การปกป้องเว็บไซต์ WordPress ของคุณจากแรนซัมแวร์

WordPress เป็น CMS ที่ได้รับความนิยมมากที่สุดในโลก และแม้ว่านี่จะเป็นสิ่งที่ดี แต่ก็สามารถทำให้ WordPress เป็นเป้าหมายของซอฟต์แวร์ที่เป็นอันตรายที่กำลังมองหาการเข้าถึงในวงกว้าง

น่าเสียดาย เนื่องจากการโจมตีทางไซเบอร์มีขนาดใหญ่ขึ้นและปรับขนาดได้มากขึ้นในช่วงหลายปีที่ผ่านมา ในระยะยาว มักจะไม่เกี่ยวกับ 'ถ้า' แต่ 'เมื่อใด' ธุรกิจออนไลน์จะถูกโจมตี และความสำเร็จที่ได้รับการเผยแพร่อย่างสูงของการโจมตีด้วยแรนซัมแวร์เมื่อเร็วๆ นี้ หมายความว่าแนวโน้มนี้มีแนวโน้มที่จะดำเนินต่อไป

ดังที่กล่าวไปแล้ว มีขั้นตอนมากมายที่คุณสามารถทำได้เพื่อทำให้เว็บไซต์ของคุณเสี่ยงต่อการถูกโจมตีทั่วไปน้อยลง

ทำความเข้าใจกับความเสี่ยง

Ransomware เป็นซอฟต์แวร์ที่ผู้โจมตีติดตั้งบนเซิร์ฟเวอร์หรือคอมพิวเตอร์ของคุณหลังจากใช้ช่องโหว่เพื่อเข้าถึง เมื่อติดตั้งแล้ว ซอฟต์แวร์มักจะทำงานโดยอัตโนมัติ ไม่ว่าจะในทันทีหรือหลังจากหยุดนิ่งชั่วขณะหนึ่ง

เมื่อสองสามปีก่อน การโจมตีของแรนซัมแวร์มักมุ่งเป้าไปที่เวิร์กสเตชันของ Windows อย่างไรก็ตาม ในปี 2560 นักวิเคราะห์เริ่มบันทึกกรณีการโจมตีบนเว็บไซต์ WordPress ที่เพิ่มขึ้น

เมื่อซอฟต์แวร์ทำงานแล้ว แรนซัมแวร์จะใช้การเข้ารหัสที่ทรงพลังเพื่อล็อคไฟล์ทั้งหมดของคุณ ไม่อนุญาตให้คุณเข้าถึง สิ่งที่คุณเหลือคืออินเทอร์เฟซที่เรียกร้องค่าไถ่ ซึ่งมักจะเป็น bitcoin ที่ไม่สามารถติดตามได้ เพื่อปลดล็อกไฟล์

ค่าไถ่

ธุรกิจที่มีชื่อเสียงจำนวนมากและแม้แต่เมืองต่างๆ ได้รับผลกระทบทั่วโลกในช่วงไม่กี่ปีที่ผ่านมา ในเดือนมิถุนายน เลกซิตีในฟลอริดาจ่ายเงินค่าไถ่ 500,000 ดอลลาร์ให้กับแฮกเกอร์ที่เข้าควบคุมระบบคอมพิวเตอร์ของตน

แต่การจ่ายค่าไถ่ไม่รับประกันว่าแฮกเกอร์จะยกเลิกการเข้ารหัสข้อมูลของคุณ และถึงแม้จะเป็นเช่นนั้น แต่ก็สามารถทิ้งซอฟต์แวร์บางส่วนไว้เบื้องหลังเพื่อเข้ารหัสไฟล์ของคุณอีกครั้งในภายหลัง

ในบางกรณี ซอฟต์แวร์จะสร้างไฟล์ .php ที่มีอินเทอร์เฟซที่ควรปลดล็อกไฟล์ที่เข้ารหัส อย่างไรก็ตาม ไฟล์นี้ใช้งานไม่ได้ และแม้ว่าคุณจะเข้าถึงได้ คุณจะต้องมีนักพัฒนา WordPress ที่มีทักษะเพื่อแก้ไขโค้ดที่เสียหายทั้งหมด

ให้ทุกอย่างอัปเดต

การทำให้ WordPress และธีมและปลั๊กอินอัปเดตเป็นเวอร์ชันล่าสุดอยู่เสมอเป็นวิธีที่ง่ายที่สุดในการปกป้องเว็บไซต์ของคุณจากแรนซัมแวร์ การอัปเดตเหล่านี้ประกอบด้วยแพตช์ความปลอดภัยล่าสุดจากนักพัฒนา

แฮกเกอร์ค้นหาช่องโหว่เพื่อแสวงหาประโยชน์อย่างต่อเนื่อง เมื่อตรวจพบสิ่งเหล่านี้แล้ว นักพัฒนาซอฟต์แวร์จะปล่อยแพตช์เพื่อแก้ไขปัญหา WordPress เวอร์ชันที่ล้าสมัยทำให้เกิดช่องโหว่ขนาดใหญ่ เนื่องจากจะไม่ได้รับการพัฒนาให้ต้านทานการคุกคามด้านความปลอดภัยล่าสุด

