วิธีป้องกันมัลแวร์ใน WordPress

มัลแวร์อาจเข้ามาผ่านช่องโหว่ในปลั๊กอินหรือธีม บัญชีผู้ดูแลที่ถูกยึด หรือไฟล์ที่อัปโหลดจากแหล่งไม่น่าเชื่อถือ การป้องกันจึงควรทำหลายชั้น ตั้งแต่การอัปเดตระบบไปจนถึงการดูแลคอมพิวเตอร์และบัญชีที่ใช้จัดการเว็บไซต์

❶ อัปเดต WordPress ธีม และปลั๊กอิน

ตรวจรายการอัปเดตเป็นประจำ และติดตั้งรุ่นที่แก้ไขช่องโหว่แล้ว อัปเดตทั้ง WordPress ธีม และปลั๊กอิน เพราะส่วนเสริมที่ล้าสมัยอาจเป็นช่องทางให้มัลแวร์เข้าถึงเว็บไซต์ได้

ก่อนอัปเดตครั้งสำคัญ ให้สำรองไฟล์และฐานข้อมูล ตรวจความเข้ากันได้ของปลั๊กอิน และทดสอบฟังก์ชันสำคัญหลังอัปเดต

❷ ติดตั้งส่วนเสริมจากแหล่งที่เชื่อถือได้

เลือกธีมและปลั๊กอินจากคลัง WordPress หรือผู้พัฒนาที่น่าเชื่อถือ ตรวจประวัติการอัปเดต ความเข้ากันได้ และช่องทางติดต่อผู้พัฒนา หลีกเลี่ยงไฟล์ที่ถูกดัดแปลงหรือแจกจากแหล่งที่ไม่ทราบที่มา

ลบธีมและปลั๊กอินที่ไม่ใช้งาน เพื่อลดจำนวนไฟล์ที่ต้องดูแลและอัปเดต อย่าติดตั้งส่วนเสริมหลายตัวที่ทำหน้าที่ซ้ำกันโดยไม่จำเป็น

❸ ป้องกันบัญชีผู้ดูแล

ใช้รหัสผ่านยาวและไม่ซ้ำกับบัญชีอื่น เปิด Two-Factor Authentication (2FA) ให้บัญชีผู้ดูแล และตรวจรายชื่อผู้ใช้เป็นระยะ ลบบัญชีที่ไม่จำเป็นและกำหนดสิทธิ์ตามหน้าที่

ป้องกันบัญชีอีเมลและโฮสติ้งที่ใช้จัดการ WordPress ด้วย เพราะผู้ที่เข้าถึงบัญชีเหล่านี้อาจเปลี่ยนรหัสผ่านหรืออัปโหลดไฟล์เว็บไซต์ได้

❹ จำกัดการเข้าถึงไฟล์และหลังบ้าน

ตั้งสิทธิ์ไฟล์และโฟลเดอร์ตามที่โฮสติ้งแนะนำ หลีกเลี่ยงการเปิดสิทธิ์กว้างเกินจำเป็น และอย่าตั้งไฟล์หรือโฟลเดอร์เป็น 777 เพื่อแก้ปัญหาอัปโหลด

ปิดตัวแก้ไขไฟล์ธีมและปลั๊กอินจากหลังบ้าน หากไม่จำเป็นต้องใช้ และให้เฉพาะผู้ดูแลที่ได้รับอนุญาตจัดการไฟล์เว็บไซต์ หากไม่แน่ใจเรื่องสิทธิ์ไฟล์หรือการตั้งค่าเซิร์ฟเวอร์ ให้ถามโฮสติ้งก่อนแก้ไข

❺ ดูแลคอมพิวเตอร์และการเชื่อมต่อที่ใช้จัดการเว็บไซต์

อัปเดตระบบปฏิบัติการและเบราว์เซอร์ที่ใช้ล็อกอิน WordPress ตรวจคอมพิวเตอร์ที่ใช้จัดการเว็บให้ปลอดจากไวรัสหรือโปรแกรมดักจับข้อมูล และหลีกเลี่ยงการบันทึกรหัสผ่านบนอุปกรณ์ที่ผู้อื่นใช้ร่วมกัน

ใช้การเชื่อมต่อที่ปลอดภัยเมื่อล็อกอินหรือส่งไฟล์เว็บไซต์ หากต้องอัปโหลดไฟล์ ให้ใช้ช่องทางที่โฮสติ้งแนะนำและตรวจไฟล์ก่อนนำขึ้นระบบ

❻ ใช้ WAF และเครื่องมือตรวจสอบเป็นชั้นเสริม

WAF หรือปลั๊กอินความปลอดภัยอาจช่วยกรองคำขออันตราย แจ้งเตือนไฟล์เปลี่ยนแปลง และช่วยตรวจมัลแวร์ เลือกเครื่องมือจากแหล่งที่เชื่อถือได้และอัปเดตอยู่เสมอ

ผลสแกนที่ไม่พบมัลแวร์ไม่ได้รับประกันว่าเว็บไซต์ปลอดภัยทั้งหมด ควรใช้ร่วมกับการอัปเดต การตรวจบัญชีผู้ใช้ และการสำรองข้อมูล ComSiam แนะนำให้ตั้งการแจ้งเตือนและตรวจรายงานเป็นระยะ แทนการรอจนเว็บไซต์แสดงอาการผิดปกติ

❼ สำรองข้อมูลและเตรียมแผนกู้คืน

สำรองทั้งไฟล์เว็บไซต์และฐานข้อมูล เก็บสำเนาไว้อีกสถานที่หนึ่งนอกโฮสติ้ง และทดสอบกู้คืนเพื่อให้แน่ใจว่าสำเนาใช้งานได้ หากเว็บไซต์ติดมัลแวร์ ไฟล์สำรองช่วยให้กู้คืนได้เร็วขึ้น แต่ควรตรวจวันที่และความสะอาดของข้อมูลก่อนนำกลับมาใช้

❽ เช็กลิสต์ป้องกันมัลแวร์ใน WordPress

• อัปเดต WordPress ธีม และปลั๊กอิน
• ใช้ส่วนเสริมจากแหล่งที่เชื่อถือได้
• ลบธีมและปลั๊กอินที่ไม่จำเป็น
• ใช้รหัสผ่านเฉพาะและเปิด 2FA
• ตรวจบัญชีผู้ใช้และสิทธิ์ไฟล์
• อัปเดตคอมพิวเตอร์ที่ใช้จัดการเว็บไซต์
• ใช้ WAF หรือเครื่องมือตรวจสอบเป็นชั้นเสริม
• สำรองไฟล์และฐานข้อมูล พร้อมทดสอบการกู้คืน

การป้องกันมัลแวร์ต้องดูแลทั้งเว็บไซต์ บัญชี และอุปกรณ์ที่ใช้จัดการเว็บอย่างต่อเนื่อง สำหรับเว็บไซต์ของ ComSiam ควรมีข้อมูลสำรองที่กู้คืนได้จริงและทบทวนการอัปเดตเป็นประจำ