Viis sammu, mida ma võin WordPressi ajaveebi taastamiseks häkkida

Minu ajaveebi, jättes töö taha, hakati aprillis häkkima. See on midagi, mida olete piisavalt sageli lugenud, kuid mille lootmist kunagi ei juhtu sina kuni on liiga hilja. Ausalt öeldes ei näinud ma end peaministrikandidaadina – olen kirjutanud WordPressi turvalisusest piisavalt sageli, et oleks olemas palju ennetavaid meetmeid. Need meetmed ei olnud ilmselgelt siiski piisavalt põhjalikud.


Häkkimise saamine on asi, mida ma ei taha uuesti läbi käia. Veebisaitide seisakuid teie ajaveebi / ettevõtte jaoks kahjustab nii palju põhjuseid: kuigi liikluse vähenemine ja potentsiaalne sissetulek on kaks kõige ilmsemat, ei saa ma alahinnata aega, mille kaotasin saidi taastamisel, ja selle põhjustatud stressimahtu. põhjustas mulle.

Selles postituses tahan paljastada, mis minu saidiga juhtus, ja anda teile teada, mida olen teinud alates oma saidi turvalisuse suurendamiseks.

Kuidas häkkida: Minu lugu

Ärkasin neljapäeval, 18. aprillil üles, et teada saada, et minu sait on maas ja olnud paar tundi. Pöördusin kohe oma hostiteenuse pakkuja Westhosti poole, kes teatas mulle, et nende ModSecurity tulemüür tuvastas minu saidil ebahariliku tegevuse ja sulges selle ettevaatusabinõuna viivitamatult. Esialgse taastamise käivitamisel saidil nägin kohe, et seda on häkkinud. Ehkki muutused olid suhteliselt peent, oli piisavalt selge, et mõni ebaaus tüüp (id) ringi liikusid.

Selgub, et hävitatud oli ka tohutul hulgal WordPressi saite ja Westhost oli nende töö välja lõigatud. Õnneks teevad nad saidi igapäevaseid varukoopiaid ja järgmise õhtupoolikul olin taas veebis oma saidi versiooniga, mis oli praegusele võimalikult lähedal.

Häkkimise mõju minu liiklusele on järgmine:

Clicky statistika

Ülaltoodud graafiku perspektiiviks muutmiseks oli selle nädala liiklus eelmise nädalaga võrreldes ~ 30% väiksem. See tähendas teoreetiliselt sissetuleku langust 30%.

On õiglane öelda, et tahtsin (oma võimaluste piires) tagada, et sellist häkat ei saaks korrata. Ma asusin kohe tegutsema.

Minu vahetud sammud

Esimese asjana tegin kindlaks, et olen järginud oma hiljutises postituses kirjeldatud samme teie WordPressi veebisaidi turvamise kohta.

Need olid absoluutsed põhialused: minu teemade ja pistikprogrammide värskendamine, hiljutise varukoopia tagamine, minu vaikeprofiili nimeks „admin”, parooli muutmine ja minu saidi turbe pluginate kontrollimine. Kui need esemed olid paigas, oli aeg edasi liikuda.

Mul pole illusioone, et mu sait on nüüd 100% turvaline – lõppude lõpuks pole olemas sellist asja nagu 100% turvaline sait. Seda tehes tean, et see on palju turvalisem kui enne, ja uurin nüüd ja tulevikus ka saidi turvameetmete uurimist. Siiani olen seda teinud.

1. Ma installisin VaultPressi

Neile, kes te ei tea, VaultPress on WordPressi jaoks täielikult automatiseeritud varundus- ja turvalahendus. Selle omandis Automattic, de facto WordPressi “omanikud”.

Kuna ma olen VaultPressi juba mõni päev kasutanud, ei suuda ma uskuda, et mul oli nii odav, et ma pole selle teenuse jaoks varem järele tulnud. Nende põhipakett algab 15 dollarist kuus – maksan meelerahu eest igal nädalapäeval.

Tegelikult otsustasin minna nende Premium-paketiga (40 dollarit kuus), mis sisaldab:

  • Varundus reaalajas
  • Automatiseeritud ühe klõpsuga saidi taastamine
  • Arhiivid, statistika ja tegevuslogi
  • Prioriteetne katastroofide taastamine
  • Esmatähtis „uksehoidja“ tugi
  • Igapäevane turvaskaneerimine
  • Turvateatised
  • Turvaohtude ühe klõpsuga fikseerijad
  • Saidi rändeabi

Põhimõtteliselt on nad teid katnud.

Ehkki VaultPress ei saa teie saidi turvalisust häkkerite vastu garanteerida, on see üsna suur saab tagage, et teie saiti saab suhteliselt hõlpsalt taastada. VaultPressi serveritesse salvestatud saitide tunnipiltide vaatamisel on lihtsalt midagi väga rahustavat:

VaultPressi varukoopiad

Kuigi seal on palju tasuta varunduslahendusi, ei usu ma, et miski ületaks VaultPressist saadavat suhtelist meelerahu. Neil on minu taastamiseks nüüd saadaval 90 hetketõmmet minu saidist, millest viimane on vaid paarkümmend minutit vana. Ma tean, et minu sait on nende käes turvaline.

