وقتی به موضوع امنیت در وب‌سایت‌ها می‌پردازیم، باید بدانیم که هیچ نوع امنیت خاص و منحصر به فردی برای وردپرس وجود ندارد. در این مطلب از سری مطالب آموزشی وبلاگ پارس وی دی اس به امنیت وردپرس را با این 16 روش تامین کنید می‌پردازیم.
همه مشکلات امنیتی که وب‌سایت‌ها با آن مواجه هستند، می‌توانند بر روی هر پلتفرمی اتفاق بیفتند. با این حال، مشکلات امنیتی وردپرس به دلیل میزان بالای استفاده از این سیستم مدیریت محتوا (CMS) – که حدود 40 درصد از کل وب‌سایت‌ها را به خود اختصاص داده است – و همچنین به‌دلیل متن باز بودن آن، بیشتر مورد توجه قرار گرفته است.
وقتی که یک آسیب‌پذیری در هسته وردپرس یا در یکی از افزونه‌های آن شناسایی می‌شود، وب‌سایت‌های دیگری که از همان کد استفاده می‌کنند نیز در معرض خطر قرار می‌گیرند.
خوشبختانه، افزونه‌های متعددی وجود دارند که می‌توانند به شما کمک کنند تا امنیت وب‌سایت خود را تقویت کنید. این مقاله به شما خواهد آموخت که چگونه می‌توانید وب‌سایت وردپرس خود را در برابر انواع مختلف آسیب‌پذیری‌ها ایمن کنید. این نکات نه تنها برای وردپرس بلکه برای سایر سیستم‌های مدیریت محتوا و برنامه‌های وب نیز کاربرد دارند.
محافظت در برابر آسیب‌پذیری‌های وردپرس:
آسیب‌پذیری‌های متداول شامل موارد زیر هستند:
- پشتیبان‌گیری ناکافی: عدم وجود نسخه‌های پشتیبان منظم می‌تواند منجر به از دست رفتن داده‌ها شود.
- هک‌های دارویی: این نوع حملات به دنبال دسترسی غیرمجاز به اطلاعات حساس هستند.
- تلاش‌های ورود به سیستم بی‌رحمانه: مهاجمان با استفاده از حملات brute force سعی در حدس زدن رمز عبور دارند.
- تغییر مسیر مخرب: این نوع حملات می‌توانند کاربران را به وب‌سایت‌های خطرناک هدایت کنند.
- برنامه‌نویسی متقاطع (XSS): این نوع آسیب‌پذیری به مهاجمان اجازه می‌دهد تا کدهای مخرب را به وب‌سایت‌های معتبر تزریق کنند.
- حملات انکار خدمات (DDoS): این حملات با هدف برهم زدن عملکرد وب‌سایت انجام می‌شوند.
این موارد تنها بخشی از آسیب‌پذیری‌های موجود هستند و باید به طور کلی با در نظر گرفتن یک رویکرد 360 درجه به امنیت فکر کنید. هیچ مجموعه ثابتی از روش‌های هک کردن یک وب‌سایت وجود ندارد. مهاجمان می‌توانند از تکنیک‌های متنوعی برای دسترسی به وب‌سایت شما استفاده کنند، از جمله:
- دسترسی فیزیکی به سرور: اگر مهاجم به سرور شما دسترسی پیدا کند، می‌تواند به راحتی به داده‌ها دسترسی یابد.
- استفاده از شبکه‌های عمومی: مهاجمان می‌توانند از تکنیک‌های مختلف برای تجزیه و تحلیل ترافیک شما استفاده کنند.
حالا بیایید به بررسی 16 روش برای تقویت امنیت وب‌سایت وردپرس بپردازیم:
- استفاده از HTTPS: با فعال کردن HTTPS، داده‌های شما رمزگذاری می‌شوند و در برابر حملات محفوظ می‌مانند.
- استفاده از رمزهای عبور قوی: از رمزهای عبور پیچیده و غیرقابل پیش‌بینی استفاده کنید.
- مدیران رمز عبور: برای ذخیره و مدیریت رمزهای عبور خود از ابزارهای مدیریت رمز عبور استفاده کنید.
- فعال کردن CAPTCHA: این کار می‌تواند از ورود خودکار و حملات بی‌رحمانه جلوگیری کند.
