จะติดตั้ง Joomla ใหม่ได้อย่างปลอดภัยได้อย่างไร

การกระทำที่ควรทำหลังจากการติดตั้ง Joomla ใหม่เพื่อให้ปลอดภัย ทั้งบนเซิร์ฟเวอร์โฮสต์ที่ใช้ร่วมกันและเซิร์ฟเวอร์เฉพาะ

การรักษาเว็บไซต์ Joomla ให้ปลอดภัย

1. ใช้รหัสผ่านที่คาดเดายาก
2. ลดจำนวนบัญชีผู้ดูแลระบบให้น้อยที่สุด
3. ปิดใช้งานหรือลบบัญชีผู้ใช้ที่ไม่ได้ใช้
4. ลดจำนวนส่วนขยายของบุคคลที่สามให้น้อยที่สุดและในกรณีที่จำเป็นต้องใช้ส่วนขยายของบุคคลที่สามให้ใช้ส่วนขยายที่ได้รับการสนับสนุนที่ดีจากนักพัฒนาซอฟต์แวร์ที่คุณไว้วางใจ
5. ใช้การปรับปรุงล่าสุดกับ Joomla และส่วนขยายของบุคคลที่สามเป็นประจำรวมถึงโปรแกรมแก้ไขด่วนด้านความปลอดภัยสำหรับรุ่น Joomla EOLตามความเหมาะสม
6. สมัครสมาชิกฟีดข่าวความปลอดภัยของ Joomlaเพื่อให้คุณได้รับการแจ้งเกี่ยวกับการปรับปรุงความปลอดภัย Joomla
7. สมัครสมาชิกJoomla Vulnerable Extensions List (VEL)เพื่อให้ช่องโหว่ใหม่สามารถเข้าร่วมได้อย่างรวดเร็ว เลื่อนไปที่ด้านล่างของหน้าสำหรับการเชื่อมโยงการสมัครสมาชิก - คุณยังสามารถทำตามVEL บนทวิตเตอร์
8. ใช้เว็บโฮสติ้งที่มีความปลอดภัยคุณภาพดีรวมถึงตัวจัดการไฟล์ PHP ที่เหมาะสมเช่น suPHP หรือ FastCGI และส่วนขยายความปลอดภัยเช่น mod_security ใช้เวอร์ชันที่สนับสนุน PHP
9. แทนที่จะพึ่งพาการสำรองข้อมูล บริษัท เว็บโฮสติ้งของคุณ แต่เพียงผู้เดียวให้ทำการสำรองข้อมูลเว็บไซต์ของคุณเป็นประจำคัดลอกไฟล์สำรองนอกสถานที่และเรียกใช้การทดสอบเป็นประจำเพื่อคืนค่าตำแหน่งการทดสอบเพื่อตรวจสอบคุณภาพการสำรองข้อมูลของคุณ
10. เปิดใช้งาน https
11. ติดตั้งไฟร์วอลล์เว็บแอปพลิเคชันเช่นที่ให้มาพร้อมกับเครื่องมือการดูแลระบบ Akeeba รุ่นมืออาชีพ
12. อย่าใช้คำนำหน้าตารางมาตรฐาน
13. เปลี่ยนชื่อผู้ใช้และรหัสผู้ใช้ Super Administrator เป็นค่าอื่น เครื่องมือการดูแลระบบ Akeeba รุ่นมืออาชีพมีเครื่องมือในการเปลี่ยนรหัสผู้ดูแลระบบขั้นสูง
14. จำกัด การเข้าถึง Joomla Admin โดย IP อนุญาต IP ที่เชื่อถือได้เท่านั้น
15. เปิดใช้งานการรับรองความถูกต้อง 2 ระดับสำหรับบัญชีผู้ดูแลระบบ (ใช้กับ Joomla 3.2 และใหม่กว่า)
16. ทำซ้ำขั้นตอนข้างต้นสำหรับเว็บไซต์อื่น ๆ ที่ใช้บัญชีโฮสติ้งเดียวกันหรือแยกเว็บไซต์ให้เป็นบัญชีโฮสติ้งเว็บของตนเองเพื่อป้องกันการปนเปื้อนข้าม
17. ตรวจสอบให้แน่ใจว่าคอมพิวเตอร์ส่วนบุคคลของผู้ดูแลเว็บไซต์มีความปลอดภัยเช่นเดียวกัน ตัวอย่างเช่นใช้โปรแกรมสแกนไวรัสและมัลแวร์คุณภาพดี ซึ่งจะช่วยปกป้องข้อมูลรับรองเว็บไซต์ใด ๆ ที่เก็บไว้ในคอมพิวเตอร์ส่วนบุคคล ใช้เครื่องมือเข้ารหัสหรือแอปพลิเคชันในการจัดเก็บเว็บไซต์และข้อมูลประจำตัวอื่น ๆ
18. อ่านเคล็ดลับผู้ดูแลระบบที่โง่เขลา 10 อันดับแรกสำหรับข้อมูลเกี่ยวกับสิ่งที่ไม่ควรทำ

