วิธีใช้ WAF ป้องกันเว็บไซต์ WordPress

WAF หรือ Web Application Firewall ช่วยตรวจและกรองคำขอที่ส่งมายังเว็บไซต์ก่อนถึง WordPress โดยอาจช่วยลดคำขอที่เข้าข่ายโจมตี เช่น การลองเข้าสู่ระบบจำนวนมาก หรือคำขอที่พยายามใช้ช่องโหว่ของเว็บไซต์ อย่างไรก็ตาม WAF ไม่สามารถทดแทนการอัปเดต WordPress การสำรองข้อมูล และการตั้งค่าบัญชีให้ปลอดภัยได้

❶ เลือกตำแหน่งติดตั้ง WAF

WAF สำหรับเว็บไซต์ WordPress มีได้หลายรูปแบบ แต่ละแบบทำงานในตำแหน่งต่างกัน ควรเลือกให้เหมาะกับโฮสติ้ง ความรู้ด้านการดูแลระบบ และบริการที่เว็บไซต์ใช้อยู่

① WAF ที่ทำงานผ่าน CDN หรือบริการพร็อกซี

บริการลักษณะนี้รับคำขอจากผู้เข้าชมและกรองก่อนส่งต่อไปยังเซิร์ฟเวอร์ โดยมักต้องปรับ DNS ให้ทราฟฟิกเว็บไซต์ผ่านบริการนั้นก่อน ตรวจสอบขั้นตอนกับผู้ให้บริการ และทดสอบว่าโดเมนย่อย อีเมล และบริการที่เกี่ยวข้องยังทำงานปกติ

② WAF ระดับโฮสติ้งหรือเซิร์ฟเวอร์

WAF อาจติดตั้งหรือเปิดใช้โดยผู้ให้บริการโฮสติ้ง เพื่อกรองคำขอก่อนถึง WordPress สอบถามโฮสติ้งว่ามีระบบป้องกันใดเปิดใช้อยู่ และสามารถดูบันทึกเหตุการณ์หรือปรับกฎสำหรับเว็บไซต์ได้อย่างไร

③ ปลั๊กอินไฟร์วอลล์ใน WordPress

ปลั๊กอินความปลอดภัยบางตัวกรองคำขอขณะ WordPress กำลังทำงาน ตรวจสอบว่าเข้ากันได้กับโฮสติ้งและปลั๊กอินอื่นหรือไม่ และหลีกเลี่ยงการเปิดใช้ปลั๊กอินไฟร์วอลล์หลายตัวที่ทำงานซ้ำกัน

❷ เปิดใช้กฎป้องกันอย่างเป็นขั้นตอน

เริ่มจากเปิดชุดกฎที่ผู้ให้บริการแนะนำสำหรับ WordPress แล้วติดตามผลก่อนปรับกฎเพิ่มเติม อย่าเปิดกฎจำนวนมากโดยไม่ทดสอบ เพราะอาจบล็อกผู้ใช้จริงหรือการทำงานของปลั๊กอิน

① เริ่มจากโหมดตรวจสอบเมื่อมีให้เลือก

หากระบบมีโหมดบันทึกหรือทดสอบ ให้ใช้เพื่อตรวจว่าคำขอใดจะถูกบล็อกก่อนตั้งให้ปฏิเสธจริง จากนั้นค่อยเปิดกฎที่เหมาะกับเว็บไซต์

② ตั้งการจำกัดคำขอเข้าสู่ระบบ

หาก WAF รองรับ ให้กำหนดการจำกัดคำขอที่ส่งไปยังหน้าเข้าสู่ระบบตามแนวทางของผู้ให้บริการ ระวังไม่ตั้งค่าจนผู้ดูแลหรือผู้ใช้จริงถูกบล็อก โดยเฉพาะเว็บไซต์ที่มีสมาชิกหรือระบบอีคอมเมิร์ซ

③ ทบทวนข้อยกเว้นอย่างระมัดระวัง

หากกฎบล็อกงานที่ถูกต้อง เช่น การบันทึกบทความหรือการส่งแบบฟอร์ม ให้ตรวจบันทึกเพื่อระบุกฎที่ตรงกับคำขอนั้น แล้วปรับเฉพาะกฎหรือเส้นทางที่จำเป็น หลีกเลี่ยงการปิด WAF ทั้งเว็บไซต์เพื่อแก้ปัญหาเฉพาะจุด

