避免 CMS 災難：將您的 WordPress 安全性提升到新的水平

已發表: 2022-11-02

沒有人願意因為遭受客戶數據洩露或災難性網站崩潰而成為下一個突發新聞頭條。

今天的在線威脅以各種形式存在——從掃描已知漏洞的機器人到腳本小子、網絡幫派，甚至是國家行為者。

對於陷入困境的 IT 團隊來說，確保在線形像不受影響可能不僅僅是一份全職工作，“只是為了站穩腳跟”。不幸的是，這通常會為為未來狀態準備站點、其基礎設施和業務的實際任務留下寶貴的帶寬。

在我們避免 CMS 災難系列的第四篇中，我們探討了五種組織及其 IT 監護人可以強化其站點和應用程序以抵禦惡意攻擊、保護敏感客戶數據以及保持其業務始終開放的五種方式。

漏洞管理
網絡安全
數據保護
訪問和身份驗證
違規恢復

1. 漏洞管理

識別和緩解軟件漏洞可能是一項艱鉅的任務，即使對於最大的 IT 團隊也是如此。

漏洞管理需要對組織基礎設施中的漏洞進行持續的識別、分類、優先排序、管理和修復。根據英國國家網絡安全中心的說法，“利用軟件中的已知漏洞仍然是安全事件的最大原因。”

漏洞掃描

對於任何想要最小化其攻擊面的組織來說，定期掃描您的網絡以監控任何新漏洞或對機器的意外開放訪問是必須的。不幸的是，在繁忙的 IT 部門中，維護掃描軟件、查看掃描結果並對其採取行動通常不在優先事項列表中。

WordPress VIP 答案：

我們的平台為您的整個網絡提供安全性——從邊緣安全性到組件之間傳輸的數據保護。例如，DDoS 保護會持續監控 Web 流量，並在檢測到可疑活動時採取主動緩解措施。具有實時通知過程的基於網絡和主機的防火牆可以防止未經授權的訪問嘗試。

漏洞修復

保持應用層更新只是該過程中的一步。所有支持層和基礎設施也需要保持最新。有時會暴露沒有立即修補或需要在您的代碼庫中緩解的漏洞。

要使您的應用程序基礎設施保持最新，需要多個步驟，包括：

檢查每個軟件的更新
構建新版本
測試您的非生產架構
確保沒有引入新問題並隨後修復任何問題
將您的生產應用程序置於維護模式並推出更新

注意：所有這些步驟都應該在應用程序每一層的每個可用補丁上完成。

特別是對於 WordPress，它不僅僅是讓核心和底層基礎設施保持最新。第三方主題和插件必須定期更新和修補。識別添加到您的 WordPress 網站的第三方插件的質量也很重要。有些可能編碼不當或引入安全漏洞——疏忽或惡意。 WPScan、SonarQube 或 PHP_CodeSniffer 等工具可以幫助自動化您的代碼審查，以捕獲引入的不需要的漏洞。

WordPress VIP 答案：

我們的平台由 WordPress 社區的活躍成員管理。當出現問題時，我們會立即對其進行修補，通常是在將修復推送到 WordPress 核心代碼之前。同時，我們主動提醒所有客戶：1) 即將推出的自動 WordPress 更新，檢查以確保它們在我們平台的最新版本上，以及 2) 插件漏洞利用並嘗試在平台級別修補這些問題.

更深入地講，我們對在應用程序的 GitHub 存儲庫中創建的拉取請求使用自動代碼掃描。這可以在代碼投入生產之前識別潛在的安全問題（並且對於評估來自更廣泛的 WordPress 生態系統的插件很有用。）利用我們的 Kubernetes 編排，WordPress VIP 為客戶的應用程序提供零停機時間部署。

最後，基於多年大規模運行 WordPress 的經驗，我們可以緩解常見的攻擊媒介——這要歸功於不斷測試我們的基礎設施的漏洞並聘請獨立的第三方對其進行滲透測試。

2.網絡安全

網絡安全是組織在線形象的重要組成部分。

一流的安全性意味著同時管理基於邊界的安全性和內部網絡安全性。這裡必須考慮和管理多種因素，以有效保護用戶及其數據。

入侵檢測系統

監控和記錄所有網絡流量對於識別惡意或可疑活動至關重要。為了防止未經授權的訪問，安全團隊需要自動規則或提醒系統管理員來審查可疑流量並採取適當的措施。

防火牆

了解允許哪些流量通過您的網絡以及應用程序如何在網絡內部和外部進行通信是最小化安全風險的必要條件。這意味著使用軟件或硬件防火牆設置和審查入口/出口規則，這些防火牆只允許您的應用程序運行必要的網絡流量。