สำหรับคำแนะนำรายละเอียดเพิ่มเติมโปรดดูที่อย่างเป็นทางการของรายการตรวจสอบการรักษาความปลอดภัย

การสำรองข้อมูลเก็บไว้ในเซิร์ฟเวอร์แยกต่างหากเป็นสิ่งสำคัญ ฉันเห็นผู้คนจำนวนมากที่ใช้ Akeeba Backups อย่างซื่อสัตย์ ... และพวกเขากำลังถูกเก็บไว้ในเซิร์ฟเวอร์เดียวกันในไดเรกทอรีรากเดียวกัน ไม่เป็นประโยชน์หากคุณถูกแฮ็กอย่างจริงจังและไม่เป็นประโยชน์ในการกู้คืนจากความล้มเหลวของโฮสต์

Akeeba Backup Pro ช่วยให้คุณสามารถจัดเก็บและจัดการไฟล์สำรองข้อมูลในที่จัดเก็บข้อมูลภายนอกเช่นคลาวด์ของ Amazon

เป็นทางเลือกแทนไฟล์. htaccess หรือล็อคโดยใช้ IP คุณสามารถใช้ jSecure เพื่อความปลอดภัยในการเข้าสู่ระบบของผู้ดูแลระบบ

สิ่งหนึ่งที่ไม่ได้กล่าวถึงคือการใช้ผู้ให้บริการโฮสต์ที่มีชื่อเสียง คุณต้องการสิ่งที่ไม่เพียง แต่รักษาความปลอดภัย แต่จะทำงานร่วมกับคุณหากคุณถูกแฮ็กหรือมีปัญหา (ฐานข้อมูลเสียหายเช่น) แนวคิดคือการจำกัดความเสียหายที่ไซต์ของคุณทำขณะที่อนุญาตให้คุณทำความสะอาด

แนวคิดพื้นฐานคุณต้องการใครสักคนที่ ..

• จะเป็นรอบ
• ไม่ใช่การบินกลางคืน
• จะทำงานร่วมกับคุณ
• และให้สภาพแวดล้อมที่มั่นคง

หากคุณต้องการรายการคำถามเพื่อขอโฮสต์ให้รู้สึกดีขึ้นเพียงแจ้งให้เราทราบ

หวังว่านี่จะช่วยได้

ลองสิ่งนี้เช่นกัน

• ทำให้ Joomla ของคุณทันสมัยอยู่เสมอพร้อมกับส่วนขยาย
• สำรองข้อมูลเว็บไซต์ของคุณเป็นประจำในระบบคลาวด์
• อย่าเปิดrobots.txtสำหรับโฟลเดอร์ที่ปลอดภัย
• สำหรับ Joomla รุ่นล่าสุดการใช้การรับรองความถูกต้องด้วยสองปัจจัยจะมีความปลอดภัยมากกว่า
• ตรวจสอบให้แน่ใจว่าโฟลเดอร์และไฟล์ได้รับอนุญาตอย่างถูกต้อง
• ใช้ Cloudfare สำหรับJoomla

หวังว่ามันจะช่วย ..

