WordPress системийн аюулгүй байдлыг бэхжүүлэх зөвлөмж

WordPress системийн аюулгүй байдлыг бэхжүүлэх зөвлөмж

by
Зөвлөгөө
185 Comments

1.Эмзэг байдлыг шалгах

Автоматжуулсан эмзэг байдал шалгах хэрэгслүүд нь системээс аюулгүй байдлын цоорхой, алдаа, тохиргооноос үүдсэн сул тал, ашиглаж буй плагинуудаас шалтгаалж бий болсон эмзэг байдлуудыг илрүүлэхэд ашиглагддаг. Вордпресс системийн хувьд “wpscan” хэрэгслийн судлаачийн хувилбарыг ашиглаж командын орчинд төлбөргүйгээр шалгах боломжтой бөгөөд кибер аюулгүй байдлын шинжээч, судлаачид тогтмол өгөгдлийн санг шинэчилж, шинээр илэрсэн эмзэг байдлуудыг бүртгэж байдаг. Иймд ямар нэг нэмэлт өртөггүйгээр өөрийн хариуцан ажиллаж буй вордпресс системийн эмзэг байдлыг тогтмол шалгаж, зохих хариу арга хэмжээг авч ажилласнаар учирч болох кибер халдлагаас хамгаалахад өндөр ач холбогдолтой юм.

2.Веб аппликэйшний галт хана ашиглах

Веб аппликэйшний галт хана нь тухайн веб рүү чиглэсэн аливаа хандалтуудад хяналт тавьж SQL injection, Cross-site scripting гэх мэт халдлагын шинжтэй хандалтуудыг илрүүлж, хориглох үйл ажиллагааг зохицуулдаг шийдэл бөгөөд шинэчлэлтийг хамгийн сүүлийн хувилбарт хадгалж чадвал эмзэг байдлын нөхөөс (patch) гараагүй шинэ zero-day төрлийн халдлагуудаас ч хамгаалах онцлогтой. Вордпресс системийн хувьд галт ханыг хамгийн хялбараар хэрэгжүүлэхэд плагин хэлбэрийг сонгох боломжтой юм.

3.Зөвшөөрөгдөөгүй директоруудаас PHP код ажиллуулах

Шаардлагагүй эсхүл зөвшөөрөгдөөгүй гэж үзсэн системийн директоруудаас PHP код ажиллуулах (execution)-ыг хориглосноор аливаа reverse shell, webshell зэрэг хортой скриптүүдээс хамгаалах чухал ач холбогдолтой юм. Уг аюулгүй байдлын дүрмийг веб серверийн “.htaccess” файлд тохируулах боломжтой.

4.Тохиргооны файлыг хамгаалах

Вордпресс системд тохиргооны “wp-config.php” файл өгөгдлийн сангийн мэдээлэл, баталгаажуулалтын түлхүүр, тохиргоо зэрэг нэн чухал мэдээллүүдийг агуулдаг хамгийн эмзэг хэсгүүдийн нэг юм. Иймд тус файлын хандалтын хязгаарлалтыг дээр дурдсан “.htaccess” файлд эсхүл веб хостинг үйлчилгээний удирдлагын самбараас тохируулах зэрэг арга хэмжээ авах нь зүйтэй юм. Түүнчлэн тус файлыг хэн унших, өөрчлөх эрхтэй вэ гэдгийг тодорхойлж зохих хандалтын эрхийн түвшинг (permission) олгоход анхаарах шаардлагатай юм.

6.Системийн wp-includes директорыг хамгаалах

Халдагч этгээдүүд ихэвчлэн уг директорт төвлөрч хортой код хуулах эсхүл веб хэрхэн ажиллаж байгаа талаар мэдээллийг цуглуулдаг байна. Иймд дээр дурдсанчлан хандалтын дүрмүүдийг зохих хэмжээнд тохируулж аюулгүй байдлыг бэхжүүлэх нь зүйтэй.

7.Файлын эрхийн түвшинг зохицуулах

Системийг ажиллуулахад ашиглагдаж буй файлуудын эрхийн түвшинг (permission) нэг бүрчлэн шалгаж хэт өндөр эрх олгогдсон эсэхийг нягтлах шаардлагатай. Халдагч этгээдүүд системд нэвтэрсэн бол ихэвчлэн хандалтын эрхийг хэт өндөр тохируулсан тохиолдлууд илэрдэг.

8.Зайнаас нэвтрэх эрхийг хязгаарлах

Веб серверт FTP, SSH протоколуудаар нэвтрэхэд зөвхөн зөвшөөрөгдсөн буюу байгууллагын IP хаягуудаас хандах зохицуулалтыг хийх шаардлагатай.

