5 ขั้นตอนที่ฉันใช้เพื่อกู้คืนบล็อก WordPress ของฉันจากการแฮ็ก

บล็อกของฉัน Leaving Work Behind ถูกแฮ็คในเดือนเมษายน เป็นสิ่งที่คุณอ่านบ่อยครั้งพอ แต่ไม่เคยคาดหวังว่าจะเกิดขึ้นจริง คุณ จนกว่าจะสายเกินไป ตามความจริงฉันไม่เห็นว่าตัวเองเป็นผู้สมัครคนสำคัญ – ฉันเขียนเกี่ยวกับความปลอดภัยของ WordPress บ่อยครั้งพอที่จะมีมาตรการป้องกันมากมาย อย่างไรก็ตามมาตรการเหล่านี้ยังไม่ครอบคลุมเพียงพอ.


การแฮ็คเป็นสิ่งที่ฉันไม่ต้องการผ่านอีกครั้ง มีสาเหตุหลายประการที่ทำให้เว็บไซต์หยุดทำงานไม่ดีสำหรับบล็อก / ธุรกิจของคุณ: ในขณะที่การสูญเสียการเข้าชมและรายได้ที่อาจเกิดขึ้นนั้นเป็นสองสิ่งที่เห็นได้ชัดเจนที่สุดฉันไม่สามารถบอกเวลาที่ฉันเสียไป ทำให้ฉัน.

ในโพสต์นี้ฉันต้องการเปิดเผยสิ่งที่เกิดขึ้นกับเว็บไซต์ของฉันและแจ้งให้คุณทราบว่าฉันได้ทำอะไรเพื่อเพิ่มความปลอดภัยให้กับเว็บไซต์ของฉันตั้งแต่.

การแฮ็ค: เรื่องราวของฉัน

ฉันตื่นนอนเมื่อวันพฤหัสบดีที่ 18 เมษายนเพื่อพบว่าไซต์ของฉันหยุดทำงานและใช้งานไปหลายชั่วโมง ฉันติดต่อผู้ให้บริการโฮสติ้งของฉันทันที Westhost ซึ่งแจ้งให้ฉันทราบว่าไฟร์วอลล์ ModSecurity ของพวกเขาตรวจพบกิจกรรมที่ผิดปกติบนเว็บไซต์ของฉันและปิดตัวลงทันทีเพื่อความไม่ประมาท เมื่อเปิดใช้งานการคืนค่าเริ่มต้นบนไซต์ฉันสามารถเห็นได้ทันทีว่าถูกแฮ็ก ในขณะที่การเปลี่ยนแปลงนั้นค่อนข้างบอบบาง แต่ก็ชัดเจนว่าการเรียงลำดับที่ไร้ยางอายได้รับการดมยาสลบ.

ปรากฎว่ามีเว็บไซต์ WordPress จำนวนมากที่ถูกแฮ็กด้วยเช่นกันและ Westhost ก็ตัดการทำงานของพวกเขาออก โชคดีที่พวกเขาทำการสำรองข้อมูลรายวันของเว็บไซต์และในบ่ายวันถัดมาฉันกลับมาออนไลน์อีกครั้งด้วยรุ่นของไซต์ที่ใกล้เคียงกับปัจจุบันที่สุด.

นี่คือผลกระทบที่แฮ็คมีต่อการเข้าชมของฉัน:

สถิติ Clicky

หากต้องการนำกราฟด้านบนมาใช้ในมุมมองการจราจรของสัปดาห์นั้นลดลง ~ 30% เมื่อเปรียบเทียบกับสัปดาห์ก่อน ในทางทฤษฎีนั่นหมายถึงรายได้ลดลง 30%.

มันยุติธรรมที่จะบอกว่าฉันกระตือรือร้นที่จะรับรอง (อย่างสุดความสามารถ) ที่แฮ็คไม่สามารถทำซ้ำได้ ฉันลงมือทันที.

ขั้นตอนทันทีของฉัน

สิ่งแรกที่ฉันทำคือการยืนยันว่าฉันได้ทำตามขั้นตอนที่ระบุไว้ในโพสต์ล่าสุดของฉันในการรักษาความปลอดภัยเว็บไซต์ WordPress ของคุณ.

