เว็บไซต์ Joomla ถูกโจมตีต้องทำอย่างไร? แผนรับมือฉุกเฉินทีละขั้น

เมื่อสงสัยว่าเว็บไซต์ Joomla ถูกโจมตี ให้จำกัดการเข้าถึง แจ้งโฮสติ้ง และเก็บไฟล์กับ Log ก่อนเริ่มลบหรือกู้คืน อย่ารีบคืนค่าแบ็กอัปโดยไม่ตรวจสอบ เพราะชุดสำรองอาจมีไฟล์ที่ถูกแก้ไขหรือช่องทางแฝงจากการโจมตีอยู่แล้ว

❶ ควบคุมเหตุและเก็บหลักฐาน

① จำกัดการเข้าถึงเว็บไซต์

หากเว็บแสดงมัลแวร์ เปลี่ยนเส้นทาง หรือส่งผลกระทบต่อผู้เข้าชม ให้ปิดเว็บชั่วคราวหรือจำกัดการเข้าถึงตามวิธีที่โฮสติ้งแนะนำ อย่าลบไฟล์ต้องสงสัยก่อนเก็บข้อมูล เพราะอาจทำให้ตรวจหาสาเหตุได้ยากขึ้น

② ติดต่อผู้ให้บริการโฮสติ้ง

แจ้งเวลาที่พบปัญหา อาการที่เห็น และหน้าเว็บที่ได้รับผลกระทบ ขอให้ช่วยตรวจ Access Log, Error Log, การเปลี่ยนแปลงไฟล์ และงาน Cron ที่ไม่รู้จัก ComSiam แนะนำให้ประสานโฮสติ้งตั้งแต่ต้น โดยเฉพาะเมื่อสงสัยว่าบัญชีเซิร์ฟเวอร์หรือฐานข้อมูลถูกเข้าถึง

③ สำรองสภาพเว็บไซต์ที่พบเหตุ

เก็บสำเนาไฟล์ ฐานข้อมูล และ Log ปัจจุบันไว้ในพื้นที่ที่ปลอดภัย แยกจากเว็บไซต์จริง เพื่อใช้ตรวจสอบเหตุการณ์และเก็บหลักฐานก่อนทำความสะอาด

❷ ปิดช่องทางเข้าถึงที่อาจถูกยึด

① เปลี่ยนรหัสผ่านบัญชีสำคัญจากอุปกรณ์ที่ปลอดภัย

เปลี่ยนรหัสผ่านอีเมลผู้ดูแล โฮสติ้ง แผงควบคุม FTP หรือ SFTP, ฐานข้อมูล และบัญชี Joomla โดยเริ่มจากบัญชีที่ใช้กู้ระบบ ใช้รหัสผ่านใหม่ไม่ซ้ำกัน และเปิดการยืนยันตัวตนหลายขั้นตอนเมื่อรองรับ

② ตรวจผู้ใช้และสิทธิ์ผู้ดูแล

ตรวจบัญชีผู้ใช้ กลุ่ม Super Users และอีเมลที่ผูกกับบัญชี ปิดบัญชีที่ไม่รู้จักหลังเก็บข้อมูลที่จำเป็นแล้ว และยกเลิกสิทธิ์ที่เกินความจำเป็น

③ สแกนอุปกรณ์ของผู้ดูแล

ตรวจคอมพิวเตอร์และอุปกรณ์ที่ใช้เข้าสู่ระบบ Joomla, FTP หรือโฮสติ้งด้วยเครื่องมือรักษาความปลอดภัยที่เชื่อถือได้ หากอุปกรณ์ติดมัลแวร์ การเปลี่ยนรหัสผ่านจากอุปกรณ์เดิมอาจทำให้ข้อมูลใหม่ถูกขโมยอีก

❸ ตรวจหาสาเหตุและทำความสะอาดเว็บไซต์

① ตรวจ Log และไฟล์ที่เปลี่ยนแปลง

เทียบเวลาใน Log กับไฟล์ที่ถูกเพิ่มหรือแก้ไข ตรวจ URL และบัญชีที่เกี่ยวข้อง หากไม่มีความรู้ด้านเซิร์ฟเวอร์ ให้ขอผู้เชี่ยวชาญหรือโฮสติ้งช่วยวิเคราะห์ก่อนลบไฟล์

② อัปเดตหรือถอนส่วนเสริมที่เป็นช่องทางโจมตี

ตรวจเวอร์ชัน Joomla, PHP, เทมเพลต และส่วนเสริม หากพบส่วนเสริมมีช่องโหว่ ให้ติดตั้งรุ่นแก้ไขหรือถอนออกตามขั้นตอน อย่าคิดว่าการปิดใช้งานอย่างเดียวจะกำจัดไฟล์ของส่วนเสริมออกจากเซิร์ฟเวอร์

③ ใช้ไฟล์สะอาดและแบ็กอัปที่ผ่านการตรวจ

หากต้องกู้คืน ให้เลือกข้อมูลสำรองที่เชื่อว่าปลอดภัยและสร้างก่อนเกิดเหตุ หากหาแบ็กอัปสะอาดไม่ได้ ให้สร้างไฟล์ระบบจากแพ็กเกจต้นฉบับที่เชื่อถือได้ แล้วนำเนื้อหาหรือไฟล์ที่ตรวจแล้วกลับมา อย่ากู้ทั้งชุดโดยไม่ตรวจ เพราะอาจนำการโจมตีกลับมาด้วย

❹ เปิดเว็บไซต์กลับและติดตามความผิดปกติ

① ทดสอบก่อนเปิดให้ผู้เข้าชม

ตรวจหน้าเว็บ การเข้าสู่ระบบ แบบฟอร์ม ลิงก์ และการเปลี่ยนเส้นทาง ทดสอบบัญชีผู้ดูแลและยืนยันว่าไม่มีข้อความหรือโฆษณาแปลกปลอม

② เฝ้าดู Log และบัญชีผู้ใช้ต่อเนื่อง

ติดตามการเข้าสู่ระบบ ไฟล์ใหม่ การเปลี่ยนแปลงฐานข้อมูล และการแจ้งเตือนจากโฮสติ้งอย่างใกล้ชิด หากอาการกลับมา ให้จำกัดการเข้าถึงและตรวจหาช่องทางที่ยังไม่ถูกปิด

③ บันทึกเหตุการณ์และปรับแผนป้องกัน

จดเวลา อาการ สาเหตุที่พบ ขั้นตอนแก้ไข และผู้รับผิดชอบไว้ สร้างแบ็กอัปชุดใหม่หลังยืนยันว่าเว็บไซต์สะอาด แล้วทดสอบการกู้คืนเป็นระยะ ComSiam แนะนำให้ใช้เหตุการณ์ครั้งนี้ทบทวนสิทธิ์ผู้ใช้ การอัปเดต และการสำรองข้อมูล เพื่อช่วยลดโอกาสเกิดซ้ำ