Lista złych praktyk CISA, które szkodzą bezpieczeństwu WordPress

Opublikowany: 2022-08-24

CISA, co oznacza Cybersecurity & Infrastructure Security Agency, to amerykańska agencja federalna działająca w ramach Departamentu Bezpieczeństwa Wewnętrznego. Ustanowiona w 2018 r., zastępuje NPPD – Narodową Dyrekcję Ochrony i Programów, a jej zadaniem jest poprawa cyberbezpieczeństwa przed atakami hakerów prywatnych i państwowych.

CISA wykonuje wiele pracy, aby zapewnić bezpieczeństwo i ochronę krytycznej infrastruktury i systemów. W tym celu publikuje kilka przewodników i list, które mają pomóc podmiotom rządowym i prywatnym firmom w utrzymaniu dobrych praktyk bezpieczeństwa i zachowaniu bezpieczeństwa w Internecie. Możesz równie łatwo zastosować przewodniki CISA do swojej osobistej lub biznesowej witryny WordPress, aby zapewnić bezpieczeństwo zgodne ze standardami CISA.

Jednym z takich zasobów, które CISA udostępnia publicznie, jest katalog złych praktyk. Chociaż prace nad tym katalogiem wciąż trwają – i zawsze tak będzie ze względu na dynamiczny i ewoluujący charakter zagrożeń – daje nam on nieoceniony wgląd w to, co CISA uważa za naprawdę złe praktyki.

Bezpieczeństwo CISA i WordPress

Złe praktyki CISA są często powszechne w środowiskach WordPress, co sprawia, że ​​lista jest jeszcze bardziej adekwatna dla administratorów WordPressa i właścicieli witryn. Na szczęście wyeliminowanie tych złych praktyk jest łatwe i można to zrobić w mgnieniu oka.

Jeśli chcesz przenieść swoje bezpieczeństwo na wyższy poziom, zapoznaj się z przewodnikiem bezpieczeństwa WordPress, aby uzyskać pełną i szczegółową listę wszystkiego, co możesz zrobić, aby zapewnić bezpieczeństwo swojej witryny.
Agencja otworzyła również stronę GitHub, na której administratorzy i inni specjaliści IT mogą wyrazić swoją opinię na temat złych praktyk dotyczących umieszczania w katalogu.

Ryzyko 1: Korzystanie z nieobsługiwanego oprogramowania

Niezmiennie oprogramowanie zawiera błędy – co jest jednym z powodów, dla których programiści wydają aktualizacje. Aktualizacje nie tylko usuwają błędy i luki w zabezpieczeniach, ale także dodają nowe funkcje i ulepszenia. Jak najszybsze zainstalowanie tych aktualizacji jest bardzo ważne, aby zapewnić bezpieczeństwo infrastruktury.

Nieobsługiwane oprogramowanie, takie jak stare wersje, oprogramowanie, którego żywotność dobiegła końca, oraz puste wtyczki, nie otrzymują aktualizacji, co czyni je szczególnie niebezpiecznymi, ponieważ mogą wprowadzać znane luki w Twoim środowisku.
Atakujący mogą wykorzystać te luki, aby uzyskać nieautoryzowany dostęp do Twojego systemu. To z kolei pozwala im ukraść Twoje dane, zamknąć witrynę i wykonać szereg innych złośliwych działań.

Rozwiązanie

Zainstalowanie aktualizacji tak szybko, jak to możliwe, może znacznie zminimalizować ryzyko związane z lukami w zabezpieczeniach i błędami. Równie dobrze chcesz mieć pewność, że wybrani dostawcy i programiści reagują szybko i często wydają aktualizacje (a nie raz w roku).

Wybierając wtyczki, spójrz na historię wersji, aby zobaczyć, jak często publikowane są aktualizacje. Codzienne aktualizacje nie są dobrym znakiem; jednak coroczne aktualizacje mogą również wskazywać, że coś jest nie tak. Możesz również sprawdzić komentarze użytkowników, aby zobaczyć, jak programista reaguje na pytania użytkowników.

