ปกป้องและรักษาความปลอดภัยเว็บไซต์จากแฮกเกอร์: คู่มือป้องกันอันดับหนึ่ง

เว็บไซต์ของคุณมีค่า: ต่อคุณ เอง และต่อผู้เยี่ยมชมของเว็บไซต์ รวมถึง... แฮกเกอร์

เพื่อสร้างการป้องกันที่ดีต่อการโจมตีอันตราย คุณต้องการคู่มือที่ไม่พูดโป้เกี่ยวกับ วิธีปกป้องเว็บไซต์จากแฮกเกอร์

นี่คือคู่มือป้องกันแฮกเกอร์ที่คุณกำลังมองหา!

เรามั่นใจได้อย่างไร? MalCare ปกป้องเว็บไซต์มากกว่า 25,000+ เว็บไซต์ และทีมสนับสนุนของเราค้นหามัลแวร์ที่ล้มเล escapar ได้จากเว็บไซต์ทุกวัน เรารู้ดีมากเกี่ยวกับวิธีปกป้องเว็บไซต์ของคุณจากแฮกเกอร์และการโจมตีอันตรายอื่นๆ

สรุปย่อ: มาตรการความปลอดภัยที่ดีที่สุดคือการติดตั้งปลั๊กอินความปลอดภัย ที่ทำงานอัตโนมัติ (Autopilot) เรายังแนะนำให้คุณนำมาตรการความปลอดภัยทั้งหมดที่เราอธิบายในบทความนี้ไปปฏิบัติจริง

ก่อนเริ่มต้น

การเห็นรายการมาตรการความปลอดภัยยาวนานเพื่อปกป้องเว็บไซต์จากแฮกเกอร์อาจดูน่ากลัว เราเข้าใจ ดังนั้น เพื่อทำนำการปฏิบัติมาตรการเหล่านี้ให้ง่ายขึ้น เราจัดระเบียบรายการป้องกันแฮกเกอร์นี้ตามความง่าย เราแนะนำให้บุ๊กมาร์กบทความนี้ และกลับมาอ่านต่อเมื่อคุณปฏิบัติตามขั้นตอนต่างๆ

ในรายการนี้มีมาตรการป้องกันหลากหลาย: สิ่งที่คุณควรทำ สิ่งที่คุณไม่ควรทำ และมีการทำลายมिथוס (Busted Myths) อีกเล็กน้อย

เป้าหมายของบทความนี้คือการถอดรหัสความปลอดภัย โดยตัดสิ่งที่ทำให้สับสนซึ่งมีอยู่ที่อื่นๆ อย่างไรก็ตาม ข้อสำคัญที่สุดคือ การปกป้องเว็บไซต์จากแฮกเกอร์และไวรัส ไม่ใช่กิจกรรมครั้งเดียวจบ แต่จะพูดถึงในรายละเอียดต่อไป

6 ขั้นตอนพื้นฐานเพื่อปกป้องเว็บไซต์จากแฮกเกอร์ทันที

มาตรการป้องกันในส่วนนี้ง่ายที่สุดในการนำไปปฏิบัติ และจริงๆ แล้วจะช่วยให้คุณมีความปลอดภัยในระดับที่พอสมควร ตั้งแต่มุมมองแรก อาจดูเทคนิคหรือขั้นสูง แต่ขอเชื่อจากคนที่ไม่ใช่วิศวกร: คุณทำได้!

1. ติดตั้งไฟร์วอลล์ (Firewall) ที่ดี

แฮกเกอร์ไม่ได้แฮกเข้าเว็บไซต์ด้วยตนเอง แฮกเกอร์ที่เก่งจะสร้างบอท (Bot) ที่คอยหาเว็บไซต์ที่มีช่องโหว่ และทำให้กระบวนการส่วนใหญ่เป็นอัตโนมัติ บอทถูกเขียนโปรแกรมให้ทำงานเฉพาะเจาะจง พวกมันไม่มีสติปัญญา

หัวใจของไฟร์วอลล์คือโค้ดที่ระบุคำขออันตราย (Malicious Requests) ทุกคำขอข้อมูลที่ส่งไปยังเว็บไซต์ของคุณจะผ่านไฟร์วอลล์ก่อน หากไฟร์วอลล์ตรวจพบว่าคำขอนั้นเป็นอันตราย หรือมาจากที่อยู่ IP ที่รู้จักว่าเป็นอันตราย คำขอนั้นจะถูกบล็อกแทนที่จะถูกประมวลผล

หลีกเลี่ยงการเปลี่ยนแปลงการตั้งค่าไฟร์วอลล์

บางไฟร์วอลล์อนุญาตให้ตั้งค่าได้ แต่เราไม่แนะนำ เว้นแต่คุณจะเป็นมืออาชีพด้านความปลอดภัยเว็บไซต์จริงๆ กฎของไฟร์วอลล์ถูกสร้างจากงานวิจัยความปลอดภัยอย่างมาก และประสบการณ์กำจัดมัลแวร์โดยตรงมากมาย

ตัวอย่างเช่น ปลั๊กอินความปลอดภัย WordPress ส่วนใหญ่มีกฎที่ป้องกันไม่ให้ใครที่ไม่มีสิทธิ์แอดมินเข้าถึงไฟล์ wp-config.php ไฟล์ wp-config.php เป็นไฟล์หลักของ WordPress ที่มีข้อมูลสำคัญมาก ดังนั้น ไฟร์วอลล์จะตรวจสอบทุกคำขอไปยังเว็บไซต์ ว่ามีข้อความ "wp-config.php" อยู่หรือไม่ หากกฎนี้ถูกกระตุ้น คำขอจะถูกปฏิเสธโดยไฟร์วอลล์

