เช็กลิสต์ความปลอดภัย Joomla: 15 จุดที่ควรตรวจสอบ

ใช้เช็กลิสต์นี้ตรวจเว็บไซต์ Joomla เป็นประจำ เพื่อค้นหาการตั้งค่าที่ล้าสมัย บัญชีที่ไม่ควรมีสิทธิ์ และจุดที่อาจทำให้กู้คืนเว็บไซต์ได้ยาก ควรสำรองข้อมูลก่อนแก้ไขการตั้งค่าระบบหรือโฮสติ้ง

❶ ตรวจระบบ Joomla และส่วนเสริม

① Joomla ใช้รุ่นที่ยังได้รับการดูแล

ตรวจสอบเวอร์ชันในหลังบ้านและวางแผนอัปเดตเมื่อมีรุ่นแก้ไขปัญหาหรือความปลอดภัย ก่อนอัปเดตให้ตรวจสอบความเข้ากันได้กับส่วนเสริมและเทมเพลต

② ส่วนเสริมและเทมเพลตเป็นรุ่นล่าสุด

ตรวจส่วนเสริมทุกตัวที่ติดตั้ง รวมถึงปลั๊กอินและเทมเพลต อัปเดตจากแหล่งที่เชื่อถือได้ และสำรองข้อมูลก่อนดำเนินการ

③ ลบส่วนเสริมที่ไม่ได้ใช้งาน

ปิดและถอนการติดตั้งส่วนเสริมที่ไม่จำเป็น การปิดอย่างเดียวอาจยังเหลือไฟล์ไว้ในเว็บไซต์ ควรตรวจและลบตามวิธีที่ Joomla หรือผู้พัฒนาส่วนเสริมแนะนำ

④ ตรวจแหล่งที่มาและการดูแลส่วนเสริม

หลีกเลี่ยงส่วนเสริมที่ไม่ทราบแหล่งที่มา ไม่มีช่องทางแจ้งปัญหาความปลอดภัย หรือไม่มีการอัปเดตมาเป็นเวลานาน หากไม่แน่ใจ ให้ตรวจสอบกับผู้พัฒนาหรือผู้ดูแลเว็บไซต์ก่อนใช้งานต่อ

❷ ตรวจบัญชีและการเข้าสู่ระบบ

⑤ รหัสผ่านผู้ดูแลไม่ซ้ำกับบริการอื่น

ใช้รหัสผ่านยาวและคาดเดายาก ไม่ใช้รหัสเดียวกับอีเมลหรือเว็บไซต์อื่น และเปลี่ยนทันทีเมื่อสงสัยว่ามีผู้อื่นรู้รหัสผ่าน

⑥ เปิดใช้การยืนยันตัวตนหลายขั้นตอน

เปิดใช้ MFA กับบัญชีผู้ดูแล หากเวอร์ชัน Joomla และวิธีเข้าสู่ระบบรองรับ เก็บวิธีกู้คืนบัญชีไว้ในที่ปลอดภัย

⑦ ตรวจรายชื่อบัญชีผู้ดูแล

ตรวจว่ามีเฉพาะผู้ที่จำเป็นต้องดูแลเว็บไซต์ หากพบชื่อผู้ใช้ที่ไม่รู้จักหรือบัญชีที่ไม่ใช้งาน ให้ตรวจสอบก่อนระงับหรือลบ

⑧ กำหนดสิทธิ์ตามหน้าที่

ให้สิทธิ์ผู้ใช้เท่าที่จำเป็นต่อการทำงาน ผู้เขียนบทความไม่จำเป็นต้องมีสิทธิ์ผู้ดูแลระบบ และควรหลีกเลี่ยงการใช้บัญชีผู้ดูแลร่วมกันหลายคน

❸ ตรวจการเชื่อมต่อ ไฟล์ และข้อมูล

⑨ เว็บไซต์ใช้ HTTPS ได้ถูกต้อง

เปิดเว็บไซต์และหน้าหลังบ้านผ่าน HTTPS ตรวจว่าใบรับรอง SSL ยังไม่หมดอายุ และหน้าเว็บไม่มีทรัพยากรสำคัญที่โหลดผ่านการเชื่อมต่อแบบไม่ปลอดภัย

