Trang web của bạn có giá trị: với bạn, với khách truy cập, và cũng với hacker.
Để xây dựng phòng thủ vững chắc chống tấn công độc hại, bạn cần một hướng dẫn thực tế về cách bảo vệ trang web khỏi hacker. Đây chính là hướng dẫn bảo vệ chống hacker bạn đang tìm!
Tại sao chúng tôi tự tin? MalCare bảo vệ hơn 25.000 trang web, và đội ngũ hỗ trợ của chúng tôi phát hiện và loại bỏ mã độc tinh vi hàng ngày. Chúng tôi am hiểu rõ cách bảo vệ trang web khỏi hacker và các tấn công độc hại.
Tóm tắt: Biện pháp bảo mật tốt nhất là cài đặt plugin bảo mật chạy tự động. Chúng tôi cũng khuyến khích bạn triển khai tất cả các biện pháp bảo mật mô tả trong bài viết này.
Trước khi bắt đầu
Danh sách dài các biện pháp bảo vệ trang web khỏi hacker có thể gây ngại. Chúng tôi hiểu điều đó. Để triển khai dễ dàng hơn, chúng tôi sắp xếp danh sách bảo vệ theo mức độ dễ dàng. Hãy bookmark bài viết và quay lại khi bạn lần lượt thực hiện.
Danh sách bao gồm: những việc nên làm, việc không nên làm, và một vài quan niệm sai lầm. Mục tiêu là giải mã bảo mật, cắt bỏ thông tin rác khác. Nhưng bài học lớn nhất: bảo vệ trang web khỏi hacker và virus không phải hoạt động một lần; đây là quá trình liên tục.
6 Bước Cơ Bản Bảo Vệ Trang Web Ngay Lập Tức
Các biện pháp trong phần này dễ triển khai nhất, và sẽ thiết lập nền tảng khá tốt. À première vue, chúng có vẻ kỹ thuật/nâng cao, nhưng hãy tin vào người không phải kỹ sư: bạn làm được!
1. Cài đặt tường lửa (firewall) tốt
Hacker không xâm nhập thủ công. Hacker giỏi tạo bot tự động tìm kiếm trang web dễ bị tấn công. Bot được lập trình thực hiện hành động cụ thể, không có ý thức.
Cốt lõi của tường lửa là code nhận diện yêu cầu độc hại. Mọi yêu cầu thông tin đến trang web đều đi qua tường lửa trước. Nếu phát hiện yêu cầu độc hại hoặc từ IP đã biết là độc hại, tường lửa chặn yêu cầu thay vì xử lý.
Tránh thay đổi cấu hình tường lửa
Một số tường lửa cho phép cấu hình. Tuy nhiên, chúng tôi không khuyến khích trừ khi bạn là chuyên gia bảo mật thực thụ. Quy tắc tường lửa được tạo sau nghiên cứu bảo mật sâu và kinh nghiệm dọn dẹp mã độc thực tế.
Ví dụ: hầu hết plugin bảo mật WordPress có quy tắc ngăn chặn bất kỳ ai không có quyền admin truy cập file wp-config.php. File wp-config.php là file core nhạy cảm. Tường lửa kiểm tra mọi yêu cầu, nếu chứa "wp-config.php" thì chặn.
Ngoài ra, khi hacker tấn công hàng loạt khi phát hiện lỗ hổng, điều này làm lộ IP hacker. Tường lửa WordPress theo dõi và chặn trước IP độc hại dựa trên các cuộc tấn công này.
Tất nhiên, không tường lửa nào 100% không thể hack. Nhưng có tường lửa chặn hầu hết mã độc tốt hơn không có. Không phải tường lửa nào cũng giống nhau, một số hiệu quả hơn nhiều. Chúng tôi đã liệt kê danh sách tường lửa WordPress tốt nhất để bạn chọn.