นอกจากนี้ เนื่องจากแฮกเกอร์พยายามแฮกเว็บไซต์ให้มากที่สุดเมื่อมีการเปิดเผยช่องโหว่ นี่ทำให้ที่อยู่ IP ของแฮกเกอร์โชว์ตัว ไฟร์วอลล์ WordPress ติดตามและบล็อก IP อันตรายล่วงหน้า (Preemptively) จากการโจมตีเหล่านี้

แน่นอนว่า ไม่มีไฟร์วอลล์ตัวไหนที่ไม่ถูกแฮ็กได้ 100% แต่การมีไฟร์วอลล์ที่บล็อกมัลแวร์ส่วนใหญ่ดีกว่าไม่มีไฟร์วอลล์เลย แต่ไฟร์วอลล์ไม่ได้เหมือนกันทุกตัว บางตัวมีประสิทธิภาพมากกว่าอีกมาก ดังนั้นเราจึงทำรายการไฟร์วอลล์ WordPress ที่ดีที่สุดไว้ให้คุณเลือก

2. มีนโยบายรหัสผ่านที่แข็งแกร่งและใช้ตัวจัดการรหัสผ่าน (Password Manager)

เราอยู่ในวงการความปลอดภัย WordPress มามากกว่า 10 ปีแล้ว คุณจะประหลาดใจที่รู้ว่าเว็บไซต์ที่ถูกแฮ็กมากแค่ไหน เพราะแค่รหัสผ่านอ่อนแอ

รหัสผ่านที่ทายง่ายถูกใช้โดยเว็บไซต์หลายแสนเว็บ 5% ของเว็บไซต์ที่ถูกแฮ็กและใช้ MalCare กำจัดมัลแวร์ ใช้รหัสผ่านอ่อนแอ

แฮกเกอร์มีรายการรหัสผ่านแบบนี้เรียกว่า "Rainbow Tables" (ตารางสีรุ้ง) และพวกเขาสร้างตารางขนาดใหญ่ขึ้นเรื่อยๆ เพื่อใช้เป็นพจนานุกรมของการโจมตี การใช้ตารางเหล่านี้ แฮกเกอร์สามารถโจมตีแบบ "Dictionary Attack" (โจมตีแบบพจนานุกรม) ได้

โจมตีแบบพจนานุกรมส่วนใหญ่เป็นรูปแบบหนึ่งของ Brute Force Attack (โจมตีแบบทดลองผิดลองถูก) แต่ไม่ใช่วิธีเดียวที่แฮกรหัสผ่านได้ ดังนั้น รหัสผ่านที่แข็งแกร่งจึงได้รับการแนะนำ

รหัสผ่านที่แข็งแกร่งคือการผสมผสานของตัวอักษร ตัวเลข และสัญลักษณ์ การผสมผสานที่ไม่พบบ่อยจะยากที่จะแตก และอาจใช้เวลาหลายปีสำหรับอัลกอริทึม Brute Force ในการถอดรหัส นอกจากนี้ ยิ่งรหัสผ่านยาว ยิ่งยากที่จะแตก

บทความนี้จะช่วยคุณสร้างรหัสผ่านระดับอีพิกของตัวเอง

คุณยังสามารถใช้ปลั๊กอินเพื่อบังคับให้ผู้ใช้ WordPress ทั้งหมดใช้รหัสผ่านที่แข็งแกร่ง ด้วยปลั๊กอิน Password Policies Manager for WordPress ปลั๊กอินนี้จะช่วยสร้างนโยบายที่บังคับให้ผู้ใช้ WordPress ทั้งหมดสร้างรหัสผ่านที่แข็งแกร่งเมื่อสร้างบัญชี

3. ติดตั้ง SSL และใช้ HTTPS บนเว็บไซต์

Secure Sockets Layer (SSL) Certificate หรือ ใบรับรองเลเยอร์ซ็อกเก็ตปลอดภัย เป็นโปรโตคอลความปลอดภัยที่เข้ารหัสการสื่อสารทั้งหมดไปและมาจากเว็บไซต์ การติดตั้งจะทำให้แม้แฮกเกอร์จะสกัดข้อมูลจากเว็บไซต์ของคุณได้ พวกเขาก็จะไม่เคยเข้าใจว่าข้อมูลนั้นคืออะไร

เราสร้างคู่มือทั้งเล่มเกี่ยวกับการติดตั้งใบรับรอง SSL อย่างถูกต้อง จริงๆ แล้ว ความน่าสนใจนี้สมควร ติดตั้งใบรับรอง SSL ให้เว็บไซต์ของคุณทันที คุณจะได้ประโยชน์ด้าน SEO เป็นโบนัสมาด้วย

4. ตรวจสอบผู้ใช้แอดมิน (Admin Users) อย่างละเอียด

ส่วนใหญ่สมมติว่าแฮกเกอร์จะแค่ติดตั้งมัลแวร์บนเว็บไซต์และจากไป นั่นไม่จริง แฮกเกอร์ที่เก่งจริงๆ จะสร้างบัญชีแอบ (Ghost Account) ที่มีสิทธิ์แอดมิน สามารถเดินเข้ามาได้เมื่อพวกเขาต้องการ