โดยพื้นฐานแล้วจากประสบการณ์ของฉันด้วยขนาดของ Joomla ไม่มีวิธีที่จะปลอดภัยอย่างแท้จริง ดังนั้นแทนที่จะเป็นนโยบายความปลอดภัยที่สมบูรณ์แบบที่จะหยุดทุกอย่างดีที่สุดที่จะนำความคาดหวังของคุณลงมาเพื่อลองและลดความเสียหายโดยรวม

ซึ่งสามารถทำได้ด้วยนโยบายการสำรองข้อมูลที่บ่อยครั้งมากเพื่อให้สามารถย้อนกลับไปที่ไซต์ใด ๆ ที่ถูกบุกรุกรวมถึงการสแกนมัลแวร์ จนถึงตอนนี้ยังไม่มีการแฮ็กหนึ่งครั้งเนื่องจากคณะผู้ดูแลระบบของเราถูกบังคับให้ดุร้าย

การแฮ็กส่วนใหญ่ที่เราเห็นนั้นมาจากองค์ประกอบของบุคคลที่สามหรือแกน Joomla เรายังเห็นแฮ็คที่สามารถจัดการกับ Joomla รุ่นล่าสุดได้เช่นกัน นี่เป็นเพราะแฮ็คมักจะดูเหมือนคำขอปกติโดยใช้การกรองที่ไม่ดีเพื่อส่งไฟล์ไปยังเซิร์ฟเวอร์ เมื่อไฟล์อยู่ในเซิร์ฟเวอร์ทุกอย่างเป็นเกมที่ยุติธรรมไฟล์นั้นอาจอยู่ในไซต์ใดก็ได้ในเซิร์ฟเวอร์ที่ใช้ร่วมกันทั้งหมดและยังคงส่งผลกระทบต่อคุณดังนั้นหากบุคคลหนึ่งคนบนเซิร์ฟเวอร์ที่ใช้ร่วมกันไม่ได้รับการอัปเดต

นี่อาจจะดูรุนแรงไปหน่อย แต่จากประสบการณ์ส่วนตัวแล้วควรเตรียมตัวให้พร้อมสำหรับสิ่งที่เลวร้ายที่สุดจากนั้นจึงมั่นใจว่านโยบายของคุณจะป้องกันได้หมด

ดังนั้นวิธีที่ดีที่สุดในการรักษาความปลอดภัยการติดตั้ง Joomla ใหม่คือการสำรองข้อมูลบ่อยๆและเปิดใช้งานการสแกนมัลแวร์หากสแกนเนอร์มัลแวร์สามารถส่งอีเมลถึงคุณทันทีที่พบสิ่งใดก็ตามคุณสามารถย้อนกลับสู่การสำรองข้อมูลล่าสุดได้ภายในระยะเวลาอันสั้น

1. เปลี่ยนชื่อผู้ใช้และรักษารหัสผ่านของผู้ดูแลระบบให้เข้มแข็งใช้การรับรองความถูกต้องด้วยสองปัจจัย (inbuilt สำหรับ 3.3+ สำหรับผู้อื่นhttp://www.readybytes.net/labs/two-factor-authentication.html )

2. ติดตั้ง kSecure ( http://extensions.joomla.org/extensions/access-a-security/site-security/login-protection/12271 )

3. ปกป้องเว็บไซต์ของคุณจากการถูกโจมตีหลายชนิดด้วยการใช้ htaccess นี้http://docs.joomla.org/Htaccess_examples_(security)

ยืมรายการนี้จากเอกสาร "การทดสอบไซต์ Joomla" ที่พบในบล็อก ฉันคิดว่ารายการนี้เป็นแนวทางอย่างละเอียดสำหรับความปลอดภัยขั้นพื้นฐานของ Joomla