2. Chính sách mật khẩu mạnh và dùng trình quản lý mật khẩu
Chúng tôi làm bảo mật WordPress hơn 10 năm. Bạn sẽ ngạc nhiên biết bao nhiêu trang web bị hack chỉ vì mật khẩu yếu.
Mật khẩu dễ đoán được dùng bởi hàng trăm nghìn trang web. 5% trang web bị hack dùng MalCare để dọn mã độc dùng mật khẩu yếu.
Hacker có danh sách mật khẩu này gọi là "bảng cầu vồng" (rainbow tables) và liên tục tạo bảng lớn hơn để dùng như từ điển. Dùng bảng này, hacker tấn công "tấn công từ điển" (dictionary attack).
Tấn công từ điển chủ yếu là biến thể của brute force. Nhưng không phải cách duy nhất hack mật khẩu. Do đó khuyến khích mật khẩu mạnh.
Mật khẩu mạnh kết hợp chữ, số, ký hiệu. Tổ hợp hiếm gặp khó giải mã, brute force có thể mất năm. Càng dài càng khó khóa. Bài viết này giúp bạn tạo mật khẩu siêu mạnh.
Bạn cũng có thể dùng plugin ép buộc mật khẩu mạnh cho tất cả user WordPress với plugin Password Policies Manager for WordPress. Plugin giúp tạo chính sách ép user tạo mật khẩu mạnh khi tạo tài khoản.
3. Cài đặt SSL và dùng HTTPS cho trang web
Chứng chỉ SSL (Secure Sockets Layer) là giao thức bảo mật mã hóa mọi truyền thông đến/từ trang web. Cài đặt SSL đảm bảo ngay cả khi hacker chặn dữ liệu, chúng cũng không hiểu được nội dung.
Chúng tôi có hướng dẫn chi tiết cài đặt SSL đúng cách. Thực sự xứng đáng. Hãy lấy chứng chỉ SSL cho trang web ngay. Thêm vào đó, bạn còn nhận lợi ích SEO.
4. Kiểm tra kỹ người dùng quản trị (admin)
Nhiều người nghĩ hacker chỉ cài mã độc và bỏ đi. Sai. Hacker thông minh tạo tài khoản ảo với quyền admin để quay lại bất cứ lúc nào.
Xem xét và xóa user WordPress định kỳ giải quyết vấn đề này. Có thể tốn thời gian nếu team lớn quản trị web. Nhưng đáng giá. Xóa user không còn đóng góp là điểm khởi đầu. Sau đó, ép buộc mật khẩu mạnh để writer/editor không vô tình làm lộ site.
Bạn có thói quen mật khẩu tốt, nhưng nếu một admin bị lừa đảo (phishing), trang web cũng bị ảnh hưởng. Hãy tận dụng tối đa vai trò user WordPress để hạn chế quyền truy cập tối đa. Ví dụ: người chỉ viết/bài, chỉ cấp quyền "Author", không phải "Admin". Đọc bài về vai trò WordPress để biết cách làm nhẹ nhàng.
5. Sử dụng nhật ký hoạt động (activity log)
Nhìn thấy điều bất ngờ trên trang web có thể cảnh báo kịp thời trong nhiều tình huống. Ví dụ: tài khoản admin được tạo mà bạn không hay; plugin bị vô hiệu hóa (plugin bảo mật chẳng hạn) mà không có sự đồng thuận. Đây đều là hành động admin hợp pháp, nhưng cũng có thể là dấu hiệu truy cập trái phép. Nhật ký hoạt động cho bạn biết đang xảy ra gì, bạn đánh giá hành động có hợp pháp không.
Thực hành này đã cứu chúng tôi nhiều lần. Hacker rất cẩn trọng để không bị bắt, vì chỉ kiểm soát trang web được miễn là không bị phát hiện. Nhật ký hoạt động giúp phát hiện thay đổi, dập tắt hoạt động trái phép ngay từ đầu.
MalCare đi kèm nhật ký hoạt động trên dashboard, không cần cấu hình.