การตรวจสอบและลบผู้ใช้ WordPress เป็นประจำสามารถแก้ปัญหานี้ได้

ใช่ มันอาจใช้เวลานานหากคุณมีทีมใหญ่จัดการเว็บไซต์ แต่คุ้มค่า เริ่มจากการลบผู้ใช้ที่ไม่ได้มีส่วนร่วมกับเว็บไซต์อีกต่อไป จากนั้น บังคับให้รหัสผ่านแข็งแกร่ง เพื่อให้ผู้เขียนและบรรณาธิการไม่ได้ทำให้เว็บไซต์ถูกคุกคามโดยไม่ได้ตั้งใจ

คุณอาจปฏิบัติการความปลอดภัยรหัสผ่านได้ดี แต่อย่างไรก็ตาม หากแอดมินคนหนึ่งในทีมของคุณตกเป็นเหยื่อการหลอกลวงแบบฟิชชิ่ง (Phishing) เว็บไซต์ของคุณก็จะได้รับผลกระทบเช่นกัน

ใช้บทบาทผู้ใช้ WordPress (User Roles) ให้เต็มที่ เพื่อจำกัดการเข้าถึงให้มากที่สุด ตัวอย่างเช่น หากใครเขียนและอัปโหลดบทความอย่างเดียว ให้สิทธิ์ 'Author' (ผู้เขียน) ไม่ใช่ 'Admin' (ผู้ดูแล) อ่านบทความของเราเกี่ยวกับบทบาท WordPress เพื่อดูวิธีทำทุกอย่างได้โดยไม่เจ็บปวด

5. ใช้บันทึกกิจกรรม (Activity Log)

การเห็นสิ่งที่ไม่คาดคิดบนเว็บไซต์สามารถเป็นสัญญาณเตือนได้ทันเวลาในหลายสถานการณ์ พิจารณาหากมีการสร้างบัญชีแอดมินโดยไม่ได้รับความรู้ของคุณ หรือมีการปิดใช้งานปลั๊กอิน (เช่นปลั๊กอินความปลอดภัย) โดยไม่มีความเห็นชอบร่วมกัน

ทั้งหมดนี้เป็นตัวอย่างการกระทำของผู้ดูแลเว็บไซต์ที่ถูกต้อง แต่ก็อาจเป็นอาการของการเข้าถึงโดยไม่ได้รับอนุญาต บันทึกกิจกรรม (Activity Log) จะบอกคุณว่ากำลังเกิดอะไรขึ้นบนเว็บไซต์ และคุณสามารถประเมินได้ว่าการกระทำนั้นถูกต้องหรือไม่

ปฏิบัติเพียงอย่างเดียวนี้ช่วยชีวิตเราหลายครั้งแล้ว

แฮกเกอร์ส่วนใหญ่ระมัดระวังมากเพื่อไม่ให้ถูกจับ เพราะพวกเขาสามารถควบคุมเว็บไซต์ของคุณได้ต่อไปตราบใดที่ไม่ถูกจับ บันทึกกิจกรรมช่วยส่งสัญญาณการเปลี่ยนแปลง ให้คุณสามารถหยุดกิจกรรมที่ไม่ได้รับอนุญาตในโอกาสแรก

MalCare มาพร้อมกับบันทึกกิจกรรมบนแดชบอร์ด และไม่ต้องมีการตั้งค่าอะไรเพื่อใช้งาน

6. สำรองข้อมูลเป็นประจำ (Regular Backups)

การสำรองข้อมูลเป็นกลยุทธ์ที่ถูกประเมินต่ำกว่าค่าจริงมากที่สุด ควรสำรองข้อมูลทุกวัน เพื่อให้คุณสามารถกู้คืนเว็บไซต์ได้อย่างรวดเร็วในกรณีเกิดความล้มเหลวรุนแรง

เลือกปลั๊กอินสำรองข้อมูลที่น่าเชื่อถือ เพราะการสำรองข้อมูลด้วยตนเองทำได้ยากโดยไม่มีความเชี่ยวชาญมากพอ

จริงๆ แล้ว ก่อนที่คุณจะดำเนินการตามขั้นตอนในบทความนี้ ให้สำรองข้อมูลเว็บไซต์เต็มรูปแบบและตั้งค่าการสำรองข้อมูลรายวันทันที นี่เป็นการปฏิบัติที่ดีเสมอเมื่อทำการเปลี่ยนแปลงใดๆ บนเว็บไซต์

5 ขั้นตอนระดับกลาง เพื่อปกป้องเว็บไซต์ให้สูงขึ้น

ขั้นตอนพื้นฐานในบทความเป็นจุดเริ่มต้นที่ดี และไม่ควรใช้เวลานานในการตั้งค่า ในส่วนนี้ นอกจากการยืนยันตัวตน 2 ปัจจัย (2FA) และการจำกัดความพยายามเข้าสู่ระบบ ขั้นตอนอื่นๆ เป็นมาตรการความปลอดภัยที่ต่อเนื่อง

เช่นที่เราพูดไปก่อนหน้า สำคัญที่ต้องคิดถึงความปลอดภัยเว็บไซต์อย่างถูกต้อง มันไม่ใช่การตั้งค่าครั้งเดียวหรือกิจกรรมครั้งเดียว แต่ต้องถือเป็นส่วนประจำของการบริหารจัดการเว็บไซต์

