thể loại bỏ tận gốc mọi lỗi hoặc lỗ hổng bị bỏ qua.

Bạn cũng nên kiểm tra xem tất cả các biểu mẫu trên trang web của bạn có được bảo vệ chống lại việc tiêm SQL và tập lệnh chéo trang hay không, đồng thời tắt XMLRPC.

Một cách đơn giản để cải thiện bảo mật truy cập là ngăn chặn tin tặc biết tên người dùng của bạn, vì điều này có nghĩa là chúng chỉ cần tìm mật khẩu của bạn để có quyền truy cập. Bạn có thể thực hiện việc này bằng cách xóa người dùng có tên 'quản trị viên' và hạn chế các điểm cuối mặc định của WP-JSON để ẩn tất cả các tên người dùng khác.

Bạn cũng có thể cung cấp một lớp bảo mật bổ sung cho máy chủ của mình bằng cách chạy một ứng dụng như Sucuri, ứng dụng này sẽ quét các lỗ hổng liên tục.

10. Sao lưu trang web của bạn thường xuyên

Một trong những lý do chính khiến nhiều công ty phải trả tiền chuộc cho tin tặc là vì họ không có bản sao lưu tốt, nghĩa là chi phí tiền chuộc sẽ ít tốn kém hơn so với việc mất tất cả dữ liệu của họ.

Và với các bản sao lưu, bạn càng có nhiều bản sao lưu thì càng tốt. Các cuộc tấn công bằng ransomware cũng có thể mã hóa các bản sao lưu của bạn nếu chúng được lưu trữ trên ổ đĩa cục bộ. Bạn có thể sao lưu dữ liệu của mình trên máy chủ, nhưng các bản sao lưu bên ngoài được lưu trữ ở một vị trí riêng biệt thậm chí còn an toàn hơn.

Các máy chủ WordPress được quản lý thường cung cấp bản sao lưu phía máy chủ như một phần trong gói lưu trữ của họ.

Mặc dù bạn không thể ngăn chặn dứt điểm tất cả các cuộc tấn công – đặc biệt nếu công ty của bạn đang là mục tiêu – nhưng có một số bước bạn có thể thực hiện để đảm bảo rằng trang web của bạn không trở thành mục tiêu dễ dàng cho tin tặc.

Quy mô và mức độ phức tạp của ransomware không ngừng tăng lên, nhưng tin tặc – giống như hầu hết tội phạm – cũng là những kẻ cơ hội và việc đảm bảo rằng trang web của bạn ít bị tấn công hơn hầu hết vẫn là cách tốt nhất để giữ an toàn cho dữ liệu của bạn.

Nếu bạn muốn thảo luận về tính bảo mật của trang web WordPress của mình và cách cải thiện nó thì vui lòng để lại bình luận bên dưới.