محافظت از سایت وردپرسی در برابر آسیب پذیری روز صفر

محافظت از سایت وردپرسی در برابر آسیب پذیری روز صفر

تهدیدات امنیتی در همه حوزه ها از جمله حوزه وب در همه اشکال و اندازه ها بوده، هست و خواهد بود اما یک توصیه دائمی همواره وجود دارد: “آخرین به روزرسانی را نصب کنید”. با این حال، گاهی اوقات شرایطی پیش می آید که هیچ وصله امنیتی در دسترس نیست، زیرا شما و فروشنده نرم افزار به طور همزمان از آسیب پذیری مطلع می شوید. خوشبختانه هنوز راه هایی برای ایمن نگه داشتن وب سایت شما وجود دارد. با انجام برخی دستورالعمل های تست شده، می توانید از سایت وردپرس خود را در برابر انواع حملات، از جمله آسیب پذیری ترسناک صفر روز محافظت کنید.

در این مقاله، به طور دقیق به بررسی این تهدید امنیتی می پردازیم و اینکه چرا در جامعه وردپرس اینقدر جدی گرفته شده است. سپس راه کارهایی را ارائه می دهیم که بتوانید از سایت وردپرسی خود در برابر آسیب پذیری های روز صفر که هنوز کشف نشده اند محافظت کنید.

مقدمه ای بر آسیب پذیری های روز صفر

آسیب پذیری های روز صفر به دلیل نام متمایز آنها بلافاصله پس از شناسایی سروصدای زیادی را ایجاد می کنند. اصطلاح “روز صفر” به دهه ۱۹۹۰ بر میگردد، زمانی که افراد سودجو نرم افزارهای تجاری را به طور غیرقانونی از طریق نوعی تابلو اعلانات به اشتراک می گذاشتند. در آن زمان مردم، نرم افزار دزدی را بر اساس روز طبقه بندی می کردند. به عنوان مثال، اگر یک نرم افزار خاص به مدت ۵۰ روز در دسترس عموم بود، آنها آن را نرم افزار ۵۰ روزه می نامیدند.

Zero day به نرم افزاری اشاره کرد که به طور رسمی برای عموم منتشر نشده بود. و کد برنامه، با هک شدن شبکه فروشنده و یا سرقت برنامه منتشر نشده، به دست می آمد.

صنعت امنیت این اصطلاح را برای نشان دادن آسیب پذیری شناخته شده برای فروشنده استفاده کرده است، اما وصله ای برای آن، هنوز در دسترس نیست. به عبارت دیگر، حفره امنیتی کاربران را در معرض خطر قرار می دهد و فروشنده صفر روز فرصت دارد تا مشکل را حل کند.

اصطلاحات همراه Zero day

“پنجره آسیب پذیری یا Window of Vulnerability (WoV)” اصطلاح دیگری است که اغلب در کنار روز صفر استفاده می شود. این فاصله زمانی است که فروشنده با آسیب پذیری آشنا می شود و وصله ای را برای عموم منتشر می کند.

آخرین اصطلاح مرتبط که اغلب با آسیب پذیری روز صفر همراه است، “آسیب پذیری همه روزه” است. در اینجا، همه در مورد یک حفره امنیتی می دانند و توسعه دهنده اصلی قصد رفع آن را ندارد.

این معمولاً به این دلیل رخ می دهد که نرم افزار دیگر به طور فعال نگهداری نمی شود. اگر پروژه مورد نظر منبع باز باشد، ممکن است خودتان بتوانید به بررسی کد و یافتن راه حلی برای مشکل خود بپردازید. با این حال، به عنوان یک قاعده کلی، عاقلانه است که به دنبال نرم افزاری باشید که هنوز در حال توسعه فعال است.

چرا محافظت از وب سایت وردپرس مهم است؟

وردپرس اکنون بیش از ۴۰ درصد از وب را در اختیار دارد. در حالی که این محبوبیت بیانگر قدرت آن به عنوان یک سیستم مدیریت محتوا (CMS) است، اما وردپرس را به یک هدف اصلی برای هکرها تبدیل می کند. اگر شخص ثالث مخرب بتواند یک آسیب پذیری روز صفر در وردپرس را کشف کند، می تواند به طور بالقوه از این نقطه ضعف واحد در برابر میلیون ها وب سایت استفاده کند.

آسیب پذیری روز صفر

شواهد زیادی وجود دارد که نشان می دهد هکرها به طور فعال آسیب پذیری های وردپرس را هدف قرار می دهند.

اگر هکر موفق به دسترسی غیرمجاز به سایت شما شود، عواقب آن می تواند فاجعه بار باشد. مهاجم ممکن است سایت شما را از دسترس خارج کند، بازدیدکنندگان شما را فریب دهد تا ویروس ها را بارگیری کنند یا آنها را به یک وب سایت اسپم هدایت کند. همه این اقدامات می تواند به اعتبار وب سایت شما آسیب برساند. حتی ممکن است مدتها بعد از اینکه به هک رسیدگی کرده اید، بر میزان ترافیک و نرخ تبدیل شما تأثیر بگذارد.