1. อัปเดตทุกอย่าง

มากกว่า 90% ของการแฮ็กเกิดขึ้นเพราะแฮกเกอร์ระบุช่องโหว่ในธีมหรือปลั๊กอิน และ exploit (ใช้ประโยชน์จาก) ช่องโหว่นั้นบนเว็บไซต์หลายแห่ง

ช่องโหว่ (Vulnerability) คืออะไร? ธีมหรือปลั๊กอินคือซอฟต์แวร์ เหมือนซอฟต์แวร์อื่นๆ มันคือชิ้นส่วนของโค้ดที่จะมีบั๊ก (Bug) อยู่เสมอ บั๊กบางอย่างค่อนข้างไร้เดือดร้อน อาจแค่ทำให้เกิดข้อผิดพลาดเล็กน้อยขณะอัปเดต แต่ว่าอื่นอาจทำให้โค้ดเปราะบางต่อการ exploit

เมื่อพบช่องโหว่ โดยมากโดยนักวิจัยความปลอดภัย จะถูกเปิดเผยต่อผู้พัฒนาปลั๊กอินเพื่อซ่อมแซม (Patch) ผู้พัฒนาที่มีความรับผิดชอบจะเผยแพร่การแก้ไข และเว็บไซต์ที่ติดตั้งปลั๊กอินจะเห็นว่ามีเวอร์ชันอัปเดตของปลั๊กอินพร้อมใช้งานเร็วๆ นี้

เมื่อการแก้ไขถูกเผยแพร่ ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ หากคุณเป็นหนึ่งในเว็บไซต์ที่อัปเดตปลั๊กอินหรือธีมพร้อมการแก้ไขความปลอดภัย นั่นดีมาก หากไม่ใช่ เว็บไซต์ของคุณจะกลายเป็นเป้าหมายของแฮกเกอร์สมัครเล่น (Script Kiddies) ที่มองหากำไรเร็ว

ดังนั้น จึงดีที่สุดที่จะเก็บทุกอย่าง — ตั้งแต่ WordPress Core ไปจนถึงปลั๊กอิน — ให้อยู่ในสภาพอัปเดตตลอดเวลา เรารู้ว่าการอัปเดตบางครั้งอาจทำให้เว็บไซต์เสียหาย بطرقที่ไม่คาดคิด ดังนั้นเพื่อหลีกเลี่ยงความไม่สะดวก ให้ใช้ Staging Site (เว็บไซต์ทดสอบ) เพื่ออัปเดตอย่างปลอดภัย แต่โปรด อัปเดตทุกอย่าง

เราสร้างคู่มือเกี่ยวกับการอัปเดตเว็บไซต์ WordPress อย่างปลอดภัยและรบกวนน้อยที่สุด

2. เลือกธีมและปลั๊กอินที่ดี

หากคุณสังเกตจากส่วนก่อนหน้า เราอ้างถึงผู้พัฒนาที่เผยแพร่การอัปเดตเพื่อซ่อมแซมช่องโหว่ว่าเป็นผู้พัฒนาที่มีความรับผิดชอบ ในสรุป ผู้พัฒนาที่ดีจะดูแลซอฟต์แวร์ของพวกเขาอย่างต่อเนื่อง

นี่ไม่ใช่สภาวะที่เกิดขึ้นทุกกรณี น่าเสียดาย แต่เป็นความจริง

ดังนั้น เราจึงสนับสนุนอย่างยิ่งให้ใช้ปลั๊กอินและธีมที่ดีสำหรับเว็บไซต์ของคุณ เข้าใจได้ว่า "ดี" เป็นคำที่สัมพัทธ์และคลุมเครือเล็กน้อย ดังนั้นเราจึงระบุปัจจัยที่คุณควรพิจารณาเมื่อเลือกปลั๊กอินสำหรับเว็บไซต์:

• การอัปเดตเป็นประจำ: ปลั๊กอินหรือธีมที่เผยแพร่อัปเดตอย่างสม่ำเสมอ และซ่อมแซมช่องโหว่ที่พบเสมอ นี่จะบอกคุณว่าผู้พัฒนานำความเสี่ยงด้านความปลอดภัยของผลิตภัณฑ์ของพวกเขาไปอย่างจริงจัง
• จำนวนการติดตั้งใช้งาน (Active Installs): ปลั๊กอินยอดนิยมที่มีการติดตั้งหลายล้านจะมีเป้าหมายอยู่ที่หลังเสมอ Contact Form 7 เป็นตัวอย่างชัดเจนของแนวโน้มนี้ ด้านกลับคือ ปลั๊กอินยอดนิยมมักปลอดภัยกว่า เพราะมักมีทีมที่ใหญ่และดีกว่ากำลังปรับปรุงผลิตภัณฑ์ ดังนั้นเลือกอย่างมีสติ หลังจากค้นคว้าเพียงพอ
• ความน่าเชื่อถือ (Credibility): หลีกเลี่ยงการติดตั้งปลั๊กอินหรือธีมที่พัฒนาโดยฟรีแลนซ์ที่ไม่มีใครรู้จัก ใช้เฉพาะปลั๊กอินและธีมที่พัฒนาโดยนักพัฒนาและแบรندที่มีชื่อเสียง หากซื้อจากตลาด (Marketplace) ตรวจสอบให้แน่ใจว่าคุณเชื่อถือนักพัฒนา ไม่ใช่แค่เชื่อถือตลาด
• เวอร์ชันพรีเมียม (Paid Versions): ปกติแล้ว ผู้ขายปลั๊กอินแบบชำระเงินใช้เวลาและเงินมากกว่าในการค้นหาและซ่อมแซมช่องโหว่ หากคุณมีงบประมาณแน่นมาก เวอร์ชันฟรีจะเหมาะสมกว่า แต่หากคุณกังวลเรื่องความปลอดภัยเว็บไซต์ เราแนะนำอย่างยิ่งให้ใช้ธีมและปลั๊กอินพรีเมียมแทน