阻止或允許錯誤的流量可能會阻止重要係統執行，或者更糟糕的是，將您的數據庫暴露給全世界。

物理網絡安全

網絡的安全性與其物理安全性一樣。最好的防火牆、入侵檢測系統和威脅管理軟件都可以被惡意行為者繞過，從而物理訪問您的服務器。

數據中心需要多層次的物理安全，例如：

物理訪問控制
環境監測
警報和傳感器
監視
備用電源

所有這些還需要定期審核，以確保它們符合安全最佳實踐。

3. 數據保護

沒有公司希望他們的數據洩露出現在 haveibeenpwned.com 上，讓全世界都能看到。

用戶會很快失去對未將數據保護到預期水平的公司的信任。確保只有經過授權、角色指定的用戶才能訪問敏感的客戶數據，這需要多層保護。

數據加密

您的應用程序和用戶之間的通信需要在傳輸過程中進行加密，以防止數據被第三方攔截或篡改。傳輸層安全性 (TLS) 通常用於加密數據。這需要創建 TLS 證書並確保它們被更新。

由於數據也可以靜態加密，因此需要保護保存在存儲介質（如備份）上的數據。如果惡意行為者確實獲得了訪問權限，他們仍然需要數據加密密鑰才能實際使用數據。

密鑰管理是數據加密的重要組成部分。密鑰在其生命週期中有幾個階段：生成、分發、使用、備份、輪換和銷毀。在每個階段，都需要遵循最佳實踐來確保您的數據安全。

審計跟踪

在堆棧的每個級別上按時間順序記錄應用程序中發生的所有活動對於任何企業來說都是必不可少的。取證調查、檢測安全漏洞及其影響以及了解系統錯誤都需要審計日誌。

審計跟踪需要為多個層和應用程序整理日誌，足夠安全，用戶無法更改它們。他們必須確保按時間順序排列的準確性。這需要知道需要記錄哪些操作，將多個系統連接到 Kibana 等 ELK 工具，使用網絡時間協議 (NTP) 同步系統以使時間戳有意義，並管理對日誌的訪問。

自動警報

了解什麼定義了安全事件、什麼需要手動評估以及應該如何管理它們本身就是一門藝術。

自動日誌分析可以在早期標記可疑行為（如果您知道要查找的內容）。可以針對您的應用程序創建具有預定義或自定義規則的工具。這需要在日誌分析中設置參數以了解何時：

應執行自動化操作以防止攻擊和惡意流量。
系統團隊應手動干預以檢查模式並嘗試確定是否錯誤地標記了良性行為或需要採取行動。

所有這一切都依賴於配置良好的工具和經驗豐富的安全團隊，他們了解您的應用程序的使用模式。沒有企業希望某個內容像病毒一樣傳播開來，只是為了讓他們的系統將其標記為 DDoS 攻擊並阻止流量。

WordPress VIP 答案：

我們為每個客戶端和應用程序維護單獨的容器化數據庫基礎架構，每個客戶端和應用程序都有自己獨特的身份驗證。這降低了應用程序之間未經授權訪問的風險，保護了每個客戶的數據並降低了攻擊風險。我們提供數據庫、文件系統、應用程序和數據中心的安全性，以及每小時加密的備份。我們的原始數據中心符合國際標準化組織 (ISO)、國際電工委員會 (IEC) 27001 認證、認證參與標準 (SSAE) No. 18 (SOC1) 和 SOC2 Type 2。

“安全和隱私是最重要的事情——我們有一個很大的靶心，這迫使我們保持高度警惕。”
— 半島電視台媒體網絡數字首席技術官 David “Hos” Hostetter

案例研究：對於具有全球影響力和影響力的半島電視台來說，將其屬性遷移到一個針對惡意行為者進行強化的 CMS 平台至關重要。閱讀他們選擇 WordPress VIP 的原因。

