保护您的 WordPress 网站免受勒索软件攻击

对于任何从事安全工作的人来说,过去两年勒索软件事件激增,各行各业的公司损失数百万美元,这并不奇怪。根据最近的 报告 根据安全与技术研究所的数据,勒索软件攻击使企业平均损失 21 天的停机时间。

WordPress 勒索软件

全球各地的分析师都在半夜不断被惊醒以应对勒索软件攻击。因为 WordPress 是市场份额的领导者(所有网站的 39.5% 由 WordPress;对于内容管理系统,这个数字跃升至 64.1%),我的 SOC 分析师团队对响应 WordPress 安全问题并不陌生。我们一次又一次学到的一个教训是:预防性安全措施是您可以针对勒索软件攻击采取的最有效步骤。

对于目前在 WordPress 平台上的企业,我们汇总了五个易于遵循的提示:

1.做你的功课:只使用最值得信赖的WordPress插件

WordPress 插件的选择和安装应采用相同的第三方风险评估措施(与您计划使用的任何其他技术解决方案一样)。重要的是要超越插件的功能并正确研究其开发人员:

  • 该插件是否有可靠的评论和高评分?
  • 插件的文档是否完整,是否包含指向开发人员网站的链接?
  • 它有多少活动安装以及上次更新时间?

确保您网站上的所有插件都经过适当审查并持续更新,可以最大限度地减少您网站的漏洞。

2. 创建 WordPress 强化指南以概述安全最佳实践

一个有效的安全插件将验证网站配置并提供更高级别的保护,但拥有 WordPress 强化指南可为安全最佳实践奠定基础。您的强化指南应作为维护和更新网站安全措施的手册,其中包含从用户管理规则到安装多因素权限插件或更改 WordPress URL 的指南的所有信息。

管理您的 WordPress 的人也拥有强化指南很重要,确保指南中列出的步骤得到实施,并且安全或 IT 团队执行定期审核。

3. 发布内容安全策略

除了 WordPress 强化指南之外,发布内容安全策略 (CSP) 还通过为可以在网页上运行的 JavaScript 建立协议以及整个网站的功能如何工作来增加额外的保护层。它有助于防止跨站点脚本 (XSS) 和跨站点请求伪造 (CSRF) 攻击,并应尽可能限制。除非您的开发团队添加了可能被现有策略阻止的新功能,否则不需要重新访问 CSP。

有效的 CSP 解决方案的一个很好的例子是 SELinux:一旦您确定您正在运行的应用程序清除了所有安全检查,您就可以启用它,并且只有在网页功能发生变化时才重新访问您的 CSP。

4. 使用受密码保护的环境来锁定所有登台和开发实例

通常,开发和登台实例保存在门户后面或附加到混淆的 URL,但会发生错误。为您的登台和开发环境添加密码保护可确保它们保持锁定状态并免受希望造成伤害的不良行为者,甚至可能在不知不觉中利用您的 WordPress 平台中的漏洞的无辜管理员用户的侵害。

5. 运行事件响应 (IR) 桌面练习以识别漏洞并完善您的恢复计划

An IR 模拟勒索软件攻击的桌面练习,其中您的 WordPress 站点是入口点,允许您的安全团队在发生事件时采取必要的措施,并确保您对关键问题有答案。例如,如果您需要聘请第三方站点管理员,联系谁?他们能多快做出反应? IR 桌面练习可以回答这些问题,并允许您的安全团队训练他们希望不需要经常使用的“肌肉”。

这五个技巧都集中在保护您的 WordPress 网站的预防措施上。不幸的是,即使是遵循所有规则的最安全的网站也可能成为攻击者的受害者。如果您遇到这种情况,请记住,在回答以下两个问题之前,事件不会得到解决:

1. 勒索软件如何影响您的业务?
2. 它是如何进入您的网站的?

除非您对这两个问题有了答案,并且可以清晰简明地讲述所发生的事情,否则您的勒索软件攻击将仍然是一个悬而未决的案例。




分享这个