ข้อสังเกตเพิ่มเติม: คุณอาจถูกใจที่จะใช้ปลั๊กอินและธีม Nulled (แครก) อย่าทำอย่างนั้น ความเสี่ยงไม่คุ้มค่า

ซอฟต์แวร์ Nulled แพร่กระจายมัลแวร์ นั่นคือเหตุผลที่คุณได้ผลิตภัณฑ์พรีเมียมฟรี แม้ไฟล์ ZIP จะไม่มีโค้ดอันตรายที่ชัดเจน ผู้ใช้ปลั๊กอิน/ธีม Nulled ก็รู้ว่าพวกเขาไม่สามารถอัปเดตซอฟต์แวร์ได้ นั่นทำให้เว็บไซต์เปราะบางต่อการแฮ็ก ตามที่เราพูดในส่วนก่อนหน้า

3. นำ 2FA (Two-Factor Authentication) ไปใช้

การยืนยันตัวตน 2 ปัจจัย (2FA) เป็นมาตรการความปลอดภัยที่เพิ่มอุปกรณ์หรือโทเคนอีกตัวหนึ่ง ที่คุณต้องเข้าถึงได้ เพื่อล็อกอิน นอกเหนือจากรหัสผ่าน

มีโปรโตคอลหลายอย่างที่ใช้สำหรับ 2FA เช่น TOTP (Time-based One-Time Password) หรือ HOTP (HMAC-based One-Time Password) แต่ละอย่างมีข้อดีข้อเสีย แต่สำหรับการล็อกอิน เราไม่ต้องเจาะลึกรายละเอียดเหล่านั้น

มีแอปพลิเคชันทั้งแบบชำระเงินและฟรี หลายตัว ที่สามารถเพิ่ม 2FA เข้ากับหน้าล็อกอินของคุณได้ และรองรับโปรโตคอลยอดนิยม สำหรับความช่วยเหลือเพิ่มเติม ดูบทความนี้เพื่อดูวิธีตั้งค่า 2FA ของ WordPress หากคุณมีผู้ร่วมเขียนเนื้อหาหลายคนบนเว็บไซต์ นี่คือฟีเจอร์ความปลอดภัยที่ดีที่ควรนำไปใช้

4. เลือกโฮสต์เว็บ (Web Host) ที่ดี

ส่วนใหญ่มุ่งทำให้โฮสต์เว็บรับผิดชอบต่อความปลอดภัยของเว็บไซต์แม้กระทั่ง แต่จริงๆ แล้ว นادرที่จะเป็นความผิดของโฮสต์ หากเว็บไซต์ของคุณถูกแฮ็ก ในกรณีที่โฮสต์เป็นผู้รับผิดชอบต่อการละเมิดความปลอดภัย (ซึ่งนادرมาก) ผลกระทบจะมหาศาล พันเว็บไซต์จะได้รับผลกระทบ

สถานการณ์มักกลับกัน และโฮสต์ที่ดีมีบทบาทสำคัญในการปกป้องเว็บไซต์ของคุณจากแฮกเกอร์ ดังนั้น คุณควรมุ่งหาบริการโฮสติ้งที่ปลอดภัยที่สุด นี่คือรายการผู้ให้บริการโฮสติ้ง WordPress ที่ดีที่สุดที่เรารวบรวมมาเพื่อช่วยคุณเลือกโฮสต์ที่ดี

5. จำกัดจำนวนครั้งที่พยายามเข้าสู่ระบบ (Limit Login Attempts)

วิธีง่ายหนึ่งในการบล็อกบอทและผู้โจมตีแบบ Brute Force คือปฏิเสธการเข้าถึงจากที่อยู่ IP หลังจากพยายามล้มเหลว 3 ครั้ง ไฟร์วอลล์ของ MalCare มาพร้อมกับฟีเจอร์นี้แล้ว การจำกัดความพยายามเข้าสู่ระบบเป็นวิธีที่มีประสิทธิภาพสูงในการปกป้องเว็บไซต์โดยไม่มีข้อเสียมากนัก

คุณสามารถใช้ปลั๊กอิน 'Limit Loginizer' ขณะติดตั้ง WordPress ได้เช่นกัน แต่หากคุณพิมพ์รหัสผ่านของตัวเองผิด 3 ครั้ง คุณจะต้องขอให้โฮสต์ปลดบล็อก IP ของคุณก่อนจึงจะลองใหม่ได้

2 ขั้นตอนระดับมืออาชีพ เพื่อเพิ่มระดับการปกป้องเว็บไซต์จริงจัง

แม้คุณจะทำตามขั้นตอนในส่วนก่อนหน้าสำเร็จแล้ว คุณก็อยู่ในสภาพที่ดีแล้วในแง่ของการปกป้องเว็บไซต์จากแฮกเกอร์ มาตรการต่อไปนี้มีประสิทธิภาพ แต่ต้องการการเข้าไปดัดแปลงโค้ดบ้าง