9.Файл засварлах боломжийг хязгаарлах

Вордпресс системийн удирдлагын самбар дахь файл засварлах боломжийг хязгаарлах нь зүйтэй юм. Ингэснээр тухайн веб хуудаст нэвтрэх эрх бүхий этгээдүүд нэвтрэх нэр, нууц үгээ алдсан ч удирдлагын самбараас эх кодуудад өөрчлөлт оруулах боломжгүй болох онцлогтой.

10.Файлын жагсаалт харах эрхийг хориглох

Файлын жагсаалт харах Directory listing эмзэг байдал нь манай улсын вебүүдийн хувьд хамгийн түгээмэл тохиолддог алдаа, дутагдал юм. Халдагч этгээдүүд “Google Dorking” аргачлалаар уг алдаа, дутагдлыг илрүүлж тухайн вебийн агуулж буй файлын жагсаалт, ашиглаж буй плагин зэрэг мэдээллүүдийг цуглуулснаар халдлага үйлдэхэд давуу байдал үүсгэх эрсдэлтэй юм. Уг хяналтыг веб серверийн “.htaccess” файлд хялбар тохируулах боломжтой.

11.Өгөгдлийн сангийн анхдагч угтварыг өөрчлөх

Вордпресс системийн хувьд өгөгдлийн сангийн нэршилд “wp_” гэх анхдагч угтвар ашигладаг. Үүнийг өөрчилснөөр халдагч этгээдүүд автоматжуулсан хэрэгсэл ашиглан SQL injection халдлага хийхэд илүү хүндрэлтэй болгох ач холбогдолтой юм.

12.Нэвтрэх хуудсыг нуух

Хэрэглэгчдийн нэвтрэх хуудас нь тус системийн хувьд анхдагч байдлаар “/wp-admin”, “wp-login.php” холбоосоор ханддаг. Халдагч этгээдүүдийн хувьд энэхүү нөхцөл байдлыг ашиглаж нэвтрэх нууц үгийг тааруулах Brute-force төрлийн халдлага хийх тохиолдол түгээмэл ажиглагддаг. Иймд нэвтрэх хуудасны холбоосыг өөрчлөх эсхүл зөвшөөрөгдсөн IP хаягаас хандах боломжтой байдлаар дүрэм тохируулах шаардлагатай.

13.Давхар баталгаажуулалт

Халдагч этгээд Credential leakage, information stealer зэргээр нэвтрэх нэр, нууц үгийг олж авах эрсдэлээс сэргийлж давхар баталгаажуулалтын технологийг хэрэгжүүлэх нь зүйтэй юм. Үүнийг вордпресс системийн хувьд плагин хэлбэрээр хялбархан зохицуулах боломжтой.

14.Идэвхгүй хэрэглэгчдийг гаргах

Вордпресс системд өөрийн бүртгэлээр нэвтэрсэн хэрэглэгчдийг үйлдэл хийхгүй тодорхой хугацаа өнгөрсөн тохиолдолд автоматаар гаргах (logout) тохиргоо хийснээр байгууллагын ажилтан компьютероо хулгайд алдах, эзэнгүй орхих тохиолдлуудаас үүсэх аливаа эрсдэлийг бууруулах ач холбогдолтой юм.

15.Нөөцлөлт

Өгөгдөл барьцаалах ransomware халдлага эсхүл халдагч этгээд веб серверт байршиж байсан файлуудыг устгаснаар цааш үйл ажиллагаа явуулах боломжгүй болох ноцтой эрсдэлтэй юм. Иймд системийн нөөцлөлтийг тогтмол давтамжтай хуулбарлан авч үндсэн серверээс тусад нь хадгалж хэвших шаардлагатай.

16.Лог хадгалах

Халдагч этгээдүүд системд нэвтэрсэн тохиолдолд ямар аргачлалаар нэвтэрснийг олж тогтоон дараагийн шатны, тохирсон аюулгүй байдлын хяналтуудыг хэрэгжүүлэх шаардлагатай юм. Иймд системийн болон веб хуудасны access, audit, auth логуудыг урт хугацаанд хадгалах нь халдлагад хариу үзүүлэх үйл ажиллагааг илүү оновчтой, богино хугацаанд зохион байгуулахад өндөр ач холбогдолтой юм.

Эх сурвалж: https://ncsirt.gov.mn/a/22

 

185 Response Comments

Leave A Comment

Please enter your name. Please enter an valid email address. Please enter a message.