5 skrefin sem ég tók til að endurheimta WordPress bloggið mitt frá hakk

Bloggið mitt, Leaving Work Behind, var tölvusnápur í apríl. Það er eitthvað sem þú lest nógu oft en gerir aldrei ráð fyrir að gerist þú þar til það er of seint. Til að vera heiðarlegur sá ég mig ekki sem aðalframbjóðanda – ég hef skrifað um WordPress öryggi oft nóg til að hafa nóg af fyrirbyggjandi aðgerðum til staðar. Hins vegar voru þessar aðgerðir greinilega ekki nógu víðtækar.


Að fá tölvusnápur er eitthvað sem ég vil ekki fara í gegnum aftur. Það eru svo margar ástæður fyrir því að niður í miðbæ vefsíðunnar er slæmt fyrir bloggið þitt / fyrirtæki: þó að tap á umferð og hugsanlegar tekjur séu þær tvær sem eru augljósastar, get ég ekki gert lítið úr þeim tíma sem ég missti af því að endurheimta vefinn og stressið olli mér.

Í þessari færslu vil ég opinbera hvað varð um síðuna mína og láta þig vita hvað ég hef gert til að auka öryggi síðunnar minnar síðan.

Getting tölvusnápur: Sagan mín

Ég vaknaði fimmtudaginn 18. apríl til að komast að því að vefsíðan mín var komin niður og hafði verið í nokkrar klukkustundir. Ég hafði strax samband við hýsingaraðila minn, Westhost, sem tilkynnti mér að ModSecurity eldveggurinn þeirra hefði greint óvenjulega virkni á vefnum mínum og hefði lokað honum strax sem varúðarráðstöfun. Þegar ég byrjaði að endurheimta upphaf á vefnum gat ég strax séð að það hafði verið tölvusnápur. Þó að breytingarnar væru tiltölulega lúmskar var það nægjanlega skýrt að einhverjum samviskusömu tagi (e. Unscrupulous sort / s) hafði farið í nef.

Það kemur í ljós að gríðarlegur fjöldi WordPress vefsvæða hafði líka verið tölvusnápur og Westhost var búið að skera út vinnu sína. Sem betur fer taka þeir daglega afrit af vefnum og síðdegis næsta dag var ég kominn aftur á netið með útgáfu af síðunni minni sem var eins nálægt núverandi og mögulegt er.

Hér eru áhrifin sem hakkið hafði á umferð mína:

Clicky tölfræði

Til að setja ofangreint línurit í sjónarhorn var umferð vikunnar minni en 30% samanborið við vikuna á undan. Það þýddi fræðilega 30% tekjulækkun.

Það er sanngjarnt að segja að ég hafði áhuga á að tryggja (eftir bestu getu) að ekki væri hægt að endurtaka slíkt hakk. Ég tók strax til aðgerða.

Strax skrefin mín

Það fyrsta sem ég gerði var að sannreyna að ég hefði fylgst með skrefunum sem lýst var í nýlegri færslu minni um að tryggja WordPress vefsíðuna þína.

Þetta voru alger grundvallaratriði: að uppfæra þemu og viðbætur, tryggja að ég væri með nýlegt öryggisafrit, tryggja að sjálfgefna prófílinn minn hét ekki „admin“, að breyta lykilorðinu mínu og athuga hvort öryggi viðbætur voru á vefnum mínum. Með þá hluti á sínum stað var kominn tími til að halda áfram.

Ég er ekki undir neinum blekkingum um að síða mín sé nú 100% örugg – þegar allt kemur til alls er ekkert til sem heitir 100% örugg síða. Að þessu sögðu veit ég að það er mun öruggara en áður var og ég mun halda áfram að rannsaka öryggisráðstafanir nú og í framtíðinni. Hingað til er þetta það sem ég hef gert.

1. Ég setti upp VaultPress

Fyrir ykkar sem ekki vita, VaultPress er algjörlega sjálfvirk afritunar- og öryggislausn fyrir WordPress. Það átti það Sjálfvirk, reyndar „eigendur“ WordPress.