- اجتناب از ورودهای بی‌رحمانه: با استفاده از افزونه‌های امنیتی، تلاش‌های غیرمجاز برای ورود به سیستم را محدود کنید.
- احراز هویت دو عاملی: این روش سطح امنیتی وب‌سایت شما را افزایش می‌دهد.
- به‌روزرسانی منظم افزونه‌ها: افزونه‌های قدیمی می‌توانند آسیب‌پذیری‌های امنیتی را به همراه داشته باشند.
- تنظیم هدرهای HTTP امنیتی: این هدرها به مرورگرها کمک می‌کنند تا از حملات جلوگیری کنند.
- تنظیم مجوزهای صحیح پرونده: اطمینان حاصل کنید که مجوزهای فایل‌های وردپرس به‌درستی تنظیم شده‌اند.
- غیرفعال کردن ویرایش فایل: این کار می‌تواند از تغییرات غیرمجاز جلوگیری کند.
- غیرفعال کردن ویژگی‌های غیرضروری: هر ویژگی که استفاده نمی‌شود را غیرفعال کنید.
- پنهان کردن نسخه وردپرس: با این کار، اطلاعاتی که می‌تواند به مهاجمان کمک کند، مخفی می‌شود.
- نصب فایروال وردپرس: این فایروال‌ها می‌توانند تهدیدات را شناسایی و مسدود کنند.
- نگهداری از نسخه‌های پشتیبان: از داده‌های خود نسخه پشتیبان تهیه کنید تا در صورت بروز مشکل بتوانید آنها را بازیابی کنید.
- استفاده از SFTP: این پروتکل امن‌تر از FTP است و انتقال داده‌ها را ایمن‌تر می‌کند.
- کنترل فعالیت کاربران: با نظارت بر فعالیت‌ها، می‌توانید رفتار مشکوک را شناسایی کنید.
ایمن‌سازی وب‌سایت با HTTPS:
اولین گام برای ایمن‌سازی وب‌سایتتان فعال کردن HTTPS است. هر داده‌ای که بین مرورگر و سرور منتقل می‌شود، باید رمزگذاری شود تا از دسترسی مهاجمان جلوگیری شود. اگر هنوز به HTTPS منتقل نشده‌اید، می‌توانید از راهنماهای موجود برای انجام این کار استفاده کنید. (در این قسمت لینک مربوطه درج شود)
ابزارها و افزونه‌های مفید:
برای انتقال وب‌سایت خود به HTTPS، می‌توانید از ابزارها و افزونه‌های زیر استفاده کنید:
- Better Search Replace: برای جستجو و جایگزینی لینک‌های HTTP با HTTPS.
- Really Simple SSL: این افزونه به شما کمک می‌کند تا به‌راحتی وب‌سایت خود را به HTTPS منتقل کنید.
با رعایت این نکات و استفاده از ابزارهای مناسب، می‌توانید امنیت وب‌سایت وردپرس خود را به طرز چشمگیری افزایش دهید و از آن در برابر تهدیدات محافظت کنید.
2. همیشه از رمزهای عبور قوی استفاده کنید
یکی از رایج‌ترین روش‌های دسترسی هکرها به وب‌سایت‌ها، استفاده از رمزهای عبور ضعیف یا pwned است. این نوع رمزهای عبور شما را در برابر حملات بی‌رحمانه و دیگر روش‌های نفوذ آسیب‌پذیر می‌کند. به همین دلیل، استفاده از رمزهای عبور قوی باید در اولویت قرار گیرد.
برای تقویت امنیت خود، از رمزهای عبور پیچیده و غیرقابل حدس استفاده کنید و به طور مرتب آنها را بررسی کنید تا مطمئن شوید که در لیست رمزهای عبور pwned قرار ندارند.
نکات کلیدی برای ایجاد رمزهای عبور قوی:
- استفاده از حداقل 12 کاراکتر که شامل حروف بزرگ، حروف کوچک، اعداد و نمادها باشد.
- پرهیز از استفاده از اطلاعات شخصی مانند تاریخ تولد یا نام‌های خانوادگی.
- تغییر دوره‌ای رمزهای عبور.