6. Sao lưu định kỳ
Sao lưu có lẽ là chiến thuật được đánh giá thấp nhất. Luôn sao lưu hàng ngày để khôi phục nhanh khi có sự cố thảm họa.
Chọn plugin sao lưu tốt, tin cậy, vì sao lưu thủ công khó thực hiện đúng nếu không có chuyên môn. Thực tế, trước khi làm bất kỳ bước nào trong bài này, hãy sao lưu toàn bộ trang web và thiết lập sao lưu hàng ngày ngay lập tức. Đây luôn là thói quen tốt khi thay đổi bất cứ điều gì trên site.
5 Bước Trung Cấp Nâng Cao Bảo Vệ Trang Web
Các bước cơ bản ở trên là khởi đầu tốt, không tốn nhiều thời gian. Phần này, ngoài xác thực 2 yếu tố (2FA) và giới hạn lần đăng nhập, các bước là biện pháp bảo mật liên tục.
Như đã nói, quan trọng là tư duy đúng về bảo mật web. Không phải thiết lập một lần, mà phải coi là phần thường quy của quản trị site.
1. Cập nhật mọi thứ
Trên 90% hack xảy ra vì hacker phát hiện lỗ hổng trong theme/plugin và khai thác trên nhiều trang web.
Lỗ hổng là gì? Theme/plugin là phần mềm. Như mọi phần mềm, chúng là code chắc chắn có bug. Bug nào vô hại, chỉ gây lỗi nhỏ khi cập nhật. Bug khác làm code dễ bị khai thác.
Khi lỗ hổng được phát hiện (thường bởi nhà nghiên cứu bảo mật), chúng được tiết lộ cho nhà phát triển để vá. Nhà phát triển có trách nhiệm sẽ phát hành bản vá, và trang web cài plugin sẽ thấy bản cập nhật sớm.
Sau khi bản vá phát hành, lỗ hổng được công khai. Nếu bạn là trang web cập nhật plugin/theme kịp bản vá, tuyệt vời. Nếu không, site sẽ thành mục tiêu của hacker nghiệp dư (script kiddies) muốn kiếm tiền nhanh. Do đó, luôn cập nhật mọi thứ — từ WordPress đến plugin — mọi lúc. Chúng tôi hiểu cập nhật đôi khi làm hỏng site bất ngờ, nên hãy dùng staging để cập nhật an toàn. Nhưng hãy cập nhật mọi thứ!
Chúng tôi có hướng dẫn cập nhật WordPress an toàn, giảm thiểu gián đoạn.
2. Chọn theme và plugin tốt
Như phần trước, chúng tôi gọi nhà phát hành bản vá là "có trách nhiệm". Tóm lại, nhà phát triển tốt bảo trì phần mềm tích cực. Điều này không phải phổ biến. Buồn nhưng thật.
Chúng tôi mạnh mẽ khuyến khích dùng plugin/theme tốt. "Tốt" là từ tương đối, mơ hồ. Dưới đây là yếu tố cân nhắc khi chọn plugin:
- Cập nhật định kỳ: Plugin/theme thường xuyên phát hành bản cập nhật, vá lỗ hổng mới phát hiện. Cho thấy nhà phát triển nghiêm túc về rủi ro bảo mật.
- Lượt cài đặt hoạt động: Plugin phổ biến với hàng triệu cài đặt luôn là mục tiêu. Contact Form 7 là ví dụ điển hình. Mặt trái: plugin phổ biến thường an toàn hơn vì có team lớn, tốt hơn cải tiến sản phẩm. Chọn khôn ngoan sau nghiên cứu kỹ.
- Uy tín: Tránh cài plugin/theme của freelancer không ai biết. Chỉ dùng sản phẩm của nhà phát triển/thương hiệu uy tín. Nếu mua từ marketplace, hãy tin tưởng nhà phát triển, không chỉ marketplace.