เราต้องการเน้นอีกครั้งว่า การแฮ็กส่วนใหญ่เกิดจากช่องโหว่ ดังนั้นการดูแลช่องโหว่เหล่านั้นจะปกป้องเว็บไซต์ของคุณจากแฮกเกอร์และไวรัสได้ดีพอแล้ว หากคุณไม่สะดวกกับการลองขั้นตอนเหล่านี้เอง คุณสามารถข้ามไปได้ หรือส่งต่อให้นักพัฒนาของคุณไปปฏิบัติ ไม่ว่าจะอย่างไร เว็บไซต์ของคุณก็ยังคงได้รับการปกป้องดีจากแฮกเกอร์

1. บล็อกการรัน PHP ในโฟลเดอร์อัปโหลด (Uploads Folder)

มีชั้นของช่องโหว่ทั้งชั้นเรียกว่า Remote Code Execution (RCE) ที่อนุญาตให้แฮกเกอร์อัปโหลดโค้ด PHP อันตรายไปยังโฟลเดอร์ Uploads โดยปกติ โฟลเดอร์ Uploads ไม่ได้ตั้งใจให้มีโค้ดที่รันได้ (Executable Code) มันตั้งใจให้เก็บไฟล์สื่อ (Media Files) แต่ลักษณะของโฟลเดอร์ Uploads คือ อนุญาตให้เก็บไฟล์และโฟลเดอร์ภายในได้

เมื่อโค้ดถูกอัปโหลดไปที่เว็บไซต์ของคุณ แฮกเกอร์สามารถรันมันและได้รับการควบคุมที่มีผลต่อเว็บไซต์ของคุณ อย่างไรก็ตาม หากคุณบล็อกการรัน PHP ในโฟลเดอร์ Uploads การโจมตีนั้นจะไม่สามารถเกิดขึ้นได้

หากคุณใช้ MalCare คุณสามารถบล็อกการรัน PHP ในโฟลเดอร์ Uploads ได้ในคลิกเดียว โดยเป็นส่วนหนึ่งของมาตรการ Hardening (การเสริมสร้างความแข็งแกร่ง) ของ WordPress

2. เปลี่ยนคีย์ความปลอดภัย WordPress (WordPress Security Keys)

หากคุณถูกแฮ็กเมื่อเร็วๆ นี้ คุณสามารถเปลี่ยนคีย์ความปลอดภัย WordPress ได้ นี่คือสตริงที่ถูกแฮช (Hashed) ร่วมกับชื่อผู้ใช้และรหัสผ่าน เพื่อจัดการเซสชันการล็อกอินของผู้ใช้

คุณสามารถตั้งค่าสตริงนี้เป็นอะไรก็ได้ อย่างไรก็ตาม เหมือนกับรหัสผ่าน 最好是ใช้สตริง英数字 (Alphanumeric) ที่สุ่มมา อ่านเพิ่มเติมเกี่ยวกับคีย์ความปลอดภัยและวิธีเปลี่ยนแปลง

2 เคล็ดลับพิเศษ (BONUS Tips) สำหรับการปกป้องเว็บไซต์จากแฮกเกอร์

1. อัปเดตข่าวความปลอดภัยให้ตัวเองอยู่เสมอ

การอยู่ในสภาพทราบข่าว ถามคำถาม และปรึกษาชุมชน เป็นวิธีที่ยอดเยี่ยมในการติดตามการแฮ็กล่าสุดและการเปลี่ยนแปลงในภูมิทัศน์ภัยคุกคาม ตัวอย่างเช่น หากพบช่องโหว่ของปลั๊กอิน คุณสามารถปิดใช้งานจากแดชบอร์ดจนกว่าจะมีอัปเดตและติดตั้งแล้ว ความไม่สะดวกที่คุณเผชิญจะเบาเกินไปเมื่อเทียบกับความเสียหายจากเว็บไซต์ที่ถูกแฮ็ก

2. ทำการตรวจสอบความปลอดภัยเป็นประจำ (Regular Security Audits)

เจ้าของเว็บไซต์หลายคนเข้าใจผิดว่าเว็บไซต์ของพวกเขาเล็กเกินไป ไม่คุ้มค่าที่จะถูกแฮ็ก นี่ไกลจากความจริงมาก การแฮ็กเกิดจากหลายเหตุผล และแม้เว็บไซต์ของคุณจะไม่ "มีกำไร" ในแง่ข้อมูลผู้ใช้ มันก็ยังมีอำนาจ SEO เพียงพอที่จะถูกใช้เป็นเว็บไซต์ฟิชชิ่ง (Phishing Site)

การตรวจสอบความปลอดภัยเป็นประจำจะช่วยค้นพบแนวทางที่ไม่ปลอดภัย และช่องโหว่ที่อาจเกิดขึ้นบนเว็บไซต์ของคุณ โดยการติดตามเหตุการณ์บนเว็บไซต์ — ผ่านบันทึกกิจกรรม หรือการตรวจสอบผู้ใช้ ตัวอย่าง — คุณจะประหยัดความทุกข์ทรมานมากมายในระยะยาว

สิ่งที่จะ ไม่ ช่วยปกป้องเว็บไซต์ของคุณ

เราสนับสนุนการมีสติปัญญาด้านความปลอดภัย แต่ไม่ใช่การเป็นผู้ประหลาดใจ (Paranoid) นอกจากนี้ เราเห็นว่ามีคำแนะนำที่ไม่ดีมากมายสำหรับเจ้าของเว็บไซต์อยู่ในโลกภายนอก คำแนะนำอาจมาจากเจตนาที่ดี แต่สามารถมีผลลัพธ์ที่ไม่ได้ตั้งใจ เช่น สร้างประสบการณ์ผู้ใช้ที่แย่ หรือล็อกคุณนอกจากเว็บไซต์ของตัวเอง!