افزونه‌های وردپرس برای تقویت امنیت رمزهای عبور:
- Password Pwned Check: این افزونه بررسی می‌کند که آیا رمز عبور شما در لیست‌های پخش‌شده (pwned) قرار دارد یا خیر.
- Password Policy Manager: این افزونه به شما کمک می‌کند تا سیاست‌های امنیتی قوی‌تری برای رمزهای عبور تعیین کنید.
- bcrypt Password Hashing: استفاده از الگوریتم bcrypt برای ذخیره رمزهای عبور به طور امن.
3. از برنامه مدیریت رمز عبور برای ذخیره رمزهای عبور خود استفاده کنید:
هنگامی که از یک شبکه عمومی وارد سیستم می‌شوید، امکان دارد که هکرها به راحتی بتوانند اطلاعات شما را سرقت کنند. برای محافظت از خود در برابر این خطر، استفاده از مدیران رمز عبور می‌تواند یک راه حل مؤثر باشد.
مدیران رمز عبور به شما این امکان را می‌دهند که به سادگی به رمزهای عبور خود دسترسی پیدا کنید و آنها را در یک مکان امن ذخیره کنید. به علاوه، حتی اگر کسی به رایانه شما دسترسی پیدا کند، نمی‌تواند به سادگی رمزهای عبور شما را بدست آورد.
برنامه مدیریت رمز عبور محبوب:
- LastPass: یک مدیر رمز عبور معروف که قابلیت‌های زیادی از جمله ذخیره‌سازی امن و پر کردن خودکار فرم‌ها را ارائه می‌دهد.
- 1Password: با رابط کاربری آسان و امکانات امنیتی پیشرفته، این ابزار به شما کمک می‌کند تا رمزهای عبور خود را به راحتی مدیریت کنید.
- NordPass: یک گزینه مناسب با تأکید بر امنیت و حفظ حریم خصوصی، که از رمزنگاری قوی استفاده می‌کند.
4. CAPTCHA را در فرم ورود و ثبت نام اضافه کنید:
بعد از ایمن کردن وب‌سایت خود با استفاده از HTTPS و رمزهای عبور قوی، می‌توانید با افزودن CAPTCHA به فرم‌های ورود و ثبت نام، امنیت خود را بیشتر تقویت کنید. CAPTCHA کمک می‌کند تا از ورود خودکار و حملات ربات‌ها جلوگیری کنید و فقط به کاربران واقعی اجازه دسترسی بدهید.
انواع CAPTCHA که می‌توانید اعمال کنید:
- reCAPTCHA: این ابزار گوگل، به شما این امکان را می‌دهد که از روش‌های مختلفی برای شناسایی کاربر واقعی استفاده کنید.
- hCaptcha: یک گزینه جایگزین برای reCAPTCHA که به حفظ حریم خصوصی کاربران توجه ویژه‌ای دارد.
با اتخاذ این تدابیر، می‌توانید وب‌سایت خود را در برابر تهدیدات سایبری به طور چشمگیری ایمن‌تر کنید.
کپچاها (CAPTCHA) یک روش مؤثر و کارآمد برای حفاظت از فرم‌های ورود به سیستم شما در برابر حملات بی‌رحمانه و ربات‌ها هستند. این سیستم‌ها به کاربران اجازه می‌دهند تا با حل معماهای ساده، نشان دهند که انسان هستند و نه یک برنامه خودکار.
برای افزودن کپچا به فرم‌های ورود به وردپرس، می‌توانید از افزونه‌های زیر استفاده کنید:
- No Captcha reCAPTCHA: این افزونه به شما این امکان را می‌دهد که به‌راحتی کپچاهای گوگل را به فرم‌های ورود اضافه کنید.
- Login Security: این افزونه بهبودهای امنیتی متعددی را برای فرم‌های ورود به سیستم فراهم می‌کند.
- WP Limit Login Attempts: این ابزار به شما کمک می‌کند تا از تلاش‌های ورود به سیستم بی‌رحمانه جلوگیری کنید.
کپچاها به شما در برابر حملات بی‌رحمانه تا یک حدی محافظت می‌کنند، اما نباید به تنهایی به آنها اعتماد کرد. به‌عنوان مثال، پس از حل کپچا، معمولاً اعتبار آن فقط برای چند دقیقه برقرار است. به‌عنوان نمونه، سیستم Google reCAPTCHA به مدت ۲ دقیقه معتبر است، که این زمان می‌تواند به مهاجمان این فرصت را بدهد تا در این بازه زمانی تلاش‌های ورودی خود را انجام دهند.
