การป้องกันแบบหลายชั้น (Layered Defense): สัปดาห์นี้เราได้รู้ว่าเว็บไซต์จัดจำหน่ายตั๋วที่สร้างด้วย WordPress ถูกแฮก แฮกเกอร์ขโมยและรั่วไหลรายละเอียดลูกค้าและพนักงาน นี่ไม่ใช่เรื่องแปลกใหม่ ทุกไม่กี่เดือน เราจะได้ยินข่าวว่ามีการโจมตีแฮกขนาดใหญ่บนเว็บไซต์จำนวนมาก หรือเว็บไซต์ใหญ่ถูกเจาะ ติดตั้งประตูหลัง (backdoors) หรือเปลี่ยนเส้นทางเว็บไปยังเว็บไซต์อันตราย
สิ่งนี้หมายถึงอะไรต่อคุณ?
หมายความว่าคุณควรกังวลเรื่องความปลอดภัยเว็บไซต์ WordPress ของคุณ แต่ปัญหาจริงคืออะไร? ทำไมเว็บไซต์จึงเผชิญภัยคุกคามความปลอดภัยบ่อยขนาดนี้? เนื่องจาก WordPress เป็นแพลตฟอร์มสร้างเว็บที่โปรดปรานของโลก คนคงคิดว่าพวกเขาจะจัดการความปลอดภัยอย่างจริงจัง และพวกเขาก็ทำจริง WordPress เป็น CMS ที่ปลอดภัยค่อนข้างมาก แต่ไม่ได้ทำงานแบบโยงตัวเอง WordPress อนุญาตให้ใช้ add-on เช่น ธีมและปลั๊กอินช่วยสร้างเว็บไซต์ตามต้องการ และช่องโหว่ในธีมและปลั๊กอินมักเป็นสาเหตุของการแฮกเว็บ ความปลอดภัยของเว็บ WordPress จึงขึ้นอยู่กับหลายปัจจัย และไม่มีอะไรที่แน่นอน 100% และเพราะเหตุผลนี้ คุณต้องมีกลยุทธ์ความปลอดภัยแบบหลายชั้น (layered security strategy) ที่รวมเครื่องมือความปลอดภัยเข้าด้วยกัน
Layered Security (ความปลอดภัยแบบหลายชั้น) คืออะไร?
ไม่มีใครรับประกันความปลอดภัยได้เต็ม 100% ปลั๊กอินความปลอดภัยช่วยลดโอกาสการละเมิดความปลอดภัยได้เท่านั้น กลยุทธ์ความปลอดภัยแบบหลายชั้นเป็นแนวทางที่ดีที่สุด การป้องกันแบบหลายชั้นเหมือนการเฝ้าประตูปราการ จักรพรรดิ ngồiอยู่ภายใน กลัวการรุกราน เขาถูกปกป้องโดยทหารมุ้งมั่นนอกห้อง, กำแพงปราการ และกองทัพนอกประตูปราการ ผู้รุกรานต้องข้ามเกราะป้องกันแต่ละชั้นเพื่อไปถึงจักรพรรดิ การป้องกันแบบหลายชั้นคือเกราะป้องกันแบบนี้ สร้างขึ้นเพื่อป้องกันการโจมตีแฮกที่จุดต่างๆ
ทำไมเราจึงต้องการมัน?
ในอดีต เมื่อเว็บถูกแฮก ต้องมองหาเพียงไม่กี่ที่ เพื่อหามัลแวร์แล้วทำความสะอาด การสแกนและทำความสะอาดเว็บ WordPress ที่ถูกแฮกง่าย แต่วันนี้แฮกเกอร์พัฒนาไปจนเจาะเว็บและซ่อนมัลแวร์บนเว็บได้ ต้องการแนวทางความปลอดภัยที่ดี Layered security เป็นกลยุทธ์ที่ออกแบบมาเพื่อให้การปกป้องที่ทับซ้อนกัน (overlapping protection / layered defense) เพื่อลดทอนการโจมตีด้านความปลอดภัย
สิ่งที่ประกอบเป็น Layered Defense ของเว็บ WordPress?