- Bản trả phí: Thường vendor plugin trả phí đầu tư nhiều thời gian/tiền tìm và vá lỗ hổng. Nếu ngân sách chặt, plugin miễn phí hợp lý. Nhưng nếu lo an ninh web, chúng tôi khuyến khích dùng theme/plugin premium.
Lưu ý: Bạn có thể cám dỗ dùng plugin/theme nulled. Đừng làm vậy. Rủi ro không đáng. Phần mềm nulled lan truyền mã độc. Đó là lý do bạn được sản phẩm premium miễn phí. Dù file zip không chứa code độc rõ ràng, user nulled biết không thể cập nhật phần mềm. Điều đó làm site dễ bị hack, như phần trước nói.
3. Triển khai 2FA (Xác thực 2 yếu tố)
2FA là biện pháp bảo mật thêm thiết bị/token bạn phải truy cập được để đăng nhập, ngoài mật khẩu.
Có vài giao thức cho 2FA như TOTP (mật khẩu một lần dựa trên thời gian) hoặc HOTP (HMAC-based). Mỗi cái có ưu/nhược điểm, nhưng cho bảo mật đăng nhập, không cần đi sâu chi tiết.
Có vài app miễn phí/trả phí thêm 2FA vào trang đăng nhập, hỗ trợ giao thức phổ biến. Xem cách thiết lập 2FA WordPress. Nếu nhiều người đóng góp cho web, triển khai tính năng này rất tốt.
4. Chọn host tốt
Nhiều người trách host cho cả bảo mật trang web. Nhưng hiếm khi lỗi do host nếu site bị hack. Trên thực tế, trường hợp hiếm host chịu trách nhiệm vi phạm bảo mật, hậu quả khổng lồ: hàng nghìn site bị ảnh hưởng.
Thực tế ngược lại: host tốt giúp bảo vệ trang web khỏi hacker. Do đó, hãy chọn dịch vụ hosting an toàn nhất. Đây là danh sách nhà cung cấp hosting WordPress tốt nhất chúng tôi biên soạn để giúp bạn chọn host tốt.
5. Giới hạn lần đăng nhập
Cách dễ dàng chặn bot brute force và kẻ tấn công: từ chối IP sau 3 lần thử sai. Tường lửa MalCare tích hợp tính năng này. Giới hạn lần đăng nhập là cách hiệu quả bảo vệ web mà ít mặt trái.
Bạn có thể dùng plugin Limit Loginizer khi cài WordPress. Nhưng nếu bạn sai mật khẩu 3 lần, phải nhờ host bỏ chặn IP để thử lại.
2 Bước Chuyên Gia Thực Sự Nâng Tầm Bảo Vệ
Dù bạn hoàn thành các phần trước, bạn đã khá an toàn. Các biện pháp sau hiệu quả nhưng cần can thiệp vào code.
Nhắc lại: hầu hết hack do lỗ hổng, nên xử lý chúng bảo vệ web khỏi hacker/virus khá tốt. Nếu bạn không thoải mái tự làm, hãy bỏ qua hoặc gửi cho developer triển khai. Dù sao, site vẫn được bảo vệ tốt.
1. Chặn thực thi PHP trong thư mục uploads
Có toàn bộ lớp lỗ hổng gọi là Remote Code Execution (thực thi code từ xa) cho phép hacker upload mã PHP độc hại vào thư mục Uploads. Thông thường, thư mục Uploads không chứa code thực thi, chỉ chứa file media. Nhưng bản chất thư mục Uploads cho phép lưu file/thư mục bên trong.
Khi code độc được upload, hacker chạy nó và kiểm soát site. Nhưng nếu chặn thực thi PHP trong thư mục Uploads, tấn công không bao giờ xảy ra.
Nếu dùng MalCare, bạn chặn thực thi PHP trong Uploads chỉ với 1 cú nhấp, như một phần của các biện pháp tăng cường WordPress (hardening).