حتی بدتر، مهاجم ممکن است داده های شما را حذف یا حتی سرقت کند. اگر از سایت تجارت الکترونیک استفاده می کنید، ممکن است شامل اطلاعات کارت اعتباری یا بدهی مشتریان شما باشد. بسته به موقعیت جغرافیایی شما و ماهیت نقض، ممکن است دچار عواقب قانونی ناخوشاندی شوید. اگر دادگاهی تصمیم بگیرد که شما اقدامات کافی را برای محافظت از داده های مخاطبان خود انجام نداده اید، می تواند جریمه سنگینی را در پی داشته باشد.

وقتی یک آسیب پذیری روز صفر جدید اعلام می شود، سرعت همه چیز است. برای کمک به حرکت سریع، شش نکته محافظت از سایت وردپرسی در برابر آسیب پذیری های روز صفر یادآوری شده است.

  1. بروزرسانی ها را بررسی کنید

هر زمان که در مورد آسیب پذیری روز صفر می شنوید، اطمینان حاصل کنید که آخرین نسخه نرم افزار آسیب دیده را اجرا می کنید. حتی ممکن است متوجه شوید که یک وصله امنیتی در حال حاضر موجود است که می توانید آن را نصب کنید.

 

برای بررسی به روزرسانی های هسته وردپرس، به Dashboard> Updates بروید. اگر نسخه جدیدی در دسترس است، می توانید دستورالعمل های روی صفحه را برای بارگیری و نصب آن دنبال کنید.

برای بررسی افزونه ها، افزونه ها را از داشبورد وردپرس انتخاب کرده و سپس هر بروزرسانی که موجود است را نصب کنید.

  1. تم یا افزونه را غیرفعال کنید

تهدیدهای روز صفر می تواند بر هر پروژه ای، از جمله هسته وردپرس تأثیر بگذارد. با این حال، تم ها و افزونه ها بیشتر مستعد مسائل امنیتی هستند. خوشبختانه مدیریت تهدیدهای روز صفر در تم ها و افزونه ها در مقایسه با مسائل مربوط به هسته وردپرس اغلب آسان تر است. اگر توسعه دهنده اصلی هنوز وصله ای را منتشر نکرده است، همیشه می توانید تم یا افزونه ای را که حاوی این آسیب پذیری است حذف کنید.

آسیب پذیری روز صفر

شایان ذکر است که غیرفعال کردن افزونه ها همیشه کافی نیست. اشخاص ثالث مخرب ممکن است هنوز بتوانند به فایلهای حساس دسترسی داشته و از آنها سوء استفاده کنند، حتی اگر افزونه یا موضوع غیرفعال باشد. به همین دلیل، توصیه می شود برنامه مورد نظر را غیرفعال و سپس حذف کنید.

برخی از موضوعات و افزونه ها دارای اهمیت تجاری هستند. اگر سایت شما به نرم افزار خاصی وابسته است ، حذف آن ممکن است همیشه ساده نباشد. حتی اگر آمادگی دست کشیدن از برنامه خاصی را ندارید، ممکن است بتوانید آن را موقتاً حذف کرده و سپس یک افزونه معادل وردپرس را جایگزین کنید.

  1. از فایروال استفاده کنید

بسیاری از برنامه های امنیتی برای مطابقت موفقیت آمیز آسیب ها و متوقف کردن آنها به تطبیق الگوها متکی هستند. با این حال، آنها باید بدانند که بدنبال چه چیزی هستند. حتی بهترین نرم افزارها ممکن است برای دفاع در برابر تهدیدی که به تازگی شناسایی شده است، دچار مشکل شوند.

این بدان معنا نیست که سایت شما بی دفاع است. به طور خاص، یک دیوار آتش می تواند از وب سایت وردپرس شما در برابر بسیاری از حملات رایج، از جمله تزریق Structured Query Language (SQL) و حملات Scripting Cross-Site (XSS)  و همچنین یک آسیب پذیری روز صفر که شاید در آینده کشف شود، دفاع کند.