โปรดอย่าทำสิ่งต่อไปนี้

1. ซ่อนหน้า wp-login

ปลั๊กอินความปลอดภัยหลายตัวยังเชื่อว่าท่าทางเก่าแก่นี้ยังใช้ได้

ถ้าแฮกเกอร์หาหน้าล็อกอินไม่เจอ พวกเขาก็ไม่สามารถโจมตี Brute Force ได้ใช่ไหม? ไม่ ไม่ได้เป็นอย่างนั้น แทนที่จะเป็นอย่างนั้น:

• มันทำให้เว็บไซต์ของคุณใช้งานยากขึ้น หากคุณลืม URL ล็อกอินใหม่ การกู้คืนบัญชีอาจยาก
• หากคุณใช้ URL เริ่มต้นที่มาพร้อมกับปลั๊กอินความปลอดภัย แฮกเกอร์ทาย URL ใหม่ของคุณได้ง่าย
• แม้แฮกเกอร์จะหาหน้า wp-login ไม่เจอ พวกเขายังสามารถแฮกเว็บไซต์ของคุณผ่านช่องโหว่ XML-RPC ได้

ตัวเลือกนี้ไม่ทำให้ได้อะไรเลย และอาจก่อให้เกิดปัญหาไม่ מעט

2. การบล็อกตามภูมิศาสตร์ (Geo-blocking)

Geo-blocking คือการบล็อกการเข้าถึงจากประเทศที่ผลิตภัณฑ์หรือบริการของคุณไม่มีให้บริการหรือไม่เกี่ยวข้อง มักถูกมองว่าเป็นมาตรการความปลอดภัย แต่จริงๆ แล้วเป็นวิธีลดค่าใช้จ่ายทรัพยากรเซิร์ฟเวอร์

เป็นไปได้ว่าคุณคิดว่าทริปฟิกจาก Gabon ไม่ช่วยธุรกิจของคุณ แต่การบล็อกทริปฟิกทั้งหมดจาก Gabon ไม่แก้ปัญหาอะไรเลย ด้วย VPN ที่ดี ใครก็สามารถ繞道 (Bypass) การบล็อกตามภูมิศาสตร์ของ Netflix ได้

นอกจากนี้ คุณยังเสี่ยงที่จะบล็อก Googlebot และตัวคุณเองด้วย!

3. ป้องกันโฟลเดอร์ wp-admin ด้วยรหัสผ่าน

โฟลเดอร์ wp-admin เป็นหนึ่งในไดเรกทอรีที่สำคัญที่สุดในการติดตั้ง WordPress ใดๆ ดังนั้น ทุกแฮกเกอร์จึงอยากเข้าไปในมัน ผู้เชี่ยวชาญด้านความปลอดภัยคิดในตอนแรกว่าการป้องกันไดเรกทอรีด้วยรหัสผ่านเป็นความคิดที่ดี แต่เราตระหนักรู้ภายหลังว่า นี่ไม่ใช่แนวทางปฏิบัติที่ดี

การป้องกันโฟลเดอร์ wp-admin ด้วยรหัสผ่าน ทำให้ฟังก์ชัน AJAX บนเว็บไซต์ WordPress ของคุณเสียหาย และทำให้ปลั๊กอินหลายตัวทำงานผิดปกติ หากคุณดำเนินการเว็บไซต์ WooCommerce โค้ด AJAX ที่เสียหายสามารถทำลายฟังก์ชันค้นหาและองค์ประกอบ UX สำคัญอื่นๆ ได้

ทำไมคุณควรปกป้องเว็บไซต์จากแฮกเกอร์?

บทความนี้มีข้อมูลมากมายเกี่ยวกับวิธีปกป้องเว็บไซต์จากแฮกเกอร์ และเราอาจได้กล่าวถึงเรื่องนี้ไปแล้วหลายครั้ง แต่คุ้มค่าที่จะพูดซ้ำ เว็บไซต์ของคุณมีค่า

เมื่อเราบอกว่ามีค่า เราไม่ได้หมายถึงแค่คุณและผู้เยี่ยมชมของคุณ อาจคุณมีร้านค้าออนไลน์เล็กๆ หรือบล็อกงานอดิเรกที่กลุ่มคนเล็กๆ เยี่ยมชมเป็นประจำ ข้อตกลงคือ แม้ผลกำไรโดยตรงจากการแฮกเว็บไซต์ของคุณจะไม่ใหญ่ ประโยชน์ของการมีเว็บไซต์ที่สะอาดเพื่อขายสินค้าผิดกฎหมายหรือตลาดเทายังคงทำให้การแฮ็กคุ้มค่าสำหรับแฮกเกอร์

ดังนั้น เว็บไซต์ขนาดเล็ก ไม่ใช่ การป้องกันเจตนาอันตราย

อีกทั้ง มันเป็นหน้าที่ของเราทุกคนที่จะปกป้องข้อมูลและข้อมูลประจำตัวของผู้ใช้ พวกเขาวางความไว้วางใจในเว็บไซต์ระดับหนึ่งโดยการเยี่ยมชม และเราควรมีสติและคำนึงถึงพวกเขาเมื่อพิจารณาความปลอดภัยเว็บไซต์