برای کاهش این ریسک، می‌توانید از تکنیک‌هایی مانند مسدود کردن تلاش‌های ورود به سیستم بر اساس آدرس IP استفاده کنید. برخی از افزونه‌های وردپرس که می‌توانند در این زمینه مفید باشند عبارتند از:
- WP Limit Login Attempts: این افزونه به شما این امکان را می‌دهد که تعداد تلاش‌های ناموفق ورود به سیستم را محدود کنید و IP کاربران را پس از چند تلاش ناموفق مسدود کنید.
- Login LockDown: این افزونه نیز به شما کمک می‌کند تا با مسدود کردن IPها بر اساس تلاش‌های ناموفق، امنیت سیستم خود را افزایش دهید.
احراز هویت دو عاملی (2FA) نیز یک لایه امنیتی اضافی است که می‌تواند به جلوگیری از دسترسی غیرمجاز به وب‌سایت شما کمک کند. با وجود گذرواژه‌های قوی و کپچاها در فرم‌های ورود، هنوز هم ممکن است هکرها از روش‌های نظارتی استفاده کنند و رمز عبور شما را که در حین ورود تایپ می‌کنید، ضبط کنند.
در چنین مواردی، تنها راه حفاظت مؤثر از وب‌سایت شما استفاده از احراز هویت دو عاملی است. این روش نیاز به یک کد اضافی دارد که به تلفن همراه یا ایمیل شما ارسال می‌شود و فقط در صورتی که هکرها به این کد دسترسی پیدا کنند، می‌توانند به حساب شما وارد شوند. این لایه امنیتی اضافی می‌تواند به‌طور چشمگیری شانس موفقیت حملات بی‌رحمانه را کاهش دهد و از وب‌سایت شما در برابر تهدیدات محافظت کند.
افزونه‌های وردپرس برای تنظیم تأیید اعتبار دو عاملی (2FA):
تأیید هویت دو عاملی (2FA) یک لایه امنیتی اضافی است که می‌تواند به شما کمک کند تا از وب‌سایت وردپرسی خود در برابر دسترسی‌های غیرمجاز محافظت کنید. برای پیاده‌سازی این ویژگی، چندین افزونه مفید وجود دارد:
- دو عاملی: این افزونه امکاناتی برای فعال‌سازی تأیید هویت دو عاملی بر روی وب‌سایت شما فراهم می‌آورد. با استفاده از این افزونه، کاربران باید علاوه بر رمز عبور، یک کد تأیید نیز وارد کنند که به گوشی همراهشان ارسال می‌شود.
- معتبر Google: این افزونه به شما امکان می‌دهد تا از سیستم تأیید هویت Google Authenticator برای تأیید کاربرانتان استفاده کنید. این سیستم به دلیل امنیت بالایش محبوبیت زیادی دارد.
- تأیید هویت دو عاملی وردپرس (2FA ، MFA): این افزونه چندین گزینه برای تنظیم و پیکربندی 2FA ارائه می‌دهد و به شما این امکان را می‌دهد تا به راحتی این ویژگی را در وب‌سایت خود فعال کنید.
7. به‌روزرسانی هسته و افزونه‌ها:
حملات سایبری معمولاً از آسیب‌پذیری‌های موجود در هسته و افزونه‌های وردپرس بهره‌برداری می‌کنند. به همین دلیل، به‌روزرسانی منظم این موارد بسیار حائز اهمیت است. با به‌روزرسانی افزونه‌ها به آخرین نسخه، می‌توانید از حفره‌های امنیتی شناخته‌شده جلوگیری کنید.
توصیه نمی‌شود که به‌روزرسانی‌های خودکار را فعال کنید، زیرا این کار ممکن است به طور ناخواسته منجر به شکستن وب‌سایت شما شود. با این حال، با افزودن خط کد زیر به فایل wp-config.php می‌توانید به‌روزرسانی‌های جزئی وردپرس هسته را فعال کنید که شامل وصله‌های امنیتی حیاتی است:
define('wp_auto_update_core', 'minor');
8. تنظیم هدرهای امنیتی HTTP:
هدرهای امنیتی با محدود کردن اقداماتی که می‌توان بین مرورگر و سرور انجام داد، یک لایه اضافی از محافظت را به وب‌سایت شما اضافه می‌کنند. این هدرها به ویژه در برابر حملات ClickJacking و Cross-Site Scripting (XSS) مؤثر هستند.
