14 เคล็ดลับสำคัญในการปกป้องวีโอไอพีจากภัยคุกคามออนไลน์

การใช้งานเว็บไซต์อีคอมเมิร์ซนั้นเป็นเรื่องที่ท้าทายและคุณควรพิจารณาทำทุกวิถีทางเพื่อให้ปลอดภัยจากการโจมตีทางไซเบอร์.


การคาดการณ์ล่าสุดบอกว่าการเติบโตของอีคอมเมิร์ซทั่วโลกจะเกิดขึ้น สองหลักถึง 2020.

พาณิชย์อิเล็กทรอนิกส์ มีการเติบโตอย่างรวดเร็วเซิร์ฟเวอร์หลายพันเครื่องทำงานทั้งกลางวันและกลางคืนและข้อมูลส่วนตัว (รวมถึงข้อมูลทางการเงิน) เป็นสิ่งล่อใจที่สำคัญสำหรับแฮกเกอร์.

เว็บไซต์อีคอมเมิร์ซเป็นเป้าหมายที่น่าดึงดูดสำหรับผู้ขโมยเนื่องจากข้อมูลส่วนบุคคลและข้อมูลการชำระเงินที่จำเป็นสำหรับการขาย.

Magento มีส่วนแบ่งการตลาดมากกว่า 7% ในแพลตฟอร์ม e-Commerce และการค้นพบล่าสุดโดย Astra เปิดเผยว่า 62% ของร้านค้ามีช่องโหว่อย่างน้อยหนึ่งช่อง.

ในบทความนี้ฉันจะพิจารณา ความปลอดภัยที่สำคัญที่สุดและทันเวลา คำแนะนำสำหรับ Magneto.

ตามปกติแล้วผู้โจมตีจะทำการแคร็กเว็บไซต์อีคอมเมิร์ซ:

  • เพื่อใช้สำหรับสแปมอิเล็กทรอนิกส์
  • เพื่อใช้สำหรับฟิชชิง (ความพยายามในการรับข้อมูลที่ละเอียดอ่อนเช่นรหัสผ่านหรือรายละเอียดบัตรเครดิต)
  • เพื่อ deface หรือเป็นอันตรายต่อเว็บไซต์ของคุณ:
  • เพื่อขโมยข้อมูลที่พวกเขาสามารถใช้เพื่อประโยชน์ของพวกเขา.

ในตอนแรกคุณต้องปกป้องร้านค้าวีโอไอพีของคุณด้วยเหตุผลที่คุณควร ปกป้องข้อมูลของลูกค้า.

ไม่ต้องบอกว่าแฮ็กเกอร์อาจต้องการรับข้อมูลของคุณด้วยเหตุผลบางประการ (ตัวอย่างเช่นในกรอบของการจารกรรมทางอุตสาหกรรม) แต่สิ่งแรกคือคุณไม่ควรให้ข้อมูลส่วนตัวแก่ลูกค้ารวมถึง รายละเอียดบัตรเครดิต.

หากข้อมูลนี้ถูกขโมยเนื่องจากการโจมตีของแฮ็กเกอร์, มันอาจทำร้ายชื่อเสียงของคุณอย่างรุนแรง รวมทั้งสร้างความเสียหายให้กับลูกค้าของคุณ.

ยินดีต้อนรับสู่ใช้กฎความปลอดภัย Magento เหล่านี้กับร้านค้าของคุณ.

การอนุญาตแบบสองปัจจัย

แม้แต่รหัสผ่านที่ปลอดภัยที่สุดก็ไม่มีค่าอะไรหากสามารถขโมยได้ เพื่อเพิ่มระดับความปลอดภัยให้กับร้านค้าของคุณขอแนะนำเป็นอย่างยิ่ง ใช้ปัจจัยการอนุมัติที่สองใด ๆ, เช่นอนุญาตให้แบ็กเอนด์จาก IP ที่เฉพาะเจาะจงใช้การรับรองความถูกต้องสองฝ่าย.

หากต้องการ จำกัด การเข้าถึงแบ็กเอนด์ให้เพิ่มบรรทัดเหล่านี้ในส่วน VirtualHost ของการกำหนดค่า Apache เว็บเซิร์ฟเวอร์ (โปรดระวัง – หากคุณเพิ่มบรรทัดต่อไปนี้ในไฟล์. htaccess จะทำให้เกิดข้อผิดพลาด):

ปฏิเสธคำสั่งอนุญาต
ปฏิเสธจากทั้งหมด
อนุญาตจาก 192.168.100.182 # อย่าลืมอัปเดตด้วย IP ของคุณ

รู้สึกอิสระที่จะตรวจสอบ นามสกุล Amasty, หากคุณกำลังมองหาโซลูชันการตรวจสอบสิทธิ์แบบสองปัจจัยของ Magento.