Eftir að hafa notað VaultPress í nokkra daga núna get ég ekki trúað því að ég hafi verið svo ódýr að hafa ekki stubbað upp fyrir þjónustuna fyrirfram. Grunnpakkinn þeirra byrjar á $ 15 á mánuði – ég mun borga það fyrir hugarró alla daga vikunnar.

Reyndar valdi ég að fara með Premium pakka þeirra ($ 40 á mánuði) sem felur í sér:

  • Varabúnaður í rauntíma
  • Sjálfvirk einn smellur endurheimta síðuna
  • Skjalasöfn, tölfræði og afþreyingaskrá
  • Endurheimt forgangsrampa
  • Stuðningur við forgang „móttöku“
  • Dagleg öryggisskönnun
  • Öryggis tilkynningar
  • Einn-smellur Fixers fyrir öryggi ógnir
  • Aðstoð við flutning vefsvæða

Í grundvallaratriðum hafa þeir fengið þig til umfjöllunar.

Þó VaultPress geti ekki ábyrgst öryggi síðunnar þinna gegn tölvusnápur, þá er það nokkurn veginn dós ábyrgst að hægt sé að endurheimta síðuna þína með tiltölulega auðveldum hætti. Það er bara eitthvað mjög róandi við að sjá myndatöku á klukkutíma fresti af vefsíðunum þínum sem eru geymdar á netþjónum VaultPress:

VaultPress afrit

Þó að það séu fullt af ókeypis afritunarlausnum þarna úti, þá held ég ekki að neitt slái á hlutfallslegan hugarró sem ég fæ frá VaultPress. Þeir hafa fengið 90 skyndimynd af vefnum mínum til að endurheimta núna, þar af nýjasta tuttugu mínútna gömul. Ég veit að vefsíðan mín er örugg í þeirra höndum.

2. Ég stjórnaði sniðunum mínum

Tölvusnápur getur mögulega nálgast síðuna þína frá einhverjum af kerfisstjórasniðunum í WordPress stuðningi þínum – ekki bara þeim þú nota. Þegar ég hlaðinn upp sniðunum mínum gat ég séð að ég væri með þrjú önnur snið – gestapóstsnið og tvö önnur snið fyrir (áreiðanlegt) fólk sem ég hafði gefið aðgang að vefsvæðinu mínu.

Ég byrjaði á því að slökkva á þessum tveimur sniðum og breyta hlutverki prófílspjalls gesta í höfund. Þetta er eitthvað sem ég myndi ráðleggja þér að gera – búðu aðeins til eins mörg snið kerfisstjóra og það er algerlega nauðsynlegt. Að auki ættir þú að sjálfsögðu að tryggja að hver reikningur sé viðeigandi handahófi og einstakt lykilorð og að þessi lykilorð séu reglulega breytt.

Það eru tímar þar sem þú þarft að leyfa fólki (eins og vefhönnuð þínum) aðgang að vefsvæðinu þínu. Í slíkum tilvikum ráðlegg ég þér að búa til prófíl fyrir þau með nýju lykilorði og eyða því sniði um leið og nauðsyn þess lýkur.

Hugleiddu alltaf aðgangsstaði vefsvæðisins og hvort þeir séu stranglega nauðsynlegir.

3. Ég breytti lykilorðunum mínum

Þú gætir haldið að þetta hafi verið augljós hreyfing, en ég er ekki að tala um WordPress lykilorðin mín. Þó að ég gerði breyta þeim, ég var líka viss um að breyta öllum lykilorðum í sérstaklega viðkvæma reikninga, þ.e.a.s.

  • Gmail
  • Facebook
  • Twitter
  • Hýsingarreikningurinn minn
  • Félagar Amazon
  • O.fl.