นอกจากนี้ คุณควรตรวจสอบเป็นประจำว่าโฮสต์ PHP และ MySQL เวอร์ชันล่าสุดเป็นเวอร์ชันล่าสุด เอเจนซี่ WordPress ที่ดีจะดูแลอัปเดตทุกอย่างให้คุณ เพื่อให้คุณไม่ต้องกังวล

ป้องกันการโจมตีด้วยกำลังดุร้าย

การโจมตีแบบเดรัจฉานตามชื่อคือการโจมตีที่ไม่ซับซ้อนซึ่งบอทพยายามเข้าถึงเว็บไซต์ของคุณโดยใช้ชื่อผู้ใช้และรหัสผ่านหลายร้อยชุดต่อนาทีจนกว่าจะถูกต้อง

ลักษณะที่ตรงไปตรงมาของการโจมตีเหล่านี้ทำให้ง่ายต่อการป้องกันโดยการห้ามที่อยู่ IP ที่พยายามเข้าถึงเว็บไซต์ของคุณหลายครั้งด้วยรายละเอียดการเข้าสู่ระบบที่ไม่ถูกต้อง แต่หากไม่มีชั้นการป้องกันที่เรียบง่ายนี้ บอทสามารถพยายามเข้าถึงได้อย่างต่อเนื่องจนกว่าจะสำเร็จ

Limit Login Attempt Reloaded เป็นปลั๊กอินที่ให้คุณจำกัดจำนวนครั้งในการพยายามเข้าสู่ระบบ ทั้งผ่านหน้าเข้าสู่ระบบและคุกกี้

ตั้งค่าความปลอดภัยในการเข้าถึงที่แข็งแกร่ง

เห็นได้ชัดว่าอาจฟังดูโดยใช้คำสั้น ๆ ที่คาดเดาได้ หรือที่แย่กว่านั้นคือ 'รหัสผ่าน' เนื่องจากรหัสผ่านของคุณจะทำให้ไซต์ WordPress ของคุณมีความเสี่ยงอย่างไม่น่าเชื่อ

แต่แม้กระทั่งรหัสผ่านที่รัดกุมซึ่งถูกใช้นานเกินไปหรือสำหรับแอปพลิเคชันที่แตกต่างกันมากเกินไป ก็อาจกลายเป็นช่องโหว่ได้ เราขอแนะนำให้ใช้เครื่องมือสร้างรหัสผ่าน เช่น 1Password เพื่อสร้างและจัดเก็บรหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับการเข้าสู่ระบบแต่ละครั้ง

หรือคุณสามารถเพิ่มการตรวจสอบสิทธิ์แบบ 2 ปัจจัยในการเข้าสู่ระบบ WordPress ของคุณโดยใช้ Google Authenticator ระดับการรักษาความปลอดภัยเพิ่มเติมนี้สามารถเปิดใช้งานสำหรับแต่ละผู้ใช้ ทำให้บทบาทของผู้ใช้ที่มีสิทธิ์น้อยกว่าสามารถเข้าสู่ระบบด้วยรหัสผ่านต่อไปได้

ติดตั้งใบรับรอง SSL

ใบรับรอง SSL ช่วยให้มั่นใจได้ว่าข้อมูลทั้งหมดที่ส่งผ่านระหว่างคอมพิวเตอร์และเบราว์เซอร์ของคุณได้รับการเข้ารหัส ทำให้แฮกเกอร์สามารถสกัดกั้นการเชื่อมต่อได้ยากขึ้น

ผู้ให้บริการโฮสติ้ง WordPress ที่มีการจัดการ เช่น WP Engine รวมถึงการติดตั้งใบรับรอง SSL อัตโนมัติและการต่ออายุด้วยแผนการโฮสต์ทั้งหมดของพวกเขา

เปลี่ยนคำนำหน้าฐานข้อมูล WordPress

WordPress ใช้คำนำหน้าฐานข้อมูลเริ่มต้น และการใช้คำนำหน้านี้ทำให้เว็บไซต์ของคุณเสี่ยงต่อการถูกโจมตีด้วยการฉีด SQL สิ่งนี้สามารถป้องกันได้โดยการเปลี่ยนคำนำหน้า wp- เริ่มต้นเป็นคำอื่น

หากคุณได้ติดตั้ง WordPress ด้วยคำนำหน้าเริ่มต้นแล้ว ไม่ต้องกังวล มีปลั๊กอินจำนวนหนึ่งที่ยังคงช่วยให้คุณสามารถเปลี่ยนแปลงได้ เพียงตรวจสอบให้แน่ใจว่าคุณได้สำรองข้อมูลทุกอย่างไว้ก่อนแล้ว เผื่อในกรณีที่มีข้อผิดพลาดเกิดขึ้น

ปิดการแก้ไขไฟล์

หากแฮกเกอร์สามารถเข้าถึงแดชบอร์ด WordPress ของผู้ดูแลระบบได้ พวกเขาจะสามารถแก้ไขไฟล์ใดๆ ที่เป็นส่วนหนึ่งของการติดตั้ง WordPress ของคุณได้