อัปเดตซอฟต์แวร์ในเวลา

การอัพเดตซอฟต์แวร์ไม่เพียง แต่ให้ฟีเจอร์ใหม่ ๆ เท่านั้น แต่ยังแก้ไขข้อผิดพลาดและกำจัดจุดอ่อน นั่นเป็นสาเหตุ ล้ำ สิ่งสำคัญในการใช้ประโยชน์จากซอฟต์แวร์รุ่นล่าสุดที่มีอยู่ในขณะนี้.

ในการอัพเกรดระบบของคุณให้ใช้คำสั่งพูดสั้น ๆ ดังต่อไปนี้:

RHEL / CentOS

ยำปรับปรุง

Debian / Ubuntu

apt-get update

สำรองข้อมูลเป็นประจำ

ไม่มีใครสามารถปลอดภัยจากการโจมตีของแฮกเกอร์ แต่มีวิธีที่ปลอดภัยกว่า: การสำรองข้อมูลเป็นระยะสามารถช่วยคุณประหยัดจากปัญหาต่าง ๆ ที่อาจมีความสำคัญต่อธุรกิจของคุณ.

คุณควรบันทึกสำเนาสำรองเป็นประจำอย่าพยายามเก็บสำเนาไว้ในเซิร์ฟเวอร์ของเว็บไซต์เดิมและเรียกคืนสำเนาสำรองของคุณบนแซนด์บ็อกซ์เป็นระยะ ๆ เพื่อตรวจสอบว่าทำงานถูกต้องหรือไม่.

การสำรองข้อมูลของคุณบนเซิร์ฟเวอร์ด้วยเว็บไซต์ของคุณนั้นอันตรายไม่เพียงเพราะสำเนาของคุณควรปลอดภัยในกรณีที่เซิร์ฟเวอร์ของคุณพัง แต่เพราะแฮ็กเกอร์ไปยังเซิร์ฟเวอร์ของคุณเขาจะเข้าถึงการสำรองข้อมูลด้วย สำเนาซึ่งแน่นอนว่าไม่ต้องการมาก.

ใช้รหัสผ่านที่ซับซ้อน

ตาม SplashData, 123456 เป็นหนึ่งในรหัสผ่านที่พบบ่อยที่สุดในปี 2013 (และแน่นอนหนึ่งในรหัสที่ไม่ปลอดภัยที่สุด).

รหัสผ่านผู้ดูแลระบบเป็นหลักสำคัญของการรักษาความปลอดภัยร้านค้าคุณภาพเยี่ยมของคุณ. และมันควรจะแข็งแกร่งพอ! พื้นรองเท้าที่เรียบง่ายสามารถแตกได้ง่ายดังนั้นให้ทา อักขระมากกว่าสิบตัวพร้อมตัวพิมพ์เล็กและตัวใหญ่และอักขระพิเศษเช่น ^ $ #% *, ด้วยวิธีนี้รหัสผ่านของคุณจะไม่ถูกบังคับใช้แม้กระทั่งกับโปรแกรมใหม่ล่าสุดมันจะใช้เวลาหลายปีกว่าจะแตก.

คุณสามารถใช้ตัวสร้างรหัสผ่าน LastPass.

ใช้ไฟร์วอลล์

ไฟร์วอลล์มีสองประเภทที่คุณสามารถใช้เพื่อปกป้อง Magento store ของคุณ.

WAF (Web Application Firewall) – ปกป้องร้านค้าออนไลน์ของคุณจากช่องโหว่ความปลอดภัยบนเว็บเช่น SQLi, XSS, การโจมตีแบบ Brute-force, Bot, สแปม, มัลแวร์, DD0S เป็นต้น.

คุณสามารถพิจารณาใช้ WAF บนคลาวด์เพื่อปกป้องจากเลเยอร์ 7.

/ ระบบเครือข่าย ไฟร์วอลล์ – แบนสาธารณะเพื่อทุกสิ่งยกเว้นเว็บเซิร์ฟเวอร์ของคุณ. หากคุณไม่มีที่อยู่ IP ถาวรเพื่อให้สามารถเข้าถึงได้ผ่านไฟร์วอลล์ให้ใช้ VPN หรือ Port Knocking เทคโนโลยี.

ใน RHEL / CentOS คุณสามารถค้นหาการตั้งค่าไฟร์วอลล์ใน / etc / sysconfig / iptables; เมื่อพูดถึง Debian / Ubuntu ให้ใช้ iptables-persistent (/etc/iptables-persistent/rules.v4).

คุณอาจพิจารณาใช้ SUCURI เพื่อตรวจสอบความปลอดภัยอย่างต่อเนื่อง & ป้องกันร้านค้าออนไลน์ของวีโอไอพีของคุณ.

อย่าใช้รหัสผ่านซ้ำบนเว็บไซต์อื่น

ปัญหาด้านความปลอดภัยของวีโอไอพีนี้ทำงานได้กับข้อมูลที่ป้องกันด้วยรหัสผ่านทั้งหมดที่คุณเป็นเจ้าของ ตามที่รายงานโดย passwordresearch.com มากกว่า 15% ของผู้ใช้ใช้รหัสผ่านเดียวกันสำหรับบริการมากมาย.