เพื่อให้เว็บ WordPress ของคุณได้รับการป้องกันแบบหลายชั้น สิ่งเหล่านี้คือสิ่งที่คุณสามารถทำได้ คุณสามารถรัน WordPress security audit ก่อน แล้วจึงดำเนินมาตรการต่อไปนี้ –
ใช้ Firewall Security (ไฟร์วอลล์)
หนึ่งในสิ่งแรกที่ประกอบเป็น layered defense คือการใช้ไฟร์วอลล์ ในเว็บ WordPress ไฟร์วอลล์ทำหน้าที่อย่างเดียว คือกรองการเข้าชม (incoming traffic) ไปยังเว็บไซต์ของคุณ โดยหลักมี 3 ประเภทของไฟร์วอลล์: Plugin-based firewall ที่ติดตั้งและตั้งค่าบนเว็บของคุณเหมือนปลั๊กอินอื่นๆ มีกฎที่กำหนดไว้ล่วงหน้า เมื่อใครขอหน้าเว็บของคุณ มันจะตัดสินว่าคำขอนั้นเป็นอันตรายหรือไม่ อีกประเภทคือ Cloud-based firewall (cloud computing) ที่สกัดกั้นคำขอของทุกผู้เยี่ยมชมไปยังเว็บของคุณ และด้วยเทคโนโลยีหลากหลาย ไฟร์วอลล์จะตัดสินว่าคำขอนั้นถูกต้องหรืออันตราย สุดท้าย บาง โฮสต์เว็บมีไฟร์วอลล์ในตัว (inbuilt firewall) ที่สร้างขึ้นเพื่อปกป้องโครงสร้างพื้นฐานของพวกเขา และโดยขยายความหมาย ปกป้องเว็บของคุณด้วย การเลือกไฟร์วอลล์ขึ้นอยู่กับประเภทความปลอดภัยที่คุณมองหา และต้องการให้ไฟร์วอลล์ปฏิบัติหน้าที่ที่ไหน บางตัวอาจมีฟีเจอร์ AI เช่น machine learning
ติดตั้งใบรับรอง SSL (SSL Certificate)
ใบรับรอง SSL ช่วยสร้างลิงก์เข้ารหัสระหว่างเซิร์ฟเวอร์และเบราว์เซอร์ที่ดูเว็บไซต์ของคุณ 'S' ย่อมาจาก Security และใบรับรอง SSL ใช้สำหรับส่งข้อมูลละเอียดอ่อนอย่างการชำระเงิน ก่อนหน้านี้ ใบรับรอง SSL จำกัดเฉพาะหน้าล็อกอินหรือเว็บที่ต้องชำระเงิน ในไม่กี่ปีที่ผ่านมา Google กระตุ้นให้เว็บปลอดภัยขึ้น ทำให้หลายคนติดตั้งใบรับรอง SSL Google อาจไม่เปิดเผยอัลกอริธึมจัดอันดับเว็บ แต่พวกเขาระบุชัดเจนว่า SSL certificate เป็นปัจจัยจัดอันดับหนึ่ง
นี่คือประเภทหลักของใบรับรองที่คุณติดตั้งบนเว็บไซต์ได้:
Free SSL: บริษัทโฮสต์เสนอประเภทนี้ และมักมีเงื่อนไขบางอย่าง ต้องต่ออายุด้วยตนเอง
Domain SSL: หนึ่งในรูปแบบ SSL ที่ถูกที่สุด ติดตั้งได้บนโดเมนเดียว
Organization SSL: ประเภท SSL ที่เพิ่มประสิทธิภาพ ต้องมีเอกสารและการตรวจสอบ
ใบรับรอง SSL ใดก็ตามที่คุณเลือก จะทำให้คุณใกล้เคียง layered defence มากขึ้น
ปกป้องหน้าล็อกอิน WordPress