ดังนั้นการตั้งค่าความปลอดภัยในการเข้าถึงที่แข็งแกร่งจึงเป็นแนวป้องกันแรก อย่างไรก็ตาม การปิดการแก้ไขไฟล์ แฮกเกอร์จะไม่สามารถแก้ไขไฟล์ใดๆ ของคุณได้ แม้ว่าพวกเขาจะเข้าถึงแดชบอร์ดของคุณได้ก็ตาม

ทำได้โดยการจำกัดไฟล์ theme-editor.php ทั้งหมด และลบตัวเลือก Theme Editing ออกจาก CMS

มาตรการเพิ่มเติม

มาตรการรักษาความปลอดภัยเพิ่มเติมรวมถึงการปฏิบัติตามแนวทางการพัฒนาแนวทางปฏิบัติที่ดีที่สุดที่ระบุไว้ใน WordPress Codex เสมอ ตามหลักการแล้ว คุณควรตรวจสอบโค้ดโดยเพื่อน เพราะจะช่วยปรับปรุงคุณภาพโดยรวม และสามารถขจัดข้อผิดพลาดหรือจุดอ่อนที่มองข้ามได้

คุณควรตรวจสอบด้วยว่าแบบฟอร์มทั้งหมดบนเว็บไซต์ของคุณได้รับการป้องกันจากการแทรก SQL และการเขียนสคริปต์ข้ามไซต์ และปิดใช้งาน XMLRPC

วิธีง่ายๆ ในการปรับปรุงความปลอดภัยในการเข้าถึงคือการป้องกันไม่ให้แฮ็กเกอร์รู้ชื่อผู้ใช้ของคุณ ซึ่งหมายความว่าพวกเขาจะต้องค้นหารหัสผ่านของคุณเพื่อเข้าถึงเท่านั้น คุณสามารถทำได้โดยลบผู้ใช้ที่มีชื่อ 'admin' และจำกัดปลายทางเริ่มต้นของ WP-JSON เพื่อซ่อนชื่อผู้ใช้อื่นๆ ทั้งหมด

คุณยังสามารถเพิ่มระดับการรักษาความปลอดภัยให้กับเซิร์ฟเวอร์ของคุณด้วยการเรียกใช้แอปพลิเคชัน เช่น Sucuri ซึ่งจะสแกนหาช่องโหว่อย่างต่อเนื่อง

สำรองข้อมูลเว็บไซต์ของคุณเป็นประจำ

สาเหตุหลักประการหนึ่งที่หลายๆ บริษัทต้องจ่ายเงินค่าไถ่ให้กับแฮกเกอร์คือพวกเขาไม่มีข้อมูลสำรองที่ดี ซึ่งหมายความว่าค่าไถ่จะถูกกว่าการสูญเสียข้อมูลทั้งหมด

และด้วยการสำรองข้อมูล ยิ่งคุณมีมากเท่าไหร่ก็ยิ่งดีเท่านั้น การโจมตีของแรนซัมแวร์ยังสามารถเข้ารหัสข้อมูลสำรองของคุณ หากสิ่งเหล่านี้ถูกจัดเก็บไว้ในไดรฟ์ในเครื่อง คุณสามารถสำรองข้อมูลของคุณบนเซิร์ฟเวอร์ได้ แต่การสำรองข้อมูลนอกสถานที่ซึ่งจัดเก็บไว้ในตำแหน่งอื่นจะปลอดภัยยิ่งขึ้น

โฮสต์ WordPress ที่ได้รับการจัดการมักจะเสนอการสำรองข้อมูลฝั่งเซิร์ฟเวอร์ซึ่งเป็นส่วนหนึ่งของแผนการโฮสต์

บทสรุป

แม้ว่าคุณอาจไม่สามารถหยุดการโจมตีทั้งหมดได้อย่างแน่นอน โดยเฉพาะอย่างยิ่งหากบริษัทของคุณตกเป็นเป้าหมาย แต่ก็มีหลายขั้นตอนที่คุณสามารถทำได้เพื่อให้แน่ใจว่าเว็บไซต์ของคุณไม่โดดเด่นเพราะเป็นการเลือกที่ง่ายสำหรับแฮกเกอร์

ขนาดและความซับซ้อนของแรนซัมแวร์เติบโตขึ้นตลอดเวลา แต่แฮ็กเกอร์ก็เหมือนกับอาชญากรส่วนใหญ่เช่นกัน เป็นผู้ฉวยโอกาส และทำให้มั่นใจว่าเว็บไซต์ของคุณมีความเสี่ยงน้อยกว่าส่วนใหญ่ยังคงเป็นวิธีที่ดีที่สุดในการรักษาความปลอดภัยให้กับข้อมูลของคุณ

หากคุณต้องการพูดคุยเกี่ยวกับความปลอดภัยของเว็บไซต์ WordPress ของคุณและวิธีการปรับปรุง โปรดติดต่อเรา