Chưa phải lúc nghỉ ngơi! Dọn dẹp website WordPress mới chỉ hoàn thành một nửa việc! Nếu không có biện pháp sau dọn dẹp, hacker sẽ quay lại.
Sau khi bị hack, hacker thường tạo backdoor để quay lại ngay sau khi dọn dẹp. Một vài biện pháp bảo mật có thể ngăn chặn xâm nhập lặp lại. Làm theo các bước dưới đây giúp loại bỏ lỗ hổng và chặt chẽ bảo mật WordPress.
Xác Định Và Khắc Phục Lỗ Hổng Thực Tế
Nghiên cứu cho thấy plugin và theme là nguyên nhân số 1 gây hack. Tại sao? Không phải do dùng theme/plugin mà vì chủ website thường không cập nhật.
Với 30% website xây trên WordPress, nền tảng này thống trị web. Add-on như theme/plugin làm WordPress dễ xây dựng website. Khuyên chủ website chọn plugin/theme kỹ lưỡng. Dù code tốt đến đâu, developer nổi tiếng đến đâu, phần mềm sẽ phát sinh lỗ hổng. Khi theme/plugin phát sinh lỗ hổng, developer ngay lập tức ra patch qua cập nhật. Khi chủ website bỏ qua cập nhật, site bị rủi ro. Lỗ hổng trở thành kiến thức chung, hacker tấn công hy vọng tìm site cũ. Do đó cập nhật site là điều chuyên gia an ninh mạng khuyên đầu tiên. Website có thể bị hack do plugin cũ, dễ bị tổn thương. Do đó biện pháp sau dọn dẹp đầu tiên là cập nhật tất cả. Cập nhật sẽ vá plugin, từ đó khắc phục nguyên nhân hack.
Cảnh Giác Với Plugin "Lén Lút" (Rogue Plugins)
Hacker thường muốn bạn không phát hiện bị xâm nhập. Cách đó họ dùng website làm ác trong yên tĩnh. Vì không biết khi nào chủ site phát hiện, họ có "lưới an toàn". Hacker xây backdoor trên site của bạn. Backdoor giống chìa khóa dự phòng. Dùng backdoor, hacker truy cập bất cứ lúc nào. Họ xây plugin đóng vai backdoor và cài trên site. Plugin giả mạo này trông như plugin bình thường, rất khó phân biệt. Nếu bạn cài quá nhiều plugin không nhớ cái nào làm gì, hãy liệt kê plugin đã cài và điều tra. Chỉ cần Google search, bạn sẽ biết plugin đó có thực sự tồn tại hay không. Tất nhiên, tương lai bạn cần danh sách plugin đã cài và chức năng của chúng.
Hardening Website (Tăng Cường Bảo Mật)
WordPress muốn người dùng coi trọng bảo mật, khuyến nghị cách hardening. Nó không chỉ giúp tránh tấn công mà còn bảo toàn website nếu hacker xâm nhập. Thật không may, khuyến nghị này vượt quá khả năng của hầu hết người dùng. Cần kiến thức kỹ thuật để thực hiện. Dù có nhiều tutorial online nhưng rủi ro cao. Một dòng code sai có thể làm sập site. Ví dụ, vài năm trước một nhà cung cấp hosting mất toàn bộ business vì một dòng code sai. Thay vì hardening thủ công, hãy dùng dịch vụ bảo mật cho phép hardening chỉ với một cú click.
MalCare là giải pháp bảo mật toàn diện nhất. Có tính năng hardening khóa backend nếu hacker xâm nhập. Dựa trên mức độ bảo mật cần thiết, chọn 3 cấp độ. Chỉ vài click, user có thể: chặn thực thi PHP trong thư mục không tin cậy, vô hiệu file editor, chặn cài theme/plugin, thay đổi security keys, reset tất cả mật khẩu.
Sử Dụng Firewall Bảo Vệ
Một trong những biện pháp sau dọn dẹp quan trọng nhất là dùng firewall cho WordPress. Mục đích duy nhất của firewall: tăng cường website chống lại người truy cập có ý định xấu. Chính có 2 loại: plugin-based và network firewall. Plugin-based firewall nằm trên site, bảo vệ khỏi đăng nhập độc hại. Network firewall do hosting cung cấp, bảo vệ từ xa.