1. ทำให้ Joomla เป็นรุ่นล่าสุดเสมอ ติดตั้งการอัปเกรดล่าสุดทันทีที่มีการเปิดตัวการอัพเกรด
2. ไม่ว่าส่วนขยายใดจะถูกใช้งานพวกเขาจะต้องได้รับการปะแก้อย่างถูกต้องกับการอัพเกรดรุ่นล่าสุด ส่วนขยายเก่า ๆ อาจทำให้ผู้โจมตีมีวิธีในการประนีประนอมเว็บไซต์
3. อย่าใช้ส่วนขยายที่ไม่ได้ใช้งานหรือที่ไม่ได้ทดสอบอย่างถูกต้อง
4. อินพุตของผู้ใช้ทั้งหมดต้องได้รับการตรวจสอบอย่างถูกต้อง อินพุตเหล่านี้อาจเป็นอินพุตในรูปแบบ URI อัพโหลดรูปภาพเป็นต้นสมมติว่าถ้าปุ่ม BROWSE ทำให้ผู้ใช้สามารถอัพโหลดรูปภาพได้จะต้องเปิดใช้งานให้เขาอัปโหลดรูปภาพเท่านั้นและไม่ใช่เชลล์ PHP ซึ่งในภายหลังอาจทำงานเหมือนแบ็คดอร์ เซิฟเวอร์.

5. ใช้รหัสผ่านที่คาดเดายากสำหรับการเข้าสู่ระบบทั้งหมด อย่างน้อย 8 ตัวอักษรอักขระพิเศษหนึ่งตัวหมายเลขหนึ่งตัวและหนึ่งตัวพิมพ์เล็ก มันจะปกป้องการติดตั้งของคุณจากแรงเดรัจฉาน

6. ติดตาม“ ผู้เยี่ยมชมล่าสุด” เสมอในล็อกไฟล์ของเว็บเซิร์ฟเวอร์เพื่อตรวจจับการโจมตีที่อาจเกิดขึ้น อย่าพิจารณาไฟล์บันทึกของคุณเป็นเพียงส่วนหนึ่งของข้อมูล มันมีประโยชน์อย่างมากในการติดตามและตรวจสอบผู้ใช้

7. เน้นที่การเพิ่มความปลอดภัยให้กับเซิร์ฟเวอร์ทั้งหมดที่คุณใช้เว็บไซต์ Joomla เป็นหลัก ไม่ว่าจะเป็นโฮสต์บนเซิร์ฟเวอร์ที่ใช้ร่วมกันหรือเซิร์ฟเวอร์เฉพาะ

8. ทำรายการส่วนขยายทั้งหมดที่คุณใช้และตรวจสอบต่อไป

9. ติดตามตัวเองด้วยช่องโหว่และการเปิดเผยข้อมูลล่าสุดตามคำแนะนำด้านความปลอดภัยต่างๆ Exploit-db, osvdb, CVE ฯลฯ เป็นแหล่งข้อมูลที่ดี

10. เปลี่ยนการอนุญาตในไฟล์. htaccess ของคุณตามค่าเริ่มต้นโดยใช้สิทธิ์การเขียน (เนื่องจาก Joomla จำเป็นต้องอัปเดต) แนวปฏิบัติที่เหมาะสมที่สุดคือใช้ 444 (r-xr-xr-x)

11. ต้องให้สิทธิ์ไฟล์ที่ถูกต้องในไดเรกทอรีสาธารณะเพื่อให้ไฟล์ที่เป็นอันตรายใด ๆ จะต้องไม่ถูกอัพโหลดหรือดำเนินการ แนวปฏิบัติที่ดีที่สุดในบริบทนี้คือ 766 (rwxrw-rw-) กล่าวคือมีเพียงเจ้าของเท่านั้นที่สามารถอ่านเขียนและดำเนินการได้ คนอื่นสามารถอ่านและเขียนได้เท่านั้น