สิ่งเหล่านี้เป็นพื้นฐานที่แน่นอน: อัปเดตธีมและปลั๊กอินของฉันเพื่อให้แน่ใจว่าฉันมีการสำรองข้อมูลล่าสุดทำให้มั่นใจได้ว่าโปรไฟล์เริ่มต้นของฉันไม่มีชื่อ“ ผู้ดูแลระบบ” เปลี่ยนรหัสผ่านของฉันและตรวจสอบปลั๊กอินความปลอดภัยบนเว็บไซต์ของฉัน เมื่อใช้ไอเท็มเหล่านั้นก็ถึงเวลาที่ต้องเดินหน้าต่อไป.

ฉันไม่มีภาพลวงตาว่าเว็บไซต์ของฉันปลอดภัย 100% – หลังจากทั้งหมดไม่มีสิ่งใดเป็นเว็บไซต์ที่ปลอดภัย 100% ต้องบอกว่าฉันรู้ว่ามันมีความปลอดภัยมากกว่าที่เคยเป็นมาและฉันจะดำเนินการต่อเพื่อทำการวิจัยมาตรการรักษาความปลอดภัยของเว็บไซต์ในปัจจุบันและในอนาคต จนถึงตอนนี้เป็นสิ่งที่ฉันได้ทำ.

1. ฉันติดตั้ง VaultPress แล้ว

สำหรับคนที่ไม่รู้, VaultPress เป็นโซลูชันการสำรองข้อมูลและความปลอดภัยโดยอัตโนมัติสำหรับ WordPress มันเป็นของ Automattic, โดยแท้จริงแล้ว“ เจ้าของ” ของ WordPress.

หลังจากใช้ VaultPress มาสองสามวันแล้วฉันไม่อยากจะเชื่อเลยว่าตัวเองราคาถูกมากจนไม่ได้นิ่งงันกับการบริการก่อน แพ็คเกจพื้นฐานของพวกเขาเริ่มต้นที่ $ 15 ต่อเดือน – ฉันจะจ่ายให้เพื่อความสบายใจทุกวันในสัปดาห์.

อันที่จริงฉันเลือกไปกับแพ็คเกจพรีเมียม ($ 40 ต่อเดือน) ซึ่งรวมถึง:

  • สำรองข้อมูลตามเวลาจริง
  • การคืนค่าไซต์คลิกเดียวอัตโนมัติ
  • คลังเก็บสถิติและบันทึกกิจกรรม
  • การกู้คืนความเสียหายจากลำดับความสำคัญ
  • การสนับสนุน“ Concierge”
  • การสแกนความปลอดภัยรายวัน
  • การแจ้งเตือนด้านความปลอดภัย
  • คลิกเดียว Fixers สำหรับภัยคุกคามความปลอดภัย
  • ความช่วยเหลือการโยกย้ายเว็บไซต์

โดยพื้นฐานแล้วคุณจะได้รับความคุ้มครอง.

แม้ว่า VaultPress จะไม่สามารถรับประกันความปลอดภัยของเว็บไซต์ของคุณจากแฮกเกอร์ แต่มันก็ค่อนข้างดี สามารถ รับประกันว่าเว็บไซต์ของคุณสามารถกู้คืนได้อย่างง่ายดาย มีบางสิ่งที่สงบเงียบมากเกี่ยวกับการดูสแน็ปช็อตรายชั่วโมงของไซต์ของคุณที่เก็บไว้ในเซิร์ฟเวอร์ VaultPress:

สำรองข้อมูล VaultPress

แม้ว่าจะมีโซลูชันสำรองข้อมูลฟรีมากมาย แต่ฉันไม่คิดว่าอะไรจะเป็นความสงบของจิตใจที่ฉันได้รับจาก VaultPress พวกเขามีสแนปชอต 90 ภาพในไซต์ของฉันที่สามารถกู้คืนได้ในขณะนี้ซึ่งล่าสุดเป็นเพียงยี่สิบนาที ฉันรู้ว่าไซต์ของฉันปลอดภัยในมือของพวกเขา.