2. Thay đổi khóa bảo mật WordPress (Security Keys)
Nếu gần đây bị hack, bạn có thể đổi khóa bảo mật WordPress. Đây là chuỗi được hash cùng username/mật khẩu để quản lý phiên đăng nhập của user.
Bạn có thể đặt chuỗi này bất kỳ, nhưng như mật khẩu, tốt nhất dùng chuỗi alphanumeric ngẫu nhiên. Đọc thêm về security keys và cách đổi.
2 Mẹo THƯỞNG HỆU Bảo Vệ Trang Web Chống Hacker
1. Cập nhật tin tức bảo mật
Biết tin, hỏi đáp, tham gia cộng đồng là cách tuyệt vời theo dõi hack mới và thay đổi cảnh quan đe dọa. Ví dụ: nếu lỗ hổng plugin được phát hiện, bạn có thể vô hiệu hóa từ dashboard cho đến khi bản cập nhật sẵn sàng và cài đặt. Mọi phiền toái bạn gặp đều nhẹ so với thiệt hại từ site bị hack.
2. Thực hiện kiểm tra bảo mật định kỳ
Nhiều chủ web lầm tưởng site quá nhỏ không đáng bị hack. Sai hoàn toàn. Hack xảy ra nhiều lý do, và nếu site không hấp dẫn về dữ liệu user, nó vẫn có đủ thẩm quyền SEO để bị dùng làm trang lừa đảo (phishing).
Kiểm tra bảo mật định kỳ giúp phát hiện thực hành không an toàn và lỗ hổng tiềm ẩn. Bằng cách theo dõi diễn biến site — qua nhật ký hoạt động, xem xét user — bạn sẽ tiết kiệm nhiều phiền toái lâu dài.
Những Việc KHÔNG Giúp Bảo Vệ Trang Web
Chúng tôi ủng hộ ý thức bảo mật, nhưng không hỗn loạn. Cũng thấy nhiều lời khuyên tồi cho chủ web. Lời khuyên có ý tốt nhưng hậu quả không mong muốn: trải nghiệm user kém, hoặc khóa chính bạn ra khỏi web!
Vui lòng không làm các việc sau.
1. Ẩn trang wp-login
Nhiều plugin bảo mật vẫn tin thủ pháp cũ này hiệu quả. Nếu hacker không tìm thấy trang đăng nhập, họ không brute force được, đúng không? Sai. Thay vào đó:
- Làm web rất khó dùng. Nếu quên URL đăng nhập mới, khôi phục tài khoản khó khăn.
- Nếu dùng URL mặc định của plugin bảo mật, hacker dễ đoán URL mới.
- Dù hacker không tìm thấy wp-login, họ vẫn hack web qua lỗ hổng XML-RPC.
Tùy chọn này không đạt được gì và gây rắc rối.
2. Chặn theo địa lý (Geo-blocking)
Geo-blocking chặn lưu lượng từ quốc gia không liên quan đến sản phẩm/dịch vụ. Thường được xem là biện pháp bảo mật nhưng thực chất là cách giảm chi phí tài nguyên server.
Có thể bạn nghĩ lưu lượng từ Gabon không giúp kinh doanh. Nhưng chặn toàn bộ lưu lượng Gabon không giải quyết gì. Với VPN tốt, ai cũng vượt qua được geo-blocking ngay cả của Netflix. Bạn còn rủi ro chặn cả Googlebot và chính bạn!
3. Bảo vệ mật khẩu thư mục wp-admin
Thư mục wp-admin là thư mục quan trọng nhất trong cài đặt WordPress. Tự nhiên hacker muốn xâm nhập. Chuyên gia bảo mật từng nghĩ bảo vệ mật khẩu thư mục là ý tưởng tốt, nhưng hiện tại nhận ra đó không phải thực hành tốt.