وقتی صحبت از فایروال ها می شود ، چندین گزینه دارید:

  • اگر سرور خصوصی مجازی دارید می توانید از Advanced Policy Firewall استفاده کنید.
  • می توانید قوانین دسترسی مبتنی بر IP را با استفاده از iptables ایجاد کنید.
  • استفاده از افزونه ای مانند Wordfence Security. این فایروال برنامه وب (WAF) پرونده ها ، تم ها و افزونه های اصلی سایت شما را برای وجود بدافزار بررسی می کند.
  1. سایت خود را از نظر رفتار مشکوک بررسی کنید

یکی از موارد مهم دیگری که برای محافظت از سایت وردپرسی در برابر آسیب پذیری روز صفر می تواند به شما کمک کند، استفاده از افزونه WP Activity Log است. WP Activity Log یک افزونه محبوب است که فعالیت های مختلف را ثبت می کند. هر بار که شخصی تغییراتی در تنظیمات، قالب ها، افزونه ها یا پایگاه داده وردپرس شما ایجاد می کند، این افزونه آن را به گزارش فعالیت شما اضافه می کند. افزونه WP Activity Log همچنین تغییرات شبکه چند سایت را ثبت می کند. این شامل افزودن، حذف یا بایگانی سایت ها و همچنین حذف کاربران است.

آسیب پذیری روز صفر

اگر کسی هر یک از فایل های وردپرس شما را ایجاد، اصلاح یا حذف کند، این نیز در گزارش فعالیت شما ظاهر می شود. اگر از نسخه رایگان استفاده می کنید، می توانید گزارش فعالیت را در هر نقطه با رفتن به WP Activity Log> Log View مشاهده کنید.

  1. با آخرین اخبار امنیتی به روز باشید

زمانیکه یک فرد یا تیمی یک حفره امنیتی را کشف می کند، اعلام عمومی اینکه آنها یک حفره امنیتی را شناسایی کرده اند، تبلیغ خوبی برای آنها است. با وجود این انگیزه، اکثر محققان امنیتی برای اعلام عمومی، با فروشنده برنامه دارای آسیب پذیری، به توافق می رسند. که اغلب شامل تأخیر در انتشار گزارش آنها تا زمانی که راه حلی پیدا نشده است، می شود.

با این حال، برخی از آسیب پذیری های روز صفر قبل از انتشار وصله اعلام می شود. حتی بدتر، گاهی اوقات یک خلأ امنیتی بدون اطلاع فروشنده از قبل به اطلاع عموم می رسد. این امر به ویژه هنگامی رایج است که شخص ثالث مخرب اولین کسی باشد که این حفره را کشف کرده است.

 

دنبال کردن وبلاگ های محبوب مانند Sucuri WordPress Security ، وبلاگ رسمی وردپرس و وبلاگ Wordfence کمک می کند تا از آسیب پذیری ها و اخبار روز در حوزه وردپرس مطلع شوید.

  1. یک هاستینگ امن انتخاب کنید

هیچ شرکت هاستینگی نمی تواند قول دهد که سایت شما را از آسیب پذیری هایی که هنوز کشف نشده مصون می دارد. با این حال، یک میزبان خوب دارای ویژگی های امنیتی است که استفاده از این نقاط ضعف را برای مهاجمان دشوارتر می کند.

آسیب پذیری روز صفر

به عنوان مثال، یک هکر ممکن است سعی کند از آسیب پذیری روز صفر برای حمله XSS به سایت شما استفاده کند. ممکن است شرکت هاستینگی که شما از خدمات آن استفاده می کنید، از این روزنه امنیتی جدید کاملاً بی خبر باشد. با این حال، آنها هنوز هم می توانند حمله XSS را متوقف کنند. این کار از آسیب رساندن هکر به سایت شما یا سرقت اطلاعات شما جلوگیری می کند.

جمع بندی

پیش بینی آینده غیرممکن است، به این معنی که آماده شدن برای آسیب پذیری های روز صفر آسان نیست. خوشبختانه با رعایت برخی از بهترین شیوه های امنیتی در حال حاضر، می توانید سایت خود را بسیار کمتر مستعد انواع حملات، از جمله تهدیدهای روز صفر، قرار دهید.

ابزارهای امنیتی مانند لاگرها و فایروال می توانند استفاده از نقاط ضعف هنوز کشف نشده علیه شما را، برای هکرها دشوارتر کنند. همچنین توصیه می شود با دنبال کردن وبلاگ های محبوب وردپرس از آخرین اخبار اصلی، موضوع و افزونه مطلع باشید.

 

 

گروه طراحی وب سایت الین وب آماده است تا شما را در راه اندازی کسب و کار آنلاین مخصوص به خودتان همراهی کند. ما می خواهیم بخشی از دلیل موفقیتتان باشیم. پس با ما همراه باشید.

مونا ارادتی

مونا ارادتی

مونا ارادتی هستم، فارغ التحصیل کارشناسی ارشد مهندسی فناوری اطلاعات. همیشه در حال یادگیری چیزهای جدید هستم.
مونا ارادتی

مونا ارادتی

مونا ارادتی هستم، فارغ التحصیل کارشناسی ارشد مهندسی فناوری اطلاعات. همیشه در حال یادگیری چیزهای جدید هستم.

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد.

اگر مایلی تا از تخفیف دوره ها با خبر بشی یا جز اولین افرادی باشی که از انتشار دوره ها و آموزش های جدید خبردار میشه، عضو خبرنامه شو.