Ef þú ert að velta fyrir þér af hverju ég fór í þessa tillögu, skaltu íhuga bara söguna af Mat Honan, sem allt stafræna líf var eyðilagt af tölvusnápur sem upphaflega hakkaði á Amazon reikninginn hans. Ef þér finnst á einhvern hátt vera ósagt um öryggi á netinu þá er greinin hér að ofan nauðsynleg.

Hugleiddu þessa einföldu keðju: tölvusnápur fær aðgang að tölvupóstreikningnum þínum sem þú sendir nýlega tölvupóst til vefhönnuðar þíns með innskráningarupplýsingum fyrir WordPress síðuna þína. Það er allt sem þeir þurfa til að fá aðgang að vefsvæðinu þínu og gera eins og þeir vilja. Tölvusnápur getur verið það grunnskólinn.

4. Ég uppfærði í SFTP

Þetta er eitthvað sem þú gætir ekki vitað: öll gögn sem þú færir í gegnum FTP (þ.mt notandanafn og lykilorð) eru alveg dulkóðuð. Þess vegna geta allir sem tókst að stöðva FTP flutninga geta sótt innskráningarupplýsingar þínar og fengið aðgang að reikningnum þínum.

Þetta gerir þeim ekki aðeins kleift að bæta við og fjarlægja skrár eins og þeim sýnist, heldur geta þeir einnig fengið aðgang að WordPress gagnagrunninum þínum í gegnum phpMyAdmin og að lokum skrá sig inn á síðuna þína.

Einfaldlega sagt, það skiptir ekki máli hversu öruggur beinan aðgang að WordPress vefnum þínum er ef þeir tölvusnápur geta komist inn um FTP. Sem slíkur mæli ég eindregið með að þú sleppir FTP aðgangi að vefsíðunni þinni og flytji skrár með því að nota aðra SFTP siðareglur, sem gerir dulkóða gögn. Sérhver góður hýsingaraðili ætti að geta hjálpað þér með þetta.

Talandi um hýsingaraðila…

5. Hugleiddu hentugleika hýsingarlausnarinnar þinnar

Ég er feginn að ég er með Westhost. Það var ModSecurity eldveggurinn þeirra sem sást hakkið í fyrsta lagi og lokaði vefsvæðinu mínu áður en hægt var að gera alvarlegar skemmdir. Þeir framkvæma einnig sjálfvirka daglega afrit (sem voru notaðir til að endurheimta síðuna) og hafa sprungna þjónustuver til að ræsa.

Geturðu sagt það sama fyrir hýsingaraðilann þinn? Það eru svo margir frábærir kostir þarna úti að þú værir brjálaður að vera hjá þjónustuaðila sem þú ert óánægður með. Þú gætir íhugað að skipta yfir í eina af stýrðu hýsingarlausnum (eins og WPEngine) eins og WPExplorer gerði nýlega.

Hvað sem þú velur, vertu viss um að spyrjast fyrir um öryggisráðstafanirnar sem þeir gera. Hugleiddu ráðstafanirnar sem ég hef tekið hér að ofan og tryggðu að þær samrýmist hýsingarlausninni þinni.


Siðferði sögunnar er þessi: ekki skerða öryggi. Á endanum er mikilvægara að halda vefnum þínum öruggum hvað sem er Annar. Það er ekkert mál að hafa frábært efni eða nýlega hrikalega nýja hönnun ef enginn getur séð það vegna þess að miskunnarlaus tölvusnápur hefur rifist á síðuna þína.

Ósvífnar tegundir sem hafa ekkert betra með líf sitt að gera en að vefsvæði hacka fólk ætla ekki að hverfa fljótt. Því fyrr sem þú samþykkir það og grípur til skynsamlegra ráðstafana til að vernda vefsíðuna þína gegn árásum, því betra til langs tíma öryggi á eignum á netinu.

Ég vildi gjarnan vita hvað þér finnst um ráðstafanirnar sem ég hef gert. Eru einhverjar frekari ráðleggingar sem þú myndir gera? Láttu okkur vita í athugasemdahlutanum!

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map