หน้าล็อกอิน WordPress กันผู้บุกรุกอยู่นอกแดชบอร์ด ดังนั้นไม่แปลกใจที่หน้าล็อกอินเป็นหนึ่งในส่วนที่ถูกโจมตีมากที่สุดของเว็บไซต์ แฮกเกอร์เขียนโปรแกรมบอทที่ลองชุด username และ password ยอดนิยมเพื่อเจาะเข้าเว็บไซต์ของคุณ เพื่อป้องกันไม่ให้พวกเขาประสบความสำเร็จ คุณต้องสร้างรหัสผ่านแข็งแกร่งก่อน (วิธีสร้าง) แล้วใช้ login protector คุณสามารถใช้บริการเฉพาะทางอย่าง Brute Force Login Protection หรือโซลูชันครบวงจรอย่าง MalCare ที่สวมสวมเว็บ WordPress ด้วยการปกป้องไฟร์วอลล์รวมถึงมาตรการความปลอดภัยอื่นๆ
ไฟร์วอลล์ WordPress ของ MalCare ทำ 2 สิ่ง มันติดตาม IP address ที่ไม่ดีหลายแสนรายออนไลน์ที่รู้จักว่าเป็นอันตรายต่อเว็บที่เข้าถึง MalCare ติดธง IP addresses เหล่านั้น และป้องกันไม่ให้เข้าสู่เว็บของคุณ และมันปกป้องหน้าล็อกอินโดยสร้าง CAPTCHA หลังจากพยายามล็อกอินล้มเหลว 3 ครั้งติดต่อกัน
แข็งแกร่งเว็บไซต์ของคุณ (Harden Your Website)
การแข็งแกร่งเว็บไซต์เป็นส่วนสำคัญของ layered defense กับสถานะปัจจุบันของความปลอดภัยไซเบอร์ WordPress แนะนำผู้ใช้ให้แข็งแกร่งเว็บไซต์ เพื่อนำคำแนะนำของ WP ไปปฏิบัติ จะต้องมีความเชี่ยวชาญทางเทคนิคบ้าง บริการความปลอดภัยครบวงจรอย่าง MalCare ช่วยให้ผู้ใช้แข็งแกร่งเว็บได้ในไม่กี่คลิก คุณสามารถบล็อกการรัน PHP ในโฟลเดอร์ที่ไม่น่าเชื่อถือ ซึ่งจะป้องกันการโจมตี TimThumb/MailPoet มาตรการความปลอดภัยอย่างการบล็อกการติดตั้งปลั๊กอินและธีม ช่วยล็อกเว็บหากถูกแฮก การปิด File Editor บล็อกผู้ที่ได้เข้าถึงเว็บจากการแก้ไขไฟล์ในเว็บของคุณ ในขณะที่การเปลี่ยน security keys ใน wp-config.php ทำให้คุกกี้ทั้งหมดหมดอายุ การรีเซ็ตรหัสผ่านและ activation keys จะล็อกเอาต์คนที่ไม่ได้รับอนุญาตออกจากการเข้าถึงเว็บของคุณ
อัปเดตปลั๊กอิน ธีม และ WordPress Core เป็นประจำ
เมื่อเว็บ WordPress ถูกเจาะ ส่วนใหญ่ปลั๊กอินและธีมเป็นผู้กระทำร้ายหลัก เมื่อนักพัฒนาพบช่องโหว่ในปลั๊กอิน พวกเขาสร้างแพตช์และปล่อยอัปเดต เมื่อเจ้าของเว็บไซต์ละเลยอัปเดตเหล่านั้น ช่องโหว่ยังคงไม่ได้รับการแก้ไข และนั่นกลายเป็นจุดเข้าสำหรับแฮกเกอร์ นี่คือเหตุผลว่าทำไมการอัปเดตเว็บไซต์เป็นประจำจึงควรเป็นความสำคัญแรก
หลายครั้ง เจ้าของเว็บขนาดเล็กหลายคนหลวมหลายเรื่องความปลอดภัย พวกเขาคิดว่าแฮกเกอร์ไม่สนใจเว็บเล็กของพวกเขาที่มีトラフィกน้อย แต่มีหลายเหตุผลที่แฮกเกอร์แฮกเว็บ ไม่ได้แค่トラフィก เว็บเล็กมักเป็นเป้าหมายง่ายกว่าเว็บใหญ่ เพราะมักหลวมหลายต่อความปลอดภัย จุดสรุปคือ ไม่ว่าขนาดเว็บไซต์ ให้การอัปเดตอย่างจริงจังเป็นกุญแจสำคัญในการรักษาความปลอดภัยเว็บของคุณ
สำรองข้อมูลเป็นประจำ (Take Regular Backups)
