Tường lửa dựa trên plugin: Con người được bảo vệ từ lúc sinh ra. Được mặc áo, che chở dưới mái nhà, lớn lên thành người quan trọng thì có thêm lớp bảo vệ (bảo vệ vũ trang). Tương tự, trang web cần nhiều lớp bảo vệ. Tường lửa là một lớp đó. Nó tăng cường an ninh và có sẵn sàng ứng phó khi hacker cố gắng xâm nhập.
Có nhiều loại tường lửa bảo vệ trang web, mỗi loại xử lý các mối đe dọa khác nhau. Bên cạnh tường lửa plugin, còn có tường lửa đám mây và tường lửa tích hợp của nhà cung cấp hosting. Tường lửa plugin cài đặt và cấu hình trực tiếp từ trang WordPress như plugin bình thường. Nó chặn yêu cầu truy cập trang web, kiểm tra yêu cầu hợp lệ hay độc hại. Mỗi loại tường lửa có ưu/nhược điểm riêng. Hãy xem xét.
Ưu Điểm Của Tường Lửa Dựa Trên Plugin:
Khó Bị Vượt Qua
Tường lửa nằm trên server trang web – như vệ sĩ cá nhân luôn bên cạnh. Tường lửa mạng bảo vệ từ xa – như vệ sĩ đứng ngoài cửa. Nếu hacker vượt qua vệ sĩ ngoài cửa và vào phòng, họ sẽ gây hại. Nhưng nếu có vệ sĩ vũ trang bên cạnh, hacker phải đối phó với vệ sĩ trước khi chạm đến trang web.
Tối Ưu Cho WordPress
Plugin là một phần quan trọng khiến WordPress phổ biến. Plugin giúp thiết kế web dễ dàng, xây dựng riêng cho WordPress. Tường lửa plugin độc quyền cho WordPress – dễ dùng, dễ cấu hình như mọi plugin khác. Một số chức năng như bảo vệ thư mục WordPress cụ thể khó thực hiện với tường lửa mạng.
Dễ Cấu Hình
Với tường lửa plugin, không cần liên hệ ai để cấu hình. Vì nó là plugin nằm trên server trang web, bạn dễ dàng bật/tắt từ bảng điều khiển WordPress. Tiết kiệm thời gian để tập trung phát triển web và kinh doanh.
Nhược Điểm Của Tường Lửa Dựa Trên Plugin:
Không Vô Địch Bị Vượt Qua
Mỗi yêu cầu truy cập trang web đều qua tường lửa kiểm tra hợp lệ hay độc hại. Nhưng hacker vẫn tìm cách vượt qua tường lửa, giao tiếp trực tiếp với web server.
Phụ Thuộc Bảo Mật Dựa Trên Chữ Ký (Signature)
Giống nhiều trình quét mã độc, tường lửa dùng bảo mật dựa trên chữ ký. Tức là so khớp yêu cầu với danh sách các yêu cầu đáng ngờ/đã biết gây hại. Hacker hiện nay thông minh, sáng tạo. Họ gửi yêu cầu phức tạp chưa từng được nhận diện, do đó tường lửa không coi là hại.
Không Bảo Vệ Vấn Đề Người Dùng
Tường lửa bảo vệ trang đăng nhập WordPress, nhưng không bảo vệ vấn đề người dùng như tên đăng nhập/mật khẩu yếu. Nếu thông tin đăng nhập không đủ mạnh (xem cách tạo mật khẩu mạnh), hacker dễ dàng brute-force. Tường lửa không ngăn chặn được. Một số tường lửa chặn truy cập trang đăng nhập sau 3 lần sai liên tiếp. Nhưng nếu bot brute-force đoán đúng mật khẩu yếu ở lần thứ 2, tường lửa vô lực. Trong trường hợp này, tường lửa không bảo vệ được web – sự cảnh giác của chủ web rất quan trọng. An ninh là trách nhiệm chung, chủ web phải tham gia mọi biện pháp phòng ngừa.
Không Bảo Vệ Đối Với DDoS
WordPress không có tính năng chống DDoS tích hợp, tường lửa plugin cũng không. DDoS là hacker đẩy quá nhiều traffic khiến web chậm hoặc sập. Tường lửa mạng hiệu quả hơn vì lọc traffic độc hại trước khi đến server. Tường lửa plugin gần như vô dụng trước DDoS.
Làm Chậm Trang Web
Vì tường lửa plugin nằm trên trang web và dùng tài nguyên trang để chạy, nó làm chậm web. Mỗi yêu cầu truy cập, tường lửa kiểm tra dùng tài nguyên trang – làm chậm tốc độ.
Lời Kết
Có dùng tường lửa plugin hay không tùy thuộc vào loại bảo vệ bạn cần. Nếu web bị DDoS, tránh tường lửa plugin. Nếu cần chống brute-force, tường lửa plugin lý tưởng.
Để hiểu biện pháp an ninh web cần, trước hết hiểu các cuộc tấn công phổ biến trên web của bạn. Cách tốt nhất giảm lỗ hổng là "phòng thủ nhiều lớp" – tường lửa kết hợp với cứng hóa trang web, cập nhật thường xuyên, backup hàng ngày, v.v. để bảo vệ toàn diện.
Có thể dùng nhiều công cụ (plugin) hoặc plugin bảo mật toàn diện như MalCare – cung cấp nhiều tính năng kèm tường lửa. Tường lửa theo dõi hàng trăm nghìn web tìm IP xấu (IP biết gây hại), đánh dấu và chặn. Có chống brute-force: sau 3 lần đăng nhập sai, bật CAPTCHA. Xem chi tiết tường lửa MalCare tại đây.