Checklista
Podstawy, które ograniczają większość ryzyka.
- Aktualny WordPress, motyw i wtyczki. Zdecydowana większość włamań, które analizujemy, wykorzystuje lukę w komponencie nieaktualizowanym od miesięcy lub lat.
- Usunięte nieużywane wtyczki i motywy. Nieużywany, ale zainstalowany komponent to dodatkowa powierzchnia ataku, nawet jeśli jest wyłączony.
- Silne, unikalne hasła i ograniczony dostęp do panelu. Osobne konta dla każdego administratora, bez współdzielonych haseł, najlepiej z dwuskładnikowym uwierzytelnianiem.
- Regularne, testowane kopie zapasowe. Kopia, której nikt nigdy nie próbował przywrócić, to kopia, co do której nie wiadomo, czy zadziała, gdy będzie potrzebna.
- Firewall aplikacyjny (WAF). Warstwa blokująca typowe, znane wzorce ataków, zanim dotrą do samego WordPressa.
- Monitoring zmian plików i dostępności. Coś, co zauważy nieautoryzowaną zmianę pliku albo nagłą niedostępność strony, zanim zauważy to klient.
- Ograniczone uprawnienia plików i katalogów. Poprawne uprawnienia utrudniają rozprzestrzenienie się infekcji, nawet jeśli jeden komponent zostanie przełamany.
Dlaczego jednorazowe wdrożenie tej listy nie wystarcza.
Zabezpieczenia trzeba pilnować w czasie — aktualizacja, która wyjdzie za miesiąc, kopia zapasowa, która przestanie działać niezauważona, albo przypadkowo wyłączony WAF, dokładnie jak w opisanym przez nas case study prawdziwego włamania. Dlatego tę checklistę oferujemy też jako gotowy, stały abonament — patrz plany stałej opieki nad bezpieczeństwem WordPress.