برخی از هدرهای امنیتی مهم شامل موارد زیر هستند:
- Security Strict Transport (HSTS): این هدر تضمین می‌کند که وب‌سایت شما فقط از پروتکل HTTPS استفاده کند.
- Content-Security-Policy: این هدر به شما اجازه می‌دهد که مشخص کنید چه منابعی می‌توانند در وب‌سایت شما بارگذاری شوند.
- X-Frame-Options: این هدر جلوی بارگذاری وب‌سایت شما در فریم‌های دیگر را می‌گیرد و از حملات ClickJacking جلوگیری می‌کند.
- X-Content-Type-Options: این هدر به مرورگرها می‌گوید که محتوای بارگذاری شده را بر اساس نوع MIME که مشخص شده است، تفسیر کنند.
- Referrer-Policy: این هدر کنترل می‌کند که چه اطلاعاتی درباره مبدأ درخواست به سرورهای دیگر ارسال شود.
- Cache-Control: این هدر به مرورگرها می‌گوید که چگونه و چه مدت باید محتوای وب‌سایت شما را در حافظه کش نگهداری کنند.
برای فعال‌سازی این هدرهای امنیتی، می‌توانید از افزونه‌های زیر استفاده کنید:
- HTTP Headers: این افزونه به شما اجازه می‌دهد هدرهای امنیتی را به راحتی پیکربندی کنید و امنیت وب‌سایت خود را بهبود بخشید.
- Security Headers GD: این افزونه نیز می‌تواند به شما در پیاده‌سازی هدرهای امنیتی کمک کند و اطمینان حاصل کند که وب‌سایت شما در برابر تهدیدات مختلف محافظت شده است.
با استفاده از این افزونه‌ها و تنظیمات، می‌توانید امنیت وب‌سایت وردپرسی خود را به طور قابل توجهی افزایش دهید و از آن در برابر تهدیدات سایبری محافظت کنید.
9. تنظیم مجوزهای صحیح پرونده برای سایت‌های وردپرس:
مجوزهای فایل، قوانینی هستند که در سیستم‌عامل میزبان فایل‌های وردپرس شما اعمال می‌شوند. این قوانین تعیین می‌کنند که چگونه فایل‌ها خوانده، ویرایش و اجرا می‌شوند و برای حفظ امنیت سایت، به ویژه در میزبانی مشترک، بسیار حیاتی هستند.
اگر این تنظیمات به درستی انجام نشود، در صورت هک شدن وب‌سایت در میزبانی مشترک، مهاجمان می‌توانند به فایل‌های موجود در سایت شما دسترسی پیدا کنند و محتوای حساس، مانند فایل wp-config.php، را بخوانند و به این ترتیب کنترل کامل وب‌سایت شما را در دست بگیرند.
برای حفظ امنیت بیشتر، تنظیمات زیر برای مجوزهای فایل و پوشه‌های وردپرس توصیه می‌شود:
- همه فایل‌ها باید مجوز 644 داشته باشند. این بدان معناست که مالک فایل می‌تواند آن را بخواند و ویرایش کند، در حالی که سایر کاربران فقط می‌توانند آن را بخوانند.
- همه پوشه‌ها باید مجوز 775 داشته باشند. این تنظیم به مالک پوشه و گروه اجازه می‌دهد تا آن را بخوانند و ویرایش کنند، در حالی که سایر کاربران فقط می‌توانند آن را بخوانند.
- فایل wp-config.php باید دارای مجوز 600 باشد. این به این معنی است که فقط مالک فایل می‌تواند آن را بخواند و ویرایش کند. اگر این تنظیم باعث بروز مشکلات در عملکرد وب‌سایت شما شد، می‌توانید آن را به 640 یا 644 تغییر دهید.
این تنظیمات به شما کمک می‌کند تا حساب کاربری میزبان شما به سهولت به فایل‌ها و پوشه‌ها دسترسی پیدا کند، در حالی که کاربران غیرمجاز قادر به مشاهده محتوای حساس نخواهند بود.