ไม่ว่าคุณโพสต์สัปดาห์ละครั้งหรือทุกวัน การสำรองข้อมูลเป็นประกันสุขภาพ (fail-safe) ในโอกาสที่ถูกแฮก แฮกเกอร์อาจลบเนื้อหาบางส่วนของคุณ สถานการณ์แบบนี้จะเป็นฝันร้ายสำหรับเว็บที่โพสต์บ่อย เพื่อหลีกเลี่ยงการสูญเสียข้อมูล เราแนะนำให้สำรองข้อมูลเว็บไซต์เป็นประจำ
การสำรองข้อมูลด้วยตนเอง (Manually backing up) เว็บ WordPress เป็นงานหนักและมีความเสี่ยงหลายอย่าง เนื่องจากสำรองข้อมูลไม่ใช่แบบอัตโนมัติ คุณอาจลืมสำรองข้อมูลบางครั้ง การเก็บสำรองข้อมูลให้ปลอดภัยเป็นอีกเรื่องยุ่งยาก ฮาร์ดดิสก์ภายนอกและ USB drives โด่งดังว่าล้มเหลว และ local storage เสี่ยงเพราะอาจติดมัลแวร์ บริการโฮสติ้งเว็บเสนอการสำรองข้อมูล แต่ไม่ phảiทุกโฮสต์ให้สำรองรายวัน ดังนั้นก่อนพึ่งพาโฮสต์สำรองข้อมูล ทำการวิจัย ติดต่อทีมสนับสนุนหากจำเป็น บางโฮสต์เสนอสำรองข้อมูลเป็น add-on ที่มีค่าใช้จ่ายเพิ่มเติม สุดท้าย มี บริการสำรองข้อมูล WordPress อย่าง BlogVault ที่เสนอโซลูชันสำรองข้อมูลครบวงจร มีฟีเจอร์มากมายและความยืดหยุ่น
ใช้บริการความปลอดภัย (Use a Security Service)
การมีบริการความปลอดภัยหลายมิติที่ดีจะไม่ได้แค่รักษาความปลอดภัยเว็บ แต่ยังช่วยคุณหลีกเลี่ยงความยุ่งยากมากมาย ขณะรันเว็บ WordPress อาจเผชิญปัญหาหลายอย่าง การโจมตีแฮกและการติดเชื้อมัลแวร์เป็นหนึ่ง สิ่งอื่นรวมถึง ปัญหาโฮสต์, ปลั๊กอินและธีมล้าสมัย ฯลฯ เพื่อจัดการปัญหาเหล่านี้ ปลั๊กอินความปลอดภัยที่ดีควรสามารถสแกนอัตโนมัติทุกวันเพื่อหาไม่แค่มัลแวร์ที่รู้จัก แต่ยังรวมถึงมัลแวร์ซับซ้อนและไม่รู้จัก ควรมีเครื่องมือทำความสะอาดมัลแวร์ที่ดี และอนุญาตให้ผู้ใช้ดำเนินมาตรการแข็งแกร่งเว็บ บริการความปลอดภัยครบวงจรอย่าง MalCare เสนอ layered defence ให้เว็บ WordPress มันแม้แต่ช่วยให้ผู้ใช้จัดการอัปเดตของปลั๊กอิน ธีม หรือ WordPress core หากคุณสบายใจมากกว่าทีมที่จัดการความปลอดภัยเว็บของคุณเต็มที่ บริการ white-label WordPress maintenance และ support จาก WP Buffs หรือ GoWP อาจเป็นสิ่งที่คุณมองหาอย่างพอดี พวกเขาดูแลอัปเดต ความปลอดภัย ความเร็วเว็บ และการแก้ไขต่อเนื่อง ไม่ว่าคุณจะจัดการ 1 เว็บหรือ 1000 เว็บ!
มาสรุป Layered Defence
สรุปสิ่งที่ประกอบเป็น layered defence:
- ใช้ Firewall Security
- ติดตั้งใบรับรอง SSL
- ปกป้องหน้าล็อกอิน WordPress
- แข็งแกร่งเว็บไซต์ของคุณ
- อัปเดตปลั๊กอิน ธีม และ WordPress Core เป็นประจำ
- สำรองข้อมูลเป็นประจำ
- ใช้บริการความปลอดภัย
เราหวังว่าบทความนี้จะชี้ทางให้คุณเห็นว่าต้องทำอะไร ขอบคุณที่อ่าน และหากมีคำถามเกี่ยวกับ layered defence ส่งอีเมลมาหาเราได้เลย