2. ฉันจัดการโปรไฟล์ของฉัน

แฮกเกอร์สามารถเข้าถึงเว็บไซต์ของคุณจากโปรไฟล์ผู้ดูแลระบบใด ๆ ภายในแบ็กเอนด์ WordPress ของคุณ – ไม่ใช่แค่แฮ็กเกอร์ คุณ ใช้. เมื่อฉันโหลดโปรไฟล์ฉันจะเห็นว่าฉันมีโปรไฟล์อีกสามโปรไฟล์คือโปรไฟล์ผู้เยี่ยมชมและโปรไฟล์อีกสองโปรไฟล์สำหรับคนที่ไว้วางใจได้ที่ฉันให้สิทธิ์การเข้าถึงไซต์ของฉัน.

ฉันเริ่มด้วยการปิดโปรไฟล์ทั้งสองนั้นและเปลี่ยนบทบาทของโปรไฟล์ผู้เยี่ยมชมเป็นผู้เขียน นี่คือสิ่งที่ฉันอยากจะแนะนำให้คุณทำ – สร้างโปรไฟล์ผู้ดูแลระบบมากเท่าที่จำเป็นจริงๆ นอกจากนี้คุณควรตรวจสอบให้แน่ใจว่าแต่ละบัญชีเป็นรหัสผ่านแบบสุ่มและไม่ซ้ำกันอย่างเหมาะสมและรหัสผ่านดังกล่าวมีการเปลี่ยนแปลงเป็นประจำ.

มีหลายครั้งที่คุณจะต้องอนุญาตให้ผู้คน (เช่นผู้ออกแบบเว็บไซต์ของคุณ) เข้าถึงเว็บไซต์ของคุณ ในสถานการณ์เช่นนี้ฉันแนะนำให้คุณสร้างโปรไฟล์สำหรับพวกเขาด้วยรหัสผ่านใหม่แล้วลบโปรไฟล์นั้นทันทีที่ความจำเป็นสิ้นสุดลง.

คิดถึงจุดเข้าเว็บไซต์ของคุณเสมอและระบุว่าจำเป็นหรือไม่.

3. ฉันเปลี่ยนรหัสผ่าน

คุณอาจคิดว่านี่เป็นการย้ายที่ชัดเจน แต่ฉันไม่ได้พูดถึงรหัสผ่าน WordPress ของฉัน แม้ว่าฉัน เคยทำ เปลี่ยนพวกเขาฉันยังแน่ใจว่าได้เปลี่ยนรหัสผ่านทั้งหมดเป็นบัญชีที่สำคัญโดยเฉพาะเช่น:

  • Gmail
  • Facebook
  • พูดเบาและรวดเร็ว
  • บัญชีโฮสติ้งของฉัน
  • Amazon Associates
  • ฯลฯ

หากคุณสงสัยว่าทำไมฉันถึงทำแบบนี้ลองพิจารณาเรื่องราวของ Mat Honan ซึ่งชีวิตดิจิตอลทั้งหมดถูกทำลายโดยแฮกเกอร์ที่แฮ็คเข้าสู่บัญชีอเมซอนของเขา หากคุณรู้สึกว่ามีส่วนเกี่ยวข้องกับการรักษาความปลอดภัยออนไลน์บทความนี้เป็นสิ่งที่ต้องอ่าน.

พิจารณาห่วงโซ่อย่างง่ายนี้: แฮ็กเกอร์สามารถเข้าถึงบัญชีอีเมลของคุณซึ่งคุณเพิ่งส่งอีเมลถึงผู้ออกแบบเว็บไซต์ของคุณพร้อมรายละเอียดการเข้าสู่ระบบสำหรับเว็บไซต์ WordPress นั่นคือทั้งหมดที่พวกเขาต้องการเพื่อเข้าถึงเว็บไซต์ของคุณและทำตามที่พวกเขาต้องการ การแฮ็กอาจเป็นเรื่องประถม.

4. ฉันอัปเกรดเป็น SFTP

นี่คือสิ่งที่คุณอาจไม่ทราบ: ข้อมูลใด ๆ ที่คุณถ่ายโอนผ่าน FTP (รวมถึงชื่อผู้ใช้และรหัสผ่านของคุณ) นั้นไม่มีการเข้ารหัสอย่างสมบูรณ์ ดังนั้นทุกคนที่สามารถสกัดกั้นการถ่ายโอน FTP ได้สำเร็จจะสามารถรับรายละเอียดการเข้าสู่ระบบของคุณและเข้าถึงบัญชีของคุณได้.