12. ไม่มีใครจะต้องได้รับอนุญาตให้เขียนลงในไฟล์ PHP บนเซิร์ฟเวอร์ พวกเขาทั้งหมดจะต้องถูกตั้งค่าด้วย 444 (r — r — r--) ทุกคนสามารถอ่านได้เท่านั้น

13. มอบหมายบทบาท ทำให้บัญชีผู้ดูแลระบบของคุณปลอดภัย ในกรณีที่บางคนแฮ็คเครื่องของคุณจะต้องมีการเข้าถึงผู้ใช้ที่เกี่ยวข้องเท่านั้นและไม่ใช่บัญชีผู้ดูแลระบบ

14. ผู้ใช้ฐานข้อมูลจะต้องได้รับอนุญาตให้ใช้คำสั่งเช่น INSERT, UPDATE และ DELETE เท่านั้น พวกเขาจะต้องไม่ได้รับอนุญาตให้ตาราง DROP

15. เปลี่ยนชื่อโฟลเดอร์แบ็คเอนด์เช่นคุณสามารถเปลี่ยน / administrator เป็น / admin12345 16. แก้ไขล่าสุด แต่ไม่ท้ายสุดปรับปรุงด้วยช่องโหว่ล่าสุด

    • เอกสารครบถ้วนสามารถดูได้ที่นี่: http://www.exploit-db.com/wp-content/themes/exploit/docs/22763.pdf

ด่านแรกของคุณคือบริการโฮสติ้งของคุณ

• เช่าเซิร์ฟเวอร์เฉพาะจากบริการโฮสติ้งที่เชื่อถือได้
• ตรวจสอบให้แน่ใจว่าคุณเปิดใช้งาน 2FA บนเซิร์ฟเวอร์ของคุณและใช้รหัสผ่าน 'VERY STRONG'
• ติดตั้งไฟร์วอลล์ที่เชื่อถือได้บนเซิร์ฟเวอร์ของคุณ - ฉันใช้ ConfigServer
• ติดตั้ง / กำหนดค่าโปรแกรมป้องกันไวรัสฉันใช้ ClamAV
• ตรวจสอบให้แน่ใจว่าชื่อผู้ใช้เว็บไซต์แต่ละรายการไม่ใช้อักขระ 8 ตัวแรกของชื่อโดเมนและใช้รหัสผ่าน 'VERY STRONG'
• ตรวจสอบให้แน่ใจว่าแต่ละเว็บไซต์มีใบรับรอง SSL ติดตั้งอยู่
• ตรวจสอบให้แน่ใจว่าแต่ละเว็บไซต์มี 'In Jail' ซึ่งหมายความว่าพวกเขาไม่มีสิทธิ์เข้าถึงรูตเว้นแต่ว่าคุณต้องการเข้าถึงรูทเซิร์ฟเวอร์ ในกรณีนี้ตรวจสอบให้แน่ใจว่าคุณได้ติดตั้งและกำหนดค่า Secure Shell (SSH) แล้ว ฉันใช้เว็บไซต์โดเมนเซิร์ฟเวอร์ของฉัน แต่มีเว็บไซต์อื่น ๆ ทั้งหมด 'อยู่ในคุก'
• ตรวจสอบให้แน่ใจว่ามีการติดตั้งการอัพเดทเซิร์ฟเวอร์ทั้งหมดทันที !!!!

แนวป้องกันถัดไปของคุณคือ cPanel ของคุณ

• ใช้รหัสผ่าน "VERY STRONG"
• กำหนดค่าความแข็งแกร่งของรหัสผ่านผู้ใช้สำหรับผู้ใช้
• ตั้งค่างาน cron เพื่อทำการสำรองข้อมูลแบบเต็ม cPanel และบันทึกลงในแหล่งภายนอก
• ตรวจสอบให้แน่ใจว่า cPanel ได้รับการตั้งค่าให้ใช้ SSL สำหรับการเข้าถึง
• เรียกใช้ 'การตรวจสอบความปลอดภัยของเว็บไซต์' เพื่อดูว่ามีความจำเป็นในการปรับแต่งแบบใด
• ตรวจสอบให้แน่ใจว่ามีการติดตั้งอัพเดต cPanel ทั้งหมดทันที !!!!