Mặt một, có plugin bảo mật chuyên biệt chỉ cung cấp firewall (như All In One WP Security & Firewall, Shield Security). Mặt khác, giải pháp toàn diện như MalCare cung cấp firewall trong gói bảo mật. Firewall mạnh của MalCare bảo vệ 2 cách: Theo dõi IP xấu và ngăn chặn truy cập. Và chặn brute force bằng CAPTCHA sau vài lần thử thất bại.
Một số plugin firewall miễn phí và phổ biến. Nhưng vì miễn phí, không có hỗ trợ chuyên nghiệp lúc khủng hoảng. Hơn nữa, nhiều developer xây plugin miễn phí như side project rồi bỏ rơi. Có thể vì side project hết hơi hoặc developer không thời gian maintain. Có lẽ họ có full-time job, nhà cửa, miệng ăn.
Lấy Backup Mới (Fresh Backups)
Sau khi dọn dẹp website WordPress, hãy chắc chắn lấy backup mới. Một biện pháp sau dọn dẹp rõ ràng nhưng nhiều người vẫn dùng backup cũ. Chúng tôi khuyên không dùng backup cũ vì chúng có thể đã nhiễm độc. Ai biết site bị nhiễm khi nào? Có thể vài tháng! Cả thời gian đó dịch vụ backup đang lấy backup nhiễm độc.
Hardening và biện pháp thêm chống hack lần 2 là cần thiết nhưng không đảm bảo an toàn tuyệt đối. Vì bảo mật không tuyệt đối và phụ thuộc nhiều yếu tố. Do đó phải có biện pháp an toàn hơn hối hận. Backup là biện pháp cơ bản. Lấy backup mới đảm bảo "chiếc lưới an toàn" khi thảm họa tái diễn.
Cần cẩn trọng chọn dịch vụ backup. Backup của MalCare do BlogVault cung cấp – đã backup gần 10 năm. Hơn 20.000 người tin dùng. Với BlogVault, site backup hàng ngày tự động. Truy cập backup bất cứ lúc nào, có sẵn 365 ngày. BlogVault thiết kế all-in-one backup nên cung cấp nhiều tính năng. Xem thêm tính năng tại trang này.
Gỡ Blacklisting (Xóa Khỏi Danh Sách Đen)
Google – công cụ tìm kiếm lớn nhất – cam kết trải nghiệm an toàn. Hàng ngày, Google blacklist hàng trăm website coi là nguy hiểm cho người truy cập. Khi người truy cập vào site bị blacklist, họ thấy trang cảnh báo với nút "Go Back" hoặc "Back to Safety". Google chặn truy cập.
Sau blacklist của Google, traffic tự nhiên giảm mạnh, uy tín online bị tổn thương nặng. Nếu Google blacklist site, bạn cần báo cho Google biết đã dọn dẹp và sửa chữa. Chúng tôi có hướng dẫn gỡ blacklist chi tiết. Khuyên bookmark trang này cho khi khủng hoảng tái diễn – nếu không phải site bạn thì site bạn bè, đồng nghiệp.
Lưu ý: khi website bị hack, hosting có thể treo site. Chúng tôi khuyên mạnh mẽ kiểm tra xem site có bị treo không và khắc phục. Đây là hướng dẫn giúp bạn – Fix Web Host Suspended Site.
Tóm Lại
Để nhắc lại, các biện pháp sau dọn dẹp chính bạn phải thực hiện:
- Xác Định Và Khắc Phục Lỗ Hổng Thực Tế
- Cảnh Giác Với Plugin "Lén Lút" (Rogue Plugins)
- Hardening Website
- Sử Dụng Firewall Bảo Vệ
- Lấy Backup Mới
- Gỡ Blacklisting
Cói bảo mật là công thức cho thảm họa. Bạn hiểu rõ hơn ai hết. Hy vọng hướng dẫn này làm rõ tầm quan trọng của biện pháp bảo mật sau hack. Thắc mắc? Liên hệ team Support qua trang Contact. Chúng tôi sẵn sàng trả lời.