10. غیرفعال‌سازی ویرایش فایل از طریق وردپرس:
یکی از ویژگی‌های شناخته شده وردپرس، امکان ویرایش فایل‌ها از پنل مدیریت است. با این حال، این ویژگی معمولاً ضروری نیست، زیرا توسعه‌دهندگان از SFTP برای ویرایش فایل‌ها استفاده می‌کنند و به ندرت از این قابلیت بهره می‌برند. غیرفعال کردن این ویژگی می‌تواند به کاهش خطرات امنیتی کمک کند.
11. غیرفعال‌سازی ویژگی‌های غیرضروری:
وردپرس با ویژگی‌های متعددی همراه است که ممکن است برای شما لازم نباشند. به عنوان مثال، نقطه پایانی XML-RPC برای ارتباط با برنامه‌های خارجی ایجاد شده است. با این حال، مهاجمان می‌توانند از این نقطه پایانی برای حملات brute force استفاده کنند. برای غیرفعال کردن XML-RPC، می‌توانید از افزونه “Disable XML-RPC API” استفاده کنید.
همچنین، وردپرس یک نقطه پایانی REST-API برای نمایش لیست کاربران در وب‌سایت فراهم می‌کند. با وارد کردن آدرس “/wp-json/wp/v2/users” به هر نصب وردپرس، لیستی از نام‌های کاربری و شناسه‌های کاربری به صورت JSON نمایش داده می‌شود. شما می‌توانید با اضافه کردن کد زیر به فایل توابع (functions.php) این ویژگی را غیرفعال کنید:
function disable_users_rest_json($response, $user, $request) {
return '';
}
add_filter('rest_prepare_user', 'disable_users_rest_json', 10, 3);
12. مخفی‌سازی نسخه وردپرس:
وردپرس به‌طور خودکار نسخه نصب شده خود را در تگ HTML صفحات تزریق می‌کند. این اطلاعات اضافی می‌تواند به مهاجمین کمک کند تا به آسیب‌پذیری‌های موجود در نسخه‌های خاص وردپرس پی ببرند. به همین دلیل، پنهان کردن برچسب‌های متا نسخه وردپرس بسیار مهم است. برای این کار می‌توانید از افزونه‌های زیر استفاده کنید:
- Meta Generator Remover: این افزونه به شما امکان می‌دهد تا برچسب‌های متا مربوط به نسخه وردپرس را حذف کنید.
- WP Generator Remover: این افزونه نیز به‌طور خاص برای حذف اطلاعات نسخه طراحی شده است.
با رعایت این نکات و تنظیمات امنیتی، می‌توانید از وب‌سایت وردپرس خود در برابر حملات و نفوذهای غیرمجاز حفاظت کنید.
13. نصب یک فایروال برای وردپرس:
فایروال وب‌سایت یک نرم‌افزار امنیتی است که بر روی وب‌سایت‌ها اجرا می‌شود و هرگونه درخواست HTTP ورودی را به دقت تجزیه و تحلیل می‌کند. این نرم‌افزار با استفاده از منطق پیشرفته، قادر به فیلتر کردن درخواست‌هایی است که ممکن است تهدیدی برای امنیت وب‌سایت باشند.
قوانین سفارشی می‌توانند در بالای قوانین داخلی فایروال تنظیم شوند تا درخواست‌هایی که به نظر خطرناک می‌رسند، مسدود شوند. یکی از حملات رایج که فایروال‌ها به خوبی در برابر آن عمل می‌کنند، حملات تزریق SQL است.
تصور کنید که شما از یک افزونه وردپرس استفاده می‌کنید که به دلایلی در برابر حملات تزریق SQL آسیب‌پذیر است و از این موضوع بی‌خبر هستید. در این حالت، اگر یک فایروال وب‌سایت را نصب کرده باشید، حتی اگر مهاجم از نقص امنیتی موجود در افزونه مطلع باشد، او قادر به هک کردن وب‌سایت نخواهد بود. این به این دلیل است که فایروال، درخواست‌های حاوی کدهای تزریق SQL را شناسایی و مسدود می‌کند.