สรุป

คุณสามารถหยุดแฮกเกอร์ได้โดยการมีสติปัญญาและใช้แนวทางเชิงรุก (Proactive) ต่อความปลอดภัย สำคัญที่ต้องตระหนักว่า การปกป้องเว็บไซต์จากแฮกเกอร์และการโจมตีอันตราย เป็น กระบวนการต่อเนื่อง (Ongoing Process) มีขั้นตอนที่คุณสามารถทำครั้งเดียว แต่ส่วนใหญ่คุณต้องตระหนักถึงการเปลี่ยนแปลงในภูมิทัศน์ภัยคุกคาม

นอกจากนี้ ไม่มีบทความ เว็บไซต์ หรือผู้เชี่ยวชาญรายใดที่สามารถช่วยให้คุณหยุดการแฮ็กที่เป็นไปได้ทั้งหมด บทความ เว็บไซต์ หรือผู้เชี่ยวชาญที่อ้างว่าทำได้ ไม่ได้พูดจริง

ดังนั้น แม้เราจะไม่สามารถสัญญาได้ว่าบทความนี้จะทำให้เว็บไซต์ของคุณปลอดภัยตลอดกาล แต่เราได้ให้คำแนะนำความปลอดภัยทั่วไปที่จะทำให้เว็บไซต์ของคุณยากที่จะถูกแฮ็กมากขึ้น ด้วยเคล็ดลับในบทความนี้ คุณจะสามารถซ่อมแซมช่องโหว่หลายประการในความปลอดภัยเว็บไซต์ของคุณได้

คำถามที่พบบ่อย (FAQs)

ฉันจะปกป้องเว็บไซต์ของฉันจากแฮกเกอร์อย่างไร?

มีหลายขั้นตอนที่คุณสามารถทำเพื่อปกป้องเว็บไซต์จากแฮกเกอร์ นี่คือเคล็ดลับความปลอดภัยอันดับต้นๆ:

1. ติดตั้งปลั๊กอินความปลอดภัยที่มีไฟร์วอลล์ดี
2. นำการยืนยันตัวตน 2 ปัจจัย (2FA) ไปใช้
3. จำกัดจำนวนครั้งที่พยายามเข้าสู่ระบบ
4. อัปเดตปลั๊กอินและธีมให้เป็นปัจจุบัน
5. ติดตั้ง SSL
6. เลือกโฮสต์เว็บที่น่าเชื่อถือ

ทำไมฉันต้องปกป้องเว็บไซต์จากแฮกเกอร์?

แฮกเกอร์มีประโยชน์มากจากการโจมตีเว็บไซต์ของคุณ นอกจากความเสียหายทางการเงินโดยตรงที่คุณอาจเผชิญ ข้อมูลของผู้เยี่ยมชมจะถูกคุกคาม และพวกเขาก็จะเผชิญกับผลกระทบจากการถูกขโมยข้อมูล

เว็บไซต์ที่ดีไม่จำเป็นต้องใหญ่จึงจะมีกำไร กิจกรรมอันตรายและผิดกฎหมายหลายอย่างสามารถทำได้บนเว็บไซต์ขนาดเล็กที่ถูกแฮ็กเช่นกัน

ฉันควรนำ 2FA ไปใช้หรือไม่?

ใช่ การยืนยันตัวตน 2 ปัจจัย (2FA) เป็นระบบที่ยอดเยี่ยมสำหรับการล็อกอินเว็บไซต์ มันต้องการโทเคนเพิ่มเติมขณะลงชื่อเข้าใช้ นอกเหนือจากชื่อผู้ใช้และรหัสผ่าน สมมติฐานคือ แม้แฮกเกอร์จะได้ข้อมูลเข้าสู่ระบบของคุณไป พวกเขาก็ไม่น่าจะมีอุปกรณ์ของคุณ (หรือสิ่งที่คุณใช้รับโทเคนตัวที่สอง) นี่เป็นกลไกที่มีประสิทธิภาพในการกันไม่ให้เข้าถึงโดยไม่ได้รับอนุญาต และถูกใช้กันอย่างแพร่หลายบนอินเทอร์เน็ตแล้ว

ฉันควรนำมาตรการป้องกันไปใช้กี่ข้อเพื่อปกป้องเว็บไซต์จากแฮกเกอร์?

เป็นความเข้าใจผิดทั่วไปว่าการทำทุกอย่างจะทำให้เว็บไซต์ปลอดภัยที่สุด หนึ่งในเหตุผลที่เราไม่รวมข้อมูลที่พบบ่อยมากจากบทความนี้คือ การทำทุกอย่างไม่ได้ทำให้เว็บไซต์ของคุณปลอดภัยขึ้นจริงๆ กลับกัน เพื่อประโยชน์เพิ่มเติมที่น้อยมาก คุณจะทำให้เว็บไซต์ของคุณใช้งานยากขึ้น

บทความนี้ประกอบด้วยมาตรการที่คุณสามารถนำไปใช้ได้อย่างปลอดภัย เพื่อเพิ่มระดับการปกป้องเว็บไซต์จากแฮกเกอร์ โดยไม่เสียสละประสบการณ์ผู้ใช้มากนัก