×

คำเตือน

JFolder::create: Path not in open_basedir paths.

สวัสดีครับ วันนี้ผมจะนำเสนอภาพรวมในการยกระดับความปลอดภัยจากมาตรการต่างๆ ที่ผมได้นำมาใช้โดยการใช้ extension ต่างๆที่มีในจูมล่า ซึ่งจะช่วยให้เว็บของเรามีความปลอดภัยมากขึ้น เนื่องจากการใช้งาน Open Source ก็จะทำให้ผู้บุกรุกรู้ข้อมูลของเรามากขึ้น และพยายามจะเจาะเข้าระบบของเราเสมอๆ ทั้งนี้ก็มีทั้งมือสมัครเล่น และมืออาชีพ และประเทศที่เป็นต้นทางก็คือจีนและรัสเซียเป็นหลักครับ

 

มาตรการเบื้องต้นในการป้องกัน

  1. การเปลี่่ยนชื่อผู้ใช้ของ Super Administrator จาก admin เป็นชื่ออื่น ทั้งนี้จะทำให้ผู้บุกรุกต้องเดาทั้งชื่อผู้ใช้และ รหัสผ่านกว่าจะเข้าสู่ระบบได้
  2. หลีกเลี่ยงการกำหนดสิทธิโฟลเดอร์เป็น 777 หรือทุกคนเขียนได้หมดครับ ให้ใช้ FTP account แทน แต่อย่าให้ตัว Account เดียวกับที่ได้จากโฮสติ้งนะครับ
  3. พยายามล็อกอินด้วยชื่อผู้ใช้ในระดับสูงน้อยครั้งที่สุด ส่วนใหญ่แล้วเรามักจะเคยชินที่จะเข้าใช้งานด้วยสิทธิผู้ใช้สูงสุด แต่โปรดทราบนะครับว่าถ้าเราไม่ได้ใช้โปรโตคอล HTTPS แล้วชื่่อผู้ใช้และรหัสผ่านนี้สามารถดักจับในระบบเครือข่าย ให้สร้างผู้ใช้ขึ้นมาให้เหมาะกับบทบาท
  4. ผู้ใช้ที่มีสิทธิสูงๆ ควรเปลี่่ยนรหัสผ่านบ่อยๆ ทุกๆ 1 หรือ 3 เดือนเป็นต้น หรือเปิดใช้งาน Two Factor Authentication สำหรับผู้ใช้นั้นๆ ตัวนี้จูมล่าก็มีปลั๊กอินมาให้แล้วนะครับ จะทำให้เราต้องใส่ข้อมูล Key ที่ได้จาก Application เช่น Google Authenticator เพิ่มข้อมูลตัวนี้จะเปลี่ยนไปตามเวลาครับ ผมได้เขียนบทความไว้ในวารสารไมโครคอมพิวเตอร์ ยังไงถ้าวางแผงแล้วจะสรุปมาให้อ่านกันอีกที
  5. เปิดใช้งาน reCaptcha สำหรับการล็อกอินเพื่อป้องกันการใช้โปรแกรมสำหรับเดารหัส เนื่องจากจะต้องเป็นคนเท่านั้นถึงจะอ่านรหัสจาก reCaptcha ได้ การที่คนเจาะก็ช้ากว่ารันด้วยโปรแกรมนะครับ อันนี้ก็ดูบทความที่ไซต์นี้ได้เลยครับ เรื่องการเปิดใช้งาน ReCaptcha สำหรับจูมล่า 2.5/3.x
  6. ทำการบล็อกไอพีของผู้ที่พยายามเดารหัส หรือล็อกอินเข้าระบบ แต่ผิดพลาดหลายๆ ครั้งเช่นล็อกอินผิดสิบครั้งติดต่อกันก็ให้บล็อกไอพีเข้าไปซักหนึ่งชั่วโมงตัวคอมโพเนนท์ที่ผมใช้ชื่อ ฺBrute Force Stop ครับ จริงๆ ก็มีหลายตัวครับเช่น Fail2Ban ก็ใช้ได้ถ้าบนโฮสต์มี Service นี้ทำงานอยู่แล้ว
  7. ทำการป้องกันการเข้าหลังบ้านโดยการพิมพ์เช่น URL ตรงๆ www.joomlant.com/administrator/ ซึ่งการเข้าหลังบ้านได้ต้องรู้รหัสที่เราตั้งไว้เช่น www.joomlant.com/administratot/?letmein ในที่นี้ letmein คือรหัสพิเศษที่เราต้องใส่เพื่อเปิดหน้าล็อกอินหลังบ้านครับ ตัวคอมโพเนนท์นี้ชื่อ AdminExile ใช้งานได้ดีมากเราสามารถกำหนดได้ด้วยว่าไม่ให้กลุ่ม Super Administrator ทำการล็อกอินทางหน้าบ้าน

นอกจากนี้แล้ว การเอาตัว Extension ต่างๆ มาติดตั้งเราก็ควรจะตรวจสอบเบื้องต้นด้วยนะครับ โดยเฉพาะถ้าไม่ได้มาจาก Joomla Extension Directory และควรจะทำการสแกนไซต์ของเราโดยใช้เครื่องมือเช่น http://securi.net เป็นต้น หากท่านใดมีไอเดียดีๆ ก็แนะนำเข้ามาได้ครับผมจะได้นำมาเพิ่มไว้ในรายการ อย่าลืมนะครับ กันไว้ดีกว่าแก้

comments