สิ่งนี้ไม่เพียงช่วยให้พวกเขาสามารถเพิ่มและลบไฟล์ตามที่เห็นสมควร แต่พวกเขายังสามารถเข้าถึงฐานข้อมูล WordPress ของคุณผ่าน phpMyAdmin และท้ายที่สุดก็เข้าสู่เว็บไซต์ของคุณ.

กล่าวง่ายๆว่าการเข้าถึงเว็บไซต์ WordPress ของคุณโดยตรงนั้นปลอดภัยแค่ไหนหากแฮกเกอร์สามารถเข้าใช้งานผ่าน FTP ได้ ดังนั้นฉันขอแนะนำให้คุณปิดใช้งานการเข้าถึง FTP ไปยังเว็บไซต์ของคุณและถ่ายโอนไฟล์โดยใช้โปรโตคอล SFTP สำรองซึ่งเป็นทางเลือก ทำ เข้ารหัสข้อมูล ผู้ให้บริการโฮสติ้งที่ดีควรสามารถช่วยเหลือคุณได้.

การพูดของผู้ให้บริการโฮสต์ …

5. พิจารณาความเหมาะสมของโซลูชันการโฮสต์ของคุณ

ฉันดีใจที่ฉันอยู่กับ Westhost มันเป็นไฟร์วอลล์ ModSecurity ของพวกเขาที่เห็นการแฮ็กในตอนแรกและปิดเว็บไซต์ของฉันก่อนที่จะเกิดความเสียหายร้ายแรง พวกเขายังดำเนินการสำรองข้อมูลรายวันอัตโนมัติ (ซึ่งใช้ในการคืนค่าเว็บไซต์) และมีการสนับสนุนลูกค้าแตกบูต.

คุณพูดเหมือนกันสำหรับผู้ให้บริการโฮสต์ของคุณหรือไม่ มีตัวเลือกที่ยอดเยี่ยมมากมายที่คุณจะคลั่งไคล้กับผู้ให้บริการที่คุณไม่พึงพอใจ คุณอาจพิจารณาเปลี่ยนเป็นหนึ่งในโซลูชันการจัดการโฮสต์ (เช่น WPEngine) ตามที่ WPExplorer ทำเมื่อเร็ว ๆ นี้.

สิ่งที่คุณเลือกให้แน่ใจว่าได้สอบถามเกี่ยวกับมาตรการความปลอดภัยที่พวกเขาใช้ พิจารณามาตรการที่ฉันทำไปแล้วและตรวจสอบให้แน่ใจว่าเข้ากันได้กับโซลูชันการโฮสต์ของคุณ.


คุณธรรมของเรื่องคือ: อย่าประนีประนอมกับความปลอดภัย ท้ายที่สุดการทำให้ไซต์ของคุณปลอดภัยมีความสำคัญมากกว่า สิ่งใด อื่น. ไม่มีจุดที่มีเนื้อหาที่ยอดเยี่ยมหรือมีการออกแบบใหม่ที่น่าสนใจหากไม่มีใครสามารถดูได้เพราะเว็บไซต์ของคุณถูกฉีกเป็นชิ้นเล็กชิ้นน้อยโดยแฮกเกอร์ที่โหดเหี้ยม.

ประเภทที่ชั่วร้ายที่ไม่มีอะไรเกี่ยวข้องกับชีวิตได้ดีไปกว่าไซต์ของคนที่ถูกแฮ็คจะไม่หายไปในไม่ช้า ยิ่งคุณยอมรับและใช้มาตรการที่เหมาะสมเพื่อป้องกันเว็บไซต์ของคุณจากการถูกโจมตียิ่งดีสำหรับความปลอดภัยในระยะยาวของสินทรัพย์ออนไลน์ของคุณ.

ฉันชอบที่จะรู้ว่าคุณคิดอย่างไรเกี่ยวกับมาตรการที่ฉันทำ คุณมีคำแนะนำเพิ่มเติมหรือไม่? แจ้งให้เราทราบในส่วนความเห็น!

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map