فایروال‌ها می‌توانند درخواست‌های مشکوک را از آدرس‌های IP خاص مسدود کرده و از ورود درخواست‌های خطرناک و مکرر جلوگیری کنند. همچنین، فایروال‌ها قادر به شناسایی و جلوگیری از حملات DDoS با تشخیص تعداد زیاد درخواست‌ها از یک IP واحد هستند.
علاوه بر این، فایروال‌های سطح DNS وجود دارند که قبل از ارسال درخواست به سرور وب، فعالیت می‌کنند. به عنوان مثال، فایروال Cloudflare یک نمونه از این نوع فایروال‌هاست. مزیت این نوع فایروال‌ها این است که در برابر حملات DDoS بسیار مقاوم‌تر هستند.
فایروال‌های سطح برنامه که بر روی سرور اجرا می‌شوند، اجازه می‌دهند که درخواست‌های HTTP به سرور وب وارد شوند و سپس آنها را مسدود کنند. این بدین معناست که سرور منابع CPU و RAM خود را برای مسدود کردن این درخواست‌ها مصرف می‌کند. در مقابل، فایروال‌های سطح DNS این منابع را صرف نمی‌کنند و به همین دلیل برای مقابله با حملات پایدارتر و قوی‌تر مناسب‌تر هستند.
برخی از افزونه‌های فایروال وردپرس که می‌توانید از آنها استفاده کنید شامل موارد زیر هستند:
- WordFence Security
- Sucuri
- All In One WP Security & Firewall
- BulletProof Security
- Shield Security
توجه: اگر تصمیم به نصب یک فایروال دارید، حتماً به ویژگی‌های اضافی مانند Login Force Protection یا احراز هویت دو مرحله‌ای (2FA) توجه کنید. این ویژگی‌ها می‌توانند به افزایش امنیت وب‌سایت شما کمک کنند و شما می‌توانید به جای نصب افزونه‌های ذکر شده، از این ویژگی‌ها استفاده کنید.
14. انجام نسخه پشتیبان:
در صورتی که وب‌سایت شما هک شود، بهترین راه برای بازیابی آن، بازگرداندن وب‌سایت از آخرین نسخه‌ای است که آلوده نشده است. اگر شما به طور منظم از وب‌سایت خود نسخه پشتیبان تهیه نکنید، پاک‌سازی آن پس از هک می‌تواند یک فرآیند بسیار زمان‌بر و دشوار باشد. در برخی موارد، حتی ممکن است بازگرداندن تمام اطلاعات ممکن نباشد زیرا بدافزار ممکن است تمامی داده‌ها را پاک کرده باشد.
به منظور جلوگیری از چنین سناریوهایی، بسیار مهم است که به طور منظم از پایگاه داده و فایل‌های وب‌سایت خود نسخه پشتیبان تهیه کنید.
ابتدا، با ارائه‌دهنده میزبانی خود مشورت کنید تا ببینید آیا آنها خدمات پشتیبان‌گیری روزانه را ارائه می‌دهند و اطمینان حاصل کنید که این گزینه فعال شده است. اگر این گزینه در دسترس نیست، می‌توانید از افزونه‌های زیر برای انجام نسخه پشتیبان استفاده کنید:
- BackWPup
- UpdraftPlus
- BackupBuddy
- BlogVault
با این روش‌ها، شما می‌توانید اطمینان حاصل کنید که در صورت بروز مشکلات امنیتی، وب‌سایت شما در دسترس و قابل بازیابی خواهد بود.
15. از SFTP استفاده کنید:
بسیاری از توسعه‌دهندگان امروزه از SFTP (پروتکل انتقال فایل ایمن) برای اتصال به سرورهای وب استفاده می‌کنند، اما برای بسیاری از افراد هنوز هم ممکن است این موضوع نادیده گرفته شود. استفاده از SFTP به عنوان یک روش استاندارد برای انتقال فایل‌ها، نه تنها امنیت بیشتری را فراهم می‌کند، بلکه به حفاظت از داده‌های حساس شما نیز کمک می‌کند.
SFTP مشابه با HTTPS از رمزگذاری برای انتقال فایل‌ها از طریق شبکه استفاده می‌کند. این به این معناست که حتی اگر یک فرد غیرمجاز به شبکه دسترسی پیدا کند، خواندن اطلاعات منتقل شده به صورت متن ساده برای او غیرممکن خواهد بود. همچنین، SFTP به شما این امکان را می‌دهد که به راحتی فایل‌ها را مدیریت کرده و در صورت نیاز، دسترسی کاربر به فایل‌های خاص را محدود کنید.