❸ ตรวจให้ทราฟฟิกผ่าน WAF จริง

WAF ที่อยู่หน้าระบบจะช่วยกรองคำขอได้ก็ต่อเมื่อทราฟฟิกเว็บไซต์ผ่านบริการนั้น ตรวจสถานะการตั้งค่า DNS และบันทึกเหตุการณ์ในแผงควบคุมของผู้ให้บริการ หากผู้เข้าชมยังเชื่อมต่อถึงเซิร์ฟเวอร์โดยตรงได้ อาจต้องให้โฮสติ้งช่วยจำกัดการเข้าถึงเซิร์ฟเวอร์ต้นทาง

① ตรวจ DNS และโดเมนที่เกี่ยวข้อง

ตรวจระเบียน DNS ที่ใช้ให้บริการเว็บไซต์ เช่น โดเมนหลักและโดเมนย่อย ให้แน่ใจว่ารายการที่ต้องผ่าน WAF ถูกตั้งค่าตามขั้นตอนของผู้ให้บริการ อย่าเปลี่ยนระเบียนอีเมลโดยไม่จำเป็น

② ระวังการเปิดเผย IP เซิร์ฟเวอร์ต้นทาง

สอบถามโฮสติ้งว่าควรจำกัดการเข้าถึงเซิร์ฟเวอร์ให้รับคำขอจาก WAF หรือไม่ การตั้งค่านี้ต้องทำให้ถูกต้องเพื่อไม่ให้ผู้ดูแลหรือบริการที่จำเป็นถูกตัดการเชื่อมต่อ ComSiam แนะนำให้ขอคำแนะนำจากโฮสติ้งก่อนแก้กฎระดับเซิร์ฟเวอร์

❹ ทดสอบเว็บไซต์หลังเปิดใช้

หลังเปิด WAF ให้ทดสอบหน้าเว็บและฟังก์ชันที่สำคัญทั้งบนคอมพิวเตอร์และมือถือ เช่น การเข้าสู่ระบบ การบันทึกบทความ การอัปโหลดรูปภาพ แบบฟอร์มติดต่อ และการชำระเงินหากมี

① ตรวจบันทึกเหตุการณ์

ดูรายการคำขอที่ WAF อนุญาตหรือบล็อก เพื่อแยกเหตุโจมตีออกจากคำขอปกติ หากไม่เข้าใจเหตุการณ์ ให้บันทึกเวลา URL และรหัสกฎไว้สอบถามผู้ให้บริการ

② แก้ปัญหาการบล็อกผิดพลาด

หากผู้ใช้หรือผู้ดูแลทำงานไม่ได้ ให้ตรวจบันทึกก่อนสร้างข้อยกเว้น ปรับเฉพาะกฎที่เป็นสาเหตุ และทดสอบซ้ำทุกครั้ง อย่าปิดระบบป้องกันทั้งหมดเพื่อแก้ปัญหาโดยไม่ตรวจสาเหตุ

❺ ดูแล WAF ร่วมกับความปลอดภัย WordPress

ตรวจและอัปเดตกฎของ WAF ตามที่ผู้ให้บริการแนะนำ ทบทวนบันทึกเหตุการณ์และข้อยกเว้นเป็นระยะ ลบข้อยกเว้นที่ไม่จำเป็น และรักษา WordPress ธีม และปลั๊กอินให้เป็นปัจจุบัน

ควรใช้ WAF ร่วมกับรหัสผ่านที่ปลอดภัย การยืนยันตัวตนสองขั้นตอน การสำรองข้อมูล และการจำกัดสิทธิ์ผู้ใช้ หากเว็บไซต์มีอาการผิดปกติหรือถูกโจมตี ให้ติดต่อโฮสติ้งพร้อมข้อมูลจากบันทึก WAF เพื่อช่วยตรวจสอบ ComSiam แนะนำให้บันทึกการตั้งค่าปัจจุบันไว้ก่อนเปลี่ยนกฎสำคัญ เพื่อให้ย้อนกลับได้เมื่อเกิดปัญหา