มีคนไม่มากที่รู้ว่าการใช้รหัสผ่านที่เหมือนกันสำหรับการเข้าสู่ระบบหลายครั้งมีความเสี่ยงในการสูญเสียบัญชีทั้งหมดของคุณทันที.

อีกที: รหัสผ่านทั้งหมดจะต้องไม่ซ้ำกัน, ไม่มีทางอื่น. โปรดใช้ความระมัดระวังวางบทความนี้ไว้สักครู่และเปลี่ยนหากไม่ได้ผล มิฉะนั้นคุณอาจเสี่ยงต่อการบาดเจ็บเนื่องจากความไม่ระมัดระวัง.

เปลี่ยนรหัสผ่านเป็นระยะ                 

รหัสผ่านของคุณไม่ควรจะคงที่ เราขอแนะนำให้เปลี่ยน รหัสผ่านอย่างน้อยทุก ๆ หกเดือน.

แม้ว่ารหัสผ่านจะถูกขโมย (และแม้ว่าแฮ็กเกอร์จะไม่ได้ใช้) การเปลี่ยนแปลงอย่างต่อเนื่องจะทำให้ข้อมูลที่รั่วไหลไปก่อนหน้านี้ไร้ค่า ตรวจสอบให้แน่ใจว่ามีการเปลี่ยนรหัสผ่านสำหรับลูกค้าทั้งหมดที่ใช้เว็บไซต์.

อย่าเก็บรหัสผ่านไว้ในพีซีของคุณ

ส่วนใหญ่ของซอฟต์แวร์โทรจันจะขโมยรหัสผ่านที่คุณบันทึกไว้ คุณควรระมัดระวังเบราว์เซอร์และไคลเอนต์ FTP เนื่องจากรหัสผ่านจะถูกขโมยผ่านแอปพลิเคชันเหล่านี้บ่อยขึ้น.

คุณควร อย่าบันทึกรหัสผ่านที่ใช้ซอฟต์แวร์นี้โดยไม่ใช้รหัสผ่านหลัก (รหัสผ่านที่เข้ารหัสรหัสผ่านที่เหลือในขณะที่เก็บรายละเอียดการเข้าถึง) การละเลยคำแนะนำนี้สามารถนำไปสู่การรั่วไหลของข้อมูลได้อย่างง่ายดาย.

คุณอาจลองใช้เครื่องมือจัดการรหัสผ่านตามที่แสดงไว้ที่นี่.

ใส่ใจกับข้อผิดพลาดหรือกิจกรรมที่น่าสงสัย

ทำการตรวจสอบความปลอดภัยเป็นประจำเพื่อตรวจหาสัญญาณการโจมตีและเมื่อได้รับการติดต่อจากลูกค้าด้วยความกังวลด้านความปลอดภัย คุณอาจต้องการสมัคร การกระทำของผู้ดูแลระบบส่วนขยายบันทึกวีโอไอพี สำหรับจุดประสงค์นี้และได้รับการปรับปรุงด้วยคุณสมบัติต่อไปที่สำคัญสำหรับความปลอดภัยของเว็บ:

  • คุณสามารถตั้งค่าการประกาศสำหรับความพยายามในการเข้าสู่ระบบที่ประสบความสำเร็จจากประเทศที่ผิดปกติเมื่อเทียบกับการเข้าสู่ระบบก่อนหน้า.
  • คุณสามารถตั้งค่าการประกาศสำหรับความพยายามในการเข้าสู่ระบบที่ไม่สำเร็จจำนวนมากในชั่วโมงที่ผ่านมาซึ่งสามารถระบุความพยายามในการทำลาย.
  • สถานะ“ 403 ต้องห้าม” ส่งคืนโดยหน้าล็อกอินที่ล้มเหลวในส่วนแบ็คเอนด์ซึ่งจะช่วยให้การรวมเข้ากับเครื่องมือความปลอดภัยของเซิร์ฟเวอร์.

นอกจากนี้คุณสามารถใช้สแกนเนอร์ความปลอดภัยบนเว็บเพื่อวิเคราะห์เว็บไซต์อีคอมเมิร์ซของคุณเพื่อหาช่องโหว่โดยอัตโนมัติและเป็นระยะ.

เปลี่ยน URL แบ็กเอนด์

วิธีการนี้เป็นเรื่องเกี่ยวกับความปลอดภัยมากขึ้นโดยความสับสน แต่อาจมีประโยชน์ในฐานะวิธีการเพิ่มเติมในการต่อสู้กับบ็อตและการโจมตีด้วยกำลังดุร้าย หากต้องการเปลี่ยน URL ด้านหลังคุณสามารถแก้ไขแอพ / etc / local.xml (ส่วนผู้ดูแลระบบ / เราเตอร์ / adminhtml).

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    [ware_item id=87][/ware_item]
    Like this post? Please share to your friends:
    Adblock
    detector
    map