Mẹo ngăn hacker tấn công web của bạn

Bạn muốn bảo mật trang web nhưng chưa biết bắt đầu từ đâu? Bài viết sẽ giới thiệu các tính năng lưu trữ (hosting) phù hợp với doanh nghiệp nhỏ, giúp bạn ngăn chặn các cuộc tấn công dò mật khẩu (brute-force) và sự xâm nhập của mã độc.

Những tính năng bảo mật web cần có

Có sáu tính năng bảo mật cốt lõi mà người phát triển web phải biết. Những dịch vụ lưu trữ web (web hosting) thường cung cấp đầy đủ các tính năng này, mặc dù một số tính năng có thể chỉ có sẵn dưới dạng tiện ích bổ sung trả phí. Đôi khi, nhà cung cấp dịch vụ lưu trữ chỉ cung cấp phiên bản cơ bản của một tính năng bảo mật trong gói dịch vụ hiện tại, trong khi phiên bản đầy đủ tính năng lại yêu cầu phải trả thêm phí. Ví dụ, tính năng bảo vệ chống phần mềm độc hại miễn phí của HostGator khá hạn chế; để được bảo vệ toàn diện, bạn cần chi thêm tiền cho các gói dịch vụ Malware Protection hoặc SiteLock.

Dưới đây là những tính năng tối thiểu mà nhà cung cấp dịch vụ web host cần phải cung cấp. Hai tính năng đầu tiên được đề cập dưới đây hoạt động ở cấp độ máy chủ, vì vậy nhà cung cấp dịch vụ bắt buộc phải tích hợp chúng.

• Cập nhật máy chủ tự động. Máy chủ vận hành dựa trên hệ điều hành, cơ sở dữ liệu và bảng điều khiển nền tảng. Do đó, khi nhà cung cấp dịch vụ lưu trữ cập nhật hệ điều hành và các phần mềm máy chủ khác, họ sẽ khắc phục các lỗ hổng bảo mật tiềm ẩn trước khi tin tặc có thể khai thác chúng.
• Chứng chỉ SSL miễn phí. Công nghệ Secure Sockets Layer (SSL) mã hóa dữ liệu dạng văn bản thuần (plain-text) thành các đoạn mã không thể đọc được trong quá trình truyền tải đến và đi từ trang web của bạn. Điều này ngăn chặn kẻ xấu nghe lén dữ liệu đang được truyền tải, từ đó tránh nguy cơ bị đánh cắp thông tin khách hàng hoặc mật khẩu quản trị. 

Bốn tính năng sau đây cũng là những yếu tố bảo mật cần thiết, nhưng không phải lúc nào nhà cung cấp dịch vụ cũng miễn phí chúng:

• Tự động quét và loại bỏ mã độc. 
• Tường lửa ứng dụng web (WAF).
• Bảo vệ chống tấn công dò mật khẩu (brute-force).
• Tự động sao lưu hàng ngày. 

Mẹo bảo mật web cho người mới bắt đầu

Nếu mới bước chân vào lĩnh vực trực tuyến, doanh nghiệp của bạn sẽ là mục tiêu hàng đầu của các cuộc tấn công. Hacker thường cho rằng bạn chưa thiết lập các biện pháp phòng thủ chuyên sâu; vì vậy, hãy chứng minh điều ngược lại bằng cách ghi nhớ những bí quyết quan trọng sau đây:

• Hạn chế quyền truy cập quản trị. Chỉ cấp quyền chỉnh sửa trang web cho những nhân viên thực sự cần đến chúng.
• Sử dụng xác thực hai yếu tố (2FA). Yêu cầu người dùng nhập mã xác thực từ điện thoại bên cạnh mật khẩu khi đăng nhập vào trang web.
• Thu thập dữ liệu ở mức tối thiểu. Chỉ lưu trữ những dữ liệu khách hàng thực sự cần thiết, chẳng hạn như địa chỉ email để tạo tài khoản. Tuyệt đối không lưu các thông tin tài chính nhạy cảm, chi tiết thẻ tín dụng hoặc mã số thuế trực tiếp trên cơ sở dữ liệu của máy chủ web thông thường. Thay vào đó, hãy sử dụng các tài khoản thanh toán bên thứ ba với những cổng thanh toán bảo mật như PayPal, Square hoặc Stripe. Các dịch vụ này sẽ xử lý giao dịch trên hệ thống mạng được bảo mật nghiêm ngặt của riêng họ, giúp giữ an toàn cho máy chủ của bạn và giảm thiểu đáng kể rủi ro pháp lý nếu xảy ra sự cố rò rỉ dữ liệu.
• Tuyệt đối không sử dụng "admin" làm tên đăng nhập. Hãy đổi tên đăng nhập mặc định thành một tên duy nhất để gây khó khăn cho các tập lệnh tấn công dò mật khẩu (brute-force) tự động trong việc đoán thông tin đăng nhập của bạn. 
• Gỡ bỏ các plugin và giao diện (theme) không còn hoạt động. Hãy xóa mọi tiện ích mở rộng, giao diện hoặc plugin mà bạn không còn sử dụng nữa. Những công cụ cũ kỹ, bị bỏ quên và các thành phần có thể đã lỗi thời này chính là những lỗ hổng dễ bị lợi dụng để chèn mã độc vào trang web.
• Bảo vệ khu vực bình luận. Hãy kích hoạt tính năng lọc thư rác (spam) tự động cho phần bình luận trên trang web để ngăn chặn các bot đăng tải những liên kết độc hại lên trang của bạn.