Ryzyko 2: Złe hasła

Złe hasła obejmują hasła domyślne, hasła odzyskane, hasła, które wcześniej wyciekły, oraz hasła słabe. Złe hasła mogą być bardzo łatwe do złamania, zapewniając atakującym łatwą drogę do Twoich systemów. Udostępnianie haseł to kolejna zła praktyka, która często występuje w środowiskach WordPress i nie tylko. Wspólne hasła znacznie zwiększają ryzyko wycieku haseł i utrudniają śledzenie problemów i rozliczanie zespołu. Grafika hasła

Rozwiązanie

Silna polityka haseł WordPress znacznie pomaga wyrzucić złe hasła za drzwi. WPassword to wtyczka WordPress, która oferuje administratorom szczegółową kontrolę nad tym, jak użytkownicy konfigurują swoje zasady haseł, zapewniając bezpieczne i skuteczne hasła.

Ryzyko 3: Uwierzytelnianie jednoskładnikowe

Uwierzytelnianie jednoskładnikowe to trzecie i ostatnie ryzyko, które trafia do katalogu złych praktyk CISA. W konfiguracjach uwierzytelniania jednoskładnikowego użytkownicy mogą logować się za pomocą swojej nazwy użytkownika i hasła. W środowiskach uwierzytelniania dwuskładnikowego (2FA) lub MFA użytkownicy muszą uwierzytelniać się za pomocą drugiej (lub większej liczby) metody.

Uwierzytelnianie jednoskładnikowe może być szczególnie problematyczne w przypadku wycieku haseł i chociaż dobra polityka dotycząca haseł znacznie pomaga w minimalizowaniu ryzyka, dodatkowy czynnik uwierzytelniania znacznie zwiększa ogólne bezpieczeństwo witryny WordPress.

2FA szybko staje się złotym standardem uwierzytelniania. Chociaż jego założenie jest dość proste, może powstrzymać większość najczęstszych ataków. To sprawia, że ​​jest ulubieńcem gigantów branży, hobbystów i wszystkich pomiędzy.

Rozwiązanie

WordPress nie oferuje 2FA od razu po wyjęciu z pudełka. Jednak wdrożenie 2FA w witrynie WordPress jest łatwe dzięki WP 2FA. Ta wtyczka WordPress 2FA zawiera więcej opcji, niż możesz się potrząsnąć, zapewniając wszystkim użytkownikom możliwość skorzystania z 2FA dla bezpieczniejszego WordPressa.

Plan działania w zakresie bezpieczeństwa WordPress, który ma na celu uśpienie złych praktyk

Wskazówki dotyczące bezpieczeństwa Złe praktyki są jak złe nawyki. Muszą być kontrolowane przez czas, aby nic nie spadło przez pęknięcia. Dlatego bezpieczeństwo WordPressa jest procesem iteracyjnym; jeden, na który musimy zwracać uwagę co jakiś czas, aby przez cały czas przestrzegać najlepszych praktyk.

Chociaż istnieją niewątpliwie inne złe praktyki, które nie znalazły się na liście CISA, to, co oferują, jest dobrym punktem wyjścia. Przypomnę,

  1. Instaluj aktualizacje, gdy tylko staną się dostępne. Jeśli martwisz się, że aktualizacje mogą uszkodzić Twoją witrynę, zainstaluj środowisko testowe, aby przetestować aktualizacje przed wdrożeniem ich w środowisku na żywo.
  2. Zaimplementuj silną politykę haseł WordPress za pomocą WPassword, aby wyeliminować słabe hasła ze swojego środowiska. Zachęć użytkowników do korzystania z menedżera haseł w celu łagodzenia wezwań pomocy technicznej dotyczących zapomnianych haseł, które są zbyt złożone.
  3. Włącz i używaj zasad, aby wymagać uwierzytelniania dwuskładnikowego WordPress dla wszystkich użytkowników. Użyj WP 2FA, aby wykorzystać wiele jego funkcji, które obejmują między innymi integrację Authy, okresy karencji i białe etykiety.

Chociaż lista CISA to dobry punkt wyjścia, zabezpieczenie witryny WordPress wymaga bardziej kompleksowego podejścia. Od zapewnienia silnych haseł po wzmocnienie WordPressa, jest wiele rzeczy, które możesz zrobić sam, postępując zgodnie z przewodnikami WP White Security dotyczącymi doskonałego bezpieczeństwa WordPress.

PS Zalecamy skonfigurowanie środowiska testowego WordPress, jeśli masz ograniczone doświadczenie w zabezpieczaniu witryn WordPress.