⑩ สิทธิ์ไฟล์และโฟลเดอร์ไม่เปิดกว้างเกินไป

ตรวจสอบสิทธิ์กับผู้ให้บริการโฮสติ้ง เพราะค่าที่เหมาะสมขึ้นอยู่กับระบบเซิร์ฟเวอร์และวิธีติดตั้ง หลีกเลี่ยงการตั้งสิทธิ์เป็น 777 โดยไม่มีเหตุผล

⑪ การอัปโหลดไฟล์ถูกจำกัดตามความจำเป็น

ตรวจว่าผู้ใช้กลุ่มใดอัปโหลดไฟล์ได้ และอนุญาตเฉพาะชนิดไฟล์ที่เว็บไซต์จำเป็นต้องใช้ หากเว็บไซต์รับไฟล์จากผู้ใช้ ควรตรวจการตั้งค่าความปลอดภัยของส่วนเสริมที่ใช้รับไฟล์ด้วย

⑫ ข้อมูลฐานข้อมูลและไฟล์ตั้งค่าได้รับการปกป้อง

ใช้รหัสผ่านฐานข้อมูลที่คาดเดายาก จำกัดสิทธิ์การเข้าถึงตามความเหมาะสม และไม่เผยแพร่ไฟล์ตั้งค่าหรือข้อมูลเชื่อมต่อฐานข้อมูลในพื้นที่สาธารณะ

❹ ตรวจการสำรองข้อมูลและการเฝ้าระวัง

⑬ สำรองทั้งไฟล์และฐานข้อมูล

ตั้งรอบสำรองข้อมูล เก็บสำเนาไว้นอกเซิร์ฟเวอร์หลัก และทดลองกู้คืนเป็นระยะ การมีไฟล์สำรองอย่างเดียวไม่พอ หากยังไม่เคยทดสอบว่าสามารถนำกลับมาใช้งานได้

⑭ ตรวจบันทึกและความเปลี่ยนแปลงผิดปกติ

หมั่นตรวจบัญชีผู้ใช้ เนื้อหา และไฟล์ที่ถูกเพิ่มหรือแก้ไข หากพบหน้าเว็บแปลกปลอม โฆษณาที่ไม่ได้เพิ่มเอง หรือการเปลี่ยนแปลงที่อธิบายไม่ได้ ให้เก็บข้อมูลและติดต่อผู้ให้บริการโฮสติ้งเพื่อตรวจสอบ

⑮ เตรียมแผนติดต่อและกู้คืนเมื่อเกิดเหตุ

บันทึกช่องทางติดต่อผู้ให้บริการโฮสติ้ง ผู้ดูแลเว็บไซต์ และตำแหน่งจัดเก็บแบ็กอัปไว้ให้ค้นหาได้ หากสงสัยว่าถูกโจมตี ให้เปลี่ยนรหัสผ่านจากอุปกรณ์ที่ปลอดภัยและขอความช่วยเหลือก่อนลบไฟล์ที่อาจเกี่ยวข้องกับเหตุการณ์

ComSiam แนะนำให้ตรวจรายการนี้ทุกเดือน และตรวจซ้ำหลังอัปเดต Joomla เปลี่ยนผู้ดูแล หรือติดตั้งส่วนเสริมใหม่ ควรบันทึกวันที่ตรวจและรายการที่แก้ไขไว้เพื่อให้ติดตามได้

หากพบช่องโหว่หรือพฤติกรรมผิดปกติ อย่าพึ่งพาการสแกนเพียงอย่างเดียว ให้ตรวจบัญชี ส่วนเสริม ไฟล์ และบันทึกของโฮสติ้งร่วมกัน ComSiam แนะนำให้เก็บแบ็กอัปและข้อมูลติดต่อสำหรับกู้คืนไว้พร้อมใช้งานเสมอ