Bảo vệ mật khẩu wp-admin làm hỏng chức năng AJAX trên WordPress và khiến nhiều plugin lỗi. Nếu chạy WooCommerce, AJAX hỏng sẽ phá vỡ tìm kiếm và các yếu tố UX quan trọng.
Tại Sao Bạn Nên Bảo Vệ Trang Web Khỏi Hacker?
Bài viết đã nhiều thông tin về cách bảo vệ, và có lẽ đã nhắc vài lần, nhưng đáng nhắc lại. Trang web của bạn có giá trị. Không chỉ với bạn và khách, mà cả với hacker. Dù lợi nhuận trực tiếp từ hack site nhỏ không lớn, lợi ích có trang web sạch để buôn bán hàng hóa bất hợp pháp/thị trường xám vẫn khiến hack đáng giá cho hacker.
Vậy, trang web nhỏ không phải là chỗ trú an toàn trước ý định xấu.
Thứ hai, chúng ta có trách nhiệm bảo vệ dữ liệu và danh tính user. Họ tin tưởng truy cập site, chúng ta phải tôn trọng và quan tâm đến họ khi xem xét bảo mật.
Kết luận
Bạn có thể ngăn chặn hacker bằng cách cảnh giác và tiếp cận chủ động bảo mật. Quan trọng nhận ra: bảo vệ trang web khỏi hacker và tấn công độc hại là quy trình liên tục. Có bước làm một lần, nhưng hầu hết bạn cần nhận biết thay đổi trong cảnh quan đe dọa.
Không có bài viết, trang web, chuyên gia nào cam kết ngăn chặn tất cả hack có thể xảy ra. Ai tuyên bố làm được thì không trung thực.
Vậy, dù không cam kết bài viết này giữ site an toàn mãi mãi, chúng tôi đã đưa ra các mẹo bảo mật chung khiến site rất khó bị hack. Sử dụng mẹo trong bài, bạn sẽ vá được nhiều lỗ hổng bảo mật.
Câu hỏi thường gặp
Làm thế nào bảo vệ trang web của tôi khỏi hacker?
Có vài bước để bảo vệ trang web khỏi hacker. Dưới đây là các mẹo bảo mật hàng đầu:
- Cài plugin bảo mật có tường lửa tốt
- Triển khai xác thực 2 yếu tố (2FA)
- Giới hạn lần đăng nhập
- Cập nhật plugin và theme thường xuyên
- Cài đặt SSL
- Chọn host uy tín
Tại sao tôi nên bảo vệ trang web khỏi hacker?
Hacker luôn có nhiều lợi ích từ tấn công trang web của bạn. Ngoài thiệt hại tiền tệ trực tiếp, dữ liệu khách truy cập bị lộ, họ cũng chịu hậu quả dữ liệu bị đánh cắp. Trang web tốt không cần lớn để hấp dẫn. Nhiều hoạt động bất hợp pháp, bất hợp pháp có thể thực hiện trên site nhỏ bị hack như nhau.
Tôi có nên triển khai xác thực 2 yếu tố không?
Có, 2FA là hệ thống tuyệt vời cho đăng nhập web. Yêu cầu token thêm khi đăng nhập, ngoài user/pass. Giả định: ngay cả khi hacker có thông tin đăng nhập, họ khó có thiết bị của bạn (nhận token thứ 2). Cơ chế hiệu quả ngăn chặn truy cập trái phép, đã phổ biến rộng rãi trên internet.
Tôi nên thực hiện bao nhiêu biện pháp để bảo vệ trang web?
Điều thường thấy là làm mọi thứ khiến web an toàn nhất. Một lý do chúng tôi bỏ qua nhiều thông tin phổ biến là vì làm mọi thứ không thực sự làm web an toàn hơn. Ngược lại, với ít lợi ích thêm, bạn làm web khó dùng hơn. Bài viết chứa các biện pháp bạn có thể thực hiện an toàn để tăng cường bảo vệ, không hy sinh quá nhiều trải nghiệm user.