16. فعالیت کاربران را کنترل کنید:
در مورد روش‌های مختلفی که می‌توانند به تأمین وب‌سایت شما در برابر هکرهای ناشناس کمک کنند، بحث کرده‌ایم. اما در مورد کارمندان خود چه می‌شود؟ به ویژه کارمندانی که به عنوان مدیر وب‌سایت دسترسی دارند، ممکن است اقداماتی را انجام دهند که به امنیت وب‌سایت آسیب برساند، مانند اضافه کردن پیوندهای نامناسب یا ویرایش محتوای حساس.
هیچ‌یک از روش‌های امنیتی ذکر شده قادر به شناسایی چنین کارمندان سایه‌داری نیستند. برای این کار، نظارت بر سیاهه‌های فعالیت کاربران بسیار مؤثر است. با بررسی فعالیت هر کاربر، می‌توانید متوجه شوید که آیا یکی از کارمندان به طور غیرمجاز محتوایی را که نباید ویرایش کند، تغییر داده است یا خیر.
برخی از افزونه‌های وردپرس برای نظارت بر فعالیت کاربران شامل:
- WP Security Audit Log: این افزونه به شما امکان می‌دهد تا به‌طور دقیق فعالیت‌های کاربران را زیر نظر داشته باشید و تغییرات را ثبت کنید.
- User Activity Log: افزونه‌ای که به شما کمک می‌کند تا فعالیت‌های کاربران را در وب‌سایت خود پیگیری کنید.
- Simple History: این افزونه به شما امکان می‌دهد تا تاریخچه فعالیت‌های کاربران را مشاهده کرده و تغییرات را بررسی کنید.
توجه داشته باشید که ممکن است بخواهید دوره نگهداری (یا تعداد سوابق) این افزونه‌ها را محدود کنید. زیرا وجود تعداد زیادی رکورد ممکن است پایگاه داده شما را بیش از حد بارگذاری کرده و بر عملکرد و سرعت وب‌سایت تأثیر منفی بگذارد.
اگر هک شدید، چه کاری باید انجام دهید؟
حتی با وجود تمام توصیه‌های کارشناسان امنیتی و اقدامات لازم برای حفاظت از وب‌سایت خود، هک شدن هنوز هم ممکن است. اگر وب‌سایت شما هک شده است، مراحل زیر را برای بازیابی دنبال کنید:
- تغییر رمزهای عبور: ابتدا تمامی رمزهای عبور ایمیل و سایر حساب‌های شخصی خود را تغییر دهید، زیرا هکرها معمولاً ابتدا به ایمیل شما دسترسی پیدا می‌کنند و از این طریق به وب‌سایت شما نفوذ می‌کنند.
- بازیابی از پشتیبان: وب‌سایت خود را به آخرین نسخه پشتیبان تهیه شده قبل از هک بازگردانید.
- تنظیم مجدد رمزهای عبور کاربران: تمامی کاربران وب‌سایت را مجبور به تغییر رمزهای عبور کنید.
- به‌روزرسانی افزونه‌ها: تمام افزونه‌ها را به جدیدترین نسخه‌های موجود به‌روزرسانی کنید.
جمع بندی:
وقتی صحبت از امنیت می‌شود، باید به‌طور جامع و 360 درجه فکر کنید. بر اهمیت امنیت برای تمامی کارمندان خود تأکید کنید تا آنها عواقب عدم رعایت قوانین امنیتی را درک کنند و به این ترتیب، فرهنگ امنیت را در سازمان تقویت کنید.
اگر وب‌سایت شما هک شده است، حتماً از پشتیبان‌ها استفاده کرده و رمزهای عبور خود و هر کاربر دیگری را تغییر دهید تا از هرگونه دسترسی غیرمجاز جلوگیری شود. همچنین به یاد داشته باشید که پس از یک حمله، باید سیستم‌های خود را بررسی کنید و نقاط ضعف را شناسایی کرده و برطرف کنید تا از وقوع مجدد این مشکل جلوگیری کنید.