แนวป้องกันถัดไปของคุณคือแผงผู้ดูแลระบบของคุณ

• แก้ไขข้อกำหนดรูปแบบรหัสผ่านเพื่อให้แน่ใจว่ารหัสผ่านที่รัดกุม (ตัวอักษรตัวพิมพ์ใหญ่ / ตัวพิมพ์เล็กตัวเลขและเครื่องหมายวรรคตอนอย่างน้อย 1 ตัวที่มีความยาวต่ำสุด 18 อักขระ
• เปิดใช้งาน 2FA สำหรับผู้ใช้ - ใช้สำหรับบัญชี Super User และ Administrator
• จำกัด จำนวน # บัญชีผู้ใช้ขั้นสูง (ควรมีบัญชีเดียว)
• จำกัด จำนวนบัญชีผู้ดูแลระบบ (ยิ่งน้อยยิ่งดี)
• จำกัด พื้นที่ที่ผู้ดูแลระบบสามารถเข้าถึงได้
• จำกัด พื้นที่ที่ผู้เผยแพร่ผู้แก้ไขและผู้เขียนสามารถเข้าถึงได้
• ติดตั้งและกำหนดค่า AdminTools
• ตั้งค่ารหัสผ่าน URL ผู้ดูแลระบบผ่าน AdminTools
• ตรวจสอบให้แน่ใจว่าไฟล์สำคัญ (HTACCESS, ROBOTS.TXT, WEBCONFIG, INDEX.PHP (ทั้งรูทและเทมเพลต) ถูกตั้งค่าเป็น 444 คุณยังคงสามารถแก้ไขไฟล์ผ่าน cPanel pr Plesk ตัวจัดการไฟล์ของแผงควบคุม
• ติดตั้งและกำหนดค่า AkeebaBackup
• กำหนดค่า AkeebaBackup เพื่อบันทึกการสำรองข้อมูลภายนอกนอกสถานที่
• ติดตั้งเฉพาะส่วนเสริมผ่านทางหน้าส่วนขยายของ Joomla อย่าติดตั้งส่วนเสริมจากบุคคลที่สามที่ไม่ได้อยู่ในหน้าส่วนขยายของ Joomla
• ปิดการใช้งานและ / หรือถอนการติดตั้งส่วนเสริมที่ไม่ได้ใช้และไม่จำเป็นสำหรับฟังก์ชั่น Joomla
• ติดตั้ง Joomla และ Add-on อัพเดททันที !!!

ฉันแน่ใจว่ามีขั้นตอนอื่น ๆ แต่สิ่งเหล่านี้เป็นขั้นตอนหลักที่ฉันใช้บนเซิร์ฟเวอร์ที่โฮสต์เว็บไซต์มากกว่า 70 แห่งจากทั่วประเทศ ฉันเพิ่งมีการโจมตีครั้งใหญ่คล้ายกับการโจมตี DDoS และไม่สามารถเข้าถึงเว็บไซต์ใดเว็บไซต์หนึ่งได้ ฉันรู้สึกสูง 10 ฟุตและมีสัญลักษณ์แสดงหัวข้อ แต่ฉันรู้ว่าฉันไม่สามารถชะล่าใจได้เพราะพรุ่งนี้เป็นวันอื่น! ฮ่า ๆ

1. ฉันไม่ใช่แฟนของการรับรองความถูกต้องสองปัจจัย

2. ติดตั้งเครื่องมือการดูแลระบบ Akeeba เปิดใช้งาน htaccess ขั้นสูงตรวจสอบตัวเลือกและไฟร์วอลล์ซอฟต์แวร์

https://www.akeebabackup.com/download/admin-tools.html

1. เปิดใช้งานรหัสผ่าน URL ส่วนหลัง