Quản Trị Mạng - Khi xét về mặt bản chất kỹ thuật thì việc cần làm ngay sau khi cấu hình, thiết lập blog WordPress là đảm bảo mức độ bảo mật, an ninh cần thiết.
Trong bài viết dưới đây, chúng tôi sẽ giới thiệu với các bạn 11 mẹo cơ
bản có thể áp dụng trong nhiều tình huống để thực hiện việc này.
>>> Gán cơ chế bảo mật SSL vào blog WordPress
1. Mã hóa thông tin đăng nhập:
Đây là điểm cần quan tâm đầu tiên của chúng ta tại đây là mỗi khi
đăng nhập thì mật khẩu sẽ không được mã hóa mà truyền thẳng vào cơ sở dữ
liệu lưu trữ. Nếu bạn truy cập ở nơi công cộng thì cơ hội dành cho
hacker để “nhòm ngó” và lấy cắp thông tin này là rất lớn nhờ vào các
phần mềm
Keylogger hoặc ứng dụng khác. Tuy nhiên, chúng ta hoàn toàn có thể khắc phục được vấn đề này bằng plug – in
Chap Secure Login
với chức năng chính là gán thêm những đoạn mã hash ngẫu nhiên vào chuỗi
ký tự mật khẩu, sau đó tiến hành xác nhận tính hợp pháp của tài khoản
với giao thức
CHAP.
2. Ngăn chặn Brute Force Attack:
Trên thực tế, tin tặc hoàn toàn có thể bẻ gãy mật khẩu đăng nhập cũng
như thông tin xác nhận của người dùng bằng cách sử dụng cơ chế
Brute Force Attack. Để giảm thiểu nguy cơ này, các bạn hãy sử dụng plug – in
Login LockDown dành cho
WordPress.
Tiện ích này sẽ ghi lại toàn bộ thông tin mỗi khi có yêu cầu truy cập
từ 1 địa chỉ IP nào đó thực hiện nhiều lần đăng nhập vào hệ thống
WordPress,
sau một số lần đăng nhập thất bại nhất định nào đó thì hệ thống sẽ khóa
chức năng truy cập, cũng như tất cả yêu cầu khác từ địa chỉ đó.
3. Sử dụng mật khẩu theo đúng tiêu chuẩn:
Đây là điều rất cơ bản, nhưng có vẻ nhiều người vẫn không áp dụng
chuẩn xác, đó là lựa chọn và sử dụng mật khẩu phức tạp nhưng vẫn phải dễ
nhớ, người khác khó đoán, không dùng những chuỗi thông tin quen thuộc
như tên người thân, số điện thoại, địa chỉ... mà phải kết hợp ký tự và
con số, ký tự đặc biệt, chữ hoa chữ thường...
4. “Bảo vệ” thư mục wp-admin:
Về mặt bản chất, thư mục
wp-admin chứa tất cả các
thông tin quan trọng, cần thiết và có thể ảnh hưởng trực tiếp tới độ ổn
định của hệ thống. Và 1 giải pháp nên sử dụng tại đây là cài đặt plug –
in
AskApache Password Protect dành cho
WordPress để đặt mật khẩu bảo vệ thư mục đó, cấp quyền truy cập cho người hoặc tài khoản mà bạn tin cậy.
5. Xóa bỏ thông tin về phiên bản WordPress:
Trên thực tế, có rất nhiều bộ theme
WordPress có
chứa thông tin về phiên bản trong thẻ meta, và dựa vào đó, hacker có thể
dựa vào điều này để tìm phương án tấn công phù hợp. Để khắc phục, các
bạn hãy truy cập vào bảng điều khiển chính của
WordPress, sau đó mở
Design > Theme Editor. Ở phía bên phải, chúng ta chọn file
Header và tìm kiếm dòng mã có dạng như dưới đây:
<meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>” />
Hãy xóa dòng này và nhấn nút
Update File. Các bạn cần lưu ý rằng với phiên bản
WordPress 2.6
hoặc mới hơn thì hệ thống tự động gắn thông tin phiên bản trong phần
Wp_head. Và để khắc phục, chúng ta chỉ cần cài đặt plug – in
WP Security Scan.
6. “Giấu” thư mục plugins:
Nếu truy cập vào thư mục hoặc đường dẫn
http://yourwebsite.com/wp-content/plugins, bạn sẽ thấy toàn bộ danh sách plug – in của hệ thống được sử dụng. Nếu muốn ẩn thư mục này thì các bạn chỉ cần đăng tải file
index.html trống tới thư mục plugin này. Rất đơn giản, chỉ cần mở 1 ứng dụng chỉnh sửa text bất kỳ, sau đó lưu lại thành
index.html, dùng chương trình ftp và tải file
index.html này vào thư mục
/wp-content/plugins.
7. Thay đổi tên đăng nhập:
Tên
Username mặc định ở đây là
admin,
tuy nhiên chúng ta vẫn có thể thay đổi được để cản trở quy trình tấn
công của hacker vào những hệ thống đơn giản. Trong bảng điều khiển chính
của
WordPress, các bạn mở
Users và tạo mới 1 tài khoản, sau đó gán quyền
administrator và đăng nhập lại bằng tài khoản vừa tạo.
Truy cập vào phần
Users, lần này các bạn đánh dấu check vào ô bên cạnh
admin và chọn
Delete. Khi hệ thống hiển thị cửa sổ xác nhận thông báo, chúng ta chọn
Attribute all posts and links to:
và chọn tài khoản vừa tạo tại bước trên trong danh sách dropdown. Quá
trình này sẽ chuyển toàn bộ các bài viết sang tài khoản mới. Sau đó các
bạn nhấn
Confirm Deletion.
8. Luôn cập nhập phiên bản mới nhất của WordPress và plug – in:
Về mặt kỹ thuật, phiên bản mới nhất của
WordPress luôn
được cập nhật các bản vá bảo mật, do vậy người dùng hãy để ý đến quá
trình này. Tại thời điểm của bài viết này thì WordPress đã cho phát hành
bản 3.3, và các bạn có thể download trực tiếp tại
đây.
9. Thực hiện quy trình quét thường xuyên:
Như đã đề cập tới ở bên trên, các bạn cần cài đặt tiện ích
WP Security Scan và tiến hành quét thường xuyên nhằm phát hiện ra các lỗ hổng bảo mật trong hệ thống. 1 điểm nữa cần áp dụng ở đây là thay đổi
wp_ thành bất tiền tố tùy chỉnh, nhằm tránh khỏi sự nhòm ngó của hacker.
10. Sao lưu cơ sở dữ liệu:
Để thực hiện việc này, các bạn hãy cài đặt và sử dụng tiện ích hỗ trợ
WP-DB-Backup với chức năng chính là sao lưu toàn bộ cơ sở dữ liệu của hệ thống theo thời gian và lịch sắp đặt của người quản trị.
11. Thiết lập mức phân quyền phù hợp:
Trong trường hợp có nhiều hơn 1 tác giả – Author trong hệ thống của bạn, hãy sử dụng plug – in
Role Manager để tạo, quản lý và giám sát mức phân quyền đối với người dùng hoặc nhóm người dùng trong hệ thống.
Chúc các bạn thành công!