2. Haldasin oma profiile

Häkker pääseb teie saidile juurde mis tahes teie WordPressi taustaprogrammi administraatori profiilide kaudu – mitte ainult ühe sina kasutada. Profiile üles laadides nägin, et mul oli veel kolm profiili – külaliste postitusprofiil ja kaks muud profiili (usaldusväärsete) inimeste jaoks, kellele olin andnud juurdepääsu oma saidile.

Alustasin nende kahe profiili sulgemisega ja külalisplakati profiili muutmisega Autoriks. Seda soovitan teil teha – looge ainult nii palju administraatori profiile, kui see on tingimata vajalik. Lisaks peaksite muidugi tagama, et iga konto on sobivalt juhuslik ja kordumatu parool ning et neid paroole regulaarselt vahetatakse.

Mõnikord peate lubama inimestel (näiteks teie veebidisainer) teie saidile juurde pääseda. Sellistes olukordades soovitan teil luua neile uue parooliga profiil ja kustutada see profiil niipea, kui selle vajalikkus lõpeb.

Mõelge alati oma saidi sisenemispunktidele ja sellele, kas need on tingimata vajalikud.

3. Muutsin oma paroole

Võite arvata, et see oli ilmne samm, kuid ma ei räägi tegelikult oma WordPressi paroolidest. Kuigi mina tegi neid vahetades vahetasin kindlasti kõik paroolid ka eriti tundlikele kontodele, s.t .:

  • Gmail
  • Facebook
  • Twitter
  • Minu hostikonto
  • Amazon Associates
  • Jne

Kui teil on huvi, miks ma selle sammu tegin, kaaluge lihtsalt lugu Mat Honanist, kelle kogu digitaalse elu hävitasid häkkerid, kes algselt häbistasid tema Amazoni kontole. Kui tunnete veebiturvalisust mingil moel jultunult, siis on ülaltoodud artikkel kohustuslik lugeda.

Mõelge sellele lihtsale ahelale: häkker pääseb juurde teie e-posti kontole, kust te hiljuti veebidisainerile meilisõnumi sisestasite oma WordPressi saidi kohta. See on kõik, mida nad vajavad teie saidile juurdepääsu saamiseks ja toimivad nii, nagu nad soovivad. Häkkimine võib olla nii elementaarne.

4. Täiendasin SFTP-le

Siin on midagi, mida te võib-olla ei tea: kõik andmed, mida FTP kaudu edastate (sh teie kasutajanimi ja parool) on täielikult krüptimata. Seetõttu saavad kõik, kes suudavad FTP ülekandeid edukalt pealt lüüa, teie sisselogimisandmed ja juurdepääsu teie kontole.

See mitte ainult ei võimalda neil faile vastavalt vajadusele lisada ja eemaldada, vaid pääseb juurde ka teie WordPressi andmebaasile phpMyAdmini kaudu ja lõpuks oma saidile sisse logida..

Lihtsamalt öeldes, pole vahet, kui turvaline on teie WordPressi saidile otsene juurdepääs, kui häkkerid pääsevad FTP kaudu sisse. Seetõttu soovitan tungivalt keelata FTP-juurdepääs teie saidile ja failide ülekandmine, kasutades alternatiivset SFTP-protokolli, mis teeb andmete krüptimine. Iga hea hostingu pakkuja peaks saama teid selles aidata.

Rääkides hostingu pakkujatest …

5. Mõelge oma hostimislahenduse sobivusele

Mul on hea meel, et olen Westhostiga koos. See oli nende ModSecurity tulemüür, kes märkas häkki ja pani mu saidi kinni enne, kui tõsiseid kahjustusi oli võimalik teha. Nad teostavad ka automaatseid igapäevaseid varukoopiaid (mida kasutati saidi taastamiseks) ja nende käivitamiseks on kliendi tugi purunemas.

Kas saate sama öelda oma hostingu pakkuja kohta? Seal on nii palju suurepäraseid võimalusi, et teil oleks hull jääda teenusepakkuja juurde, kellega te pole rahul. Võite kaaluda ühe hallatud hostimislahenduse (nt WPEngine) vahetamist, kuna WPExplorer tegi seda hiljuti.

Ükskõik, mida te valiksite, küsige kindlasti nende turvameetmete kohta. Mõelge ülaltoodud meetmetele ja veenduge, et need ühilduvad teie hostimislahendusega.


Loo moraal on järgmine: ärge tehke turvalisuse osas kompromisse. Lõppkokkuvõttes on saidi turvalisuse tagamine olulisem kui ükskõik mida muud. Pole mõtet omada suurepärast sisu ega eriti uut kujundust, kui keegi seda ei näe, kuna teie sait on halastamatu häkkerite poolt purustatud..

Kurjategijad tüübid, kellel pole oma eluga midagi paremat pistmist kui inimeste saitide häkkimine, ei kao peagi kuskile. Mida varem te sellega nõustute ja võtate mõistlikke meetmeid oma saidi rünnaku kaitsmiseks, seda parem on teie veebiväärtuste pikaajaline turvalisus..

Mulle meeldiks teada, mida arvate minu võetud meetmetest. Kas teil on täiendavaid soovitusi? Andke meile kommentaaride osas teada!

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map