4.訪問和認證

據 Telesign 稱，超過一半的消費者在整個在線生活中使用五個或更少的密碼，幾乎一半的消費者使用五年未更改的密碼。

訪問用戶帳戶可能是訪問安全系統的最簡單方法之一。這就是為什麼精細訪問控制、多因素身份驗證和/或單點登錄對於具有安全意識的組織如此重要的原因。

訪問控制

精細的訪問控制和實施“最小權限”策略對於保證數據安全和減少應用程序的攻擊面至關重要。最小權限策略規定，用戶只應獲得完成任務所需的權限。例如，確保每個用戶都沒有管理員權限，這意味著如果惡意行為者確實獲得了用戶的憑據，那麼他們能夠造成重大損害的可能性就會受到限制。

單點登錄 (SSO)

使用 SSO，用戶可以通過一組登錄憑據登錄多個服務。如果用戶不存在於特定服務中，有時可以通過使用來自服務的身份提供者的用戶映射來動態配置他們。 Azure AD、Google Apps、AuthO 或 OneLogin 等服務提供 SSO 功能。

SSO 可幫助 IT 部門為用戶設置集中規則，減少恢復丟失密碼的時間，並消除在入職/離職期間手動配置和取消配置用戶的需要。

多因素身份驗證

使用 MFA 可提供進一步的保護，防止您組織的用戶受到威脅。

MFA 需要結合至少兩種身份驗證方法才能登錄。通常，它將使用用戶名和密碼配置為第一層身份驗證，然後是通過硬件設備或 Google Authenticator 等軟件生成的基於時間的身份驗證令牌。此過程的好處是，即使用戶名和密碼被洩露，用戶也無法在沒有身份驗證令牌的情況下登錄，反之亦然。

WordPress VIP 答案：

WordPress VIP 建立在精細訪問控制和權限的基礎上，包括多因素身份驗證、暴力保護、數據訪問審計跟踪和物理安全。這些提供了額外的保護層以防止密碼洩露，防止未經授權的員工或承包商訪問客戶數據，並在檢測到異常行為時在網絡級別動態應用限制。

5. 違規恢復

自動備份和硬件冗餘對於您日常在線業務運營的順利運行至關重要。

備份

備份對於防止數據丟失、防止勒索軟件攻擊和從中斷中快速恢復至關重要。每個組織都應遵循許多備份最佳實踐，以確保他們完全控制和冗餘數據。

定期備份。在降低恢復點目標 (RPO) 和最大限度地減少數據丟失方面，頻率越高越好。
備份冗餘。將備份存儲在多個位置（例如，異地）可確保您仍然可以訪問它們，即使您無法訪問主服務器。
加密備份。即使您的備份存儲受到損害，如果沒有加密密鑰，數據也將毫無用處。
定期測試。定期提取您的備份並在非生產環境中對其進行測試，以確保您的團隊實際上可以使用它們恢復您的站點。

硬件冗餘

如果沒有要恢復的備份硬件，擁有可用備份幾乎沒有用處。

這需要主數據中心內外的冗餘硬件。無論問題出在單個服務器還是整個數據中心，您的團隊都將能夠訪問此硬件以快速恢復在線。

WordPress VIP 答案：

萬一發生違規事件，我們可以幫助客戶快速恢復並恢復業務，這要歸功於多級備份（原始數據中心和異地位置），以及災難恢復和安全違規程序。我們還提供自動將備份發送到您自己的 S3 存儲的功能，以確保您可以對其設置自己的數據保留策略，甚至可以運行自動恢復測試。利用多級冗餘存儲，我們可以在數據丟失之前重建原始或最後復制狀態的數據。 WordPress VIP 還具有多個原始數據中心，在單個數據中心發生故障的情況下，站點可以遷移到這些數據中心。

綜上所述

從漏洞管理到漏洞恢復，工作中的 WordPress VIP 讓組織有機會利用多年的經驗保持高知名度、高規模的基於 WordPress 的網站在線並在面臨威脅時保持安全。

內置多級安全控制和保護——包括邊緣保護、安全網絡、強大的訪問控制、持續安全監控和代碼掃描——WordPress VIP 滿足最嚴格的安全要求。這就是為什麼它受到銀行、製藥、公用事業和政府等高風險行業客戶的信賴。我們也是唯一獲得 FedRAMP 操作權限 (ATO) 的 WordPress 平台。

想要升級到久經考驗、更安全的 CMS？了解有關 WordPress VIP 的更多信息，包括我們在開源軟件方面的深厚根基。只是為了記錄，您現在可以繼續檢查我們的 WordPress VIP 平台狀態。