Giải thích Website Hardening: Bảo mật WordPress & PHP

Đây là gì

Một hợp đồng hardening website xem xét và cải thiện các thiết lập kỹ thuật đã thống nhất quanh một website hoặc ứng dụng công khai. Phạm vi được xác nhận bằng văn bản và có thể bao gồm HTTP security header, thiết lập TLS và cookie, các kiểm soát liên quan đến xác thực, cấu hình máy chủ hoặc nền tảng, các đường dẫn quản trị bị lộ, script bên thứ ba và các sắp xếp cập nhật cơ bản. Mục tiêu là giảm các con đường phơi nhiễm phổ biến, có thể tránh được trong phạm vi đã thống nhất, với mỗi quan sát đều có bằng chứng đi kèm. Trong phạm vi quyền truy cập đã xác nhận, đội ngũ của chúng tôi áp dụng các thay đổi đã thống nhất và ghi lại từng thay đổi trong một hồ sơ thay đổi trước/sau bằng văn bản; các hạng mục cần đến nhà phát triển, nhà cung cấp hosting hoặc CDN của bạn được ghi nhận để họ xử lý. Ranh giới trách nhiệm được xác nhận trước khi bắt đầu công việc. Hardening hữu ích nhất khi website đủ ổn định để đánh giá, những người phụ trách liên quan có thể xác nhận hành vi mong muốn, và có cách rõ ràng để kiểm thử thay đổi trước hoặc sau khi phát hành.

Dành cho ai

Hardening website phù hợp với các doanh nghiệp:

• Vận hành website hoặc ứng dụng web công khai có biểu mẫu, tài khoản, thanh toán hoặc các chức năng quan trọng khác dành cho khách hàng
• Đã có một đánh giá, lần quét hoặc danh mục kiểm tra nội bộ trước đó xác định các hạng mục cấu hình cần một bước xử lý thực tế tiếp theo
• Đang chuẩn bị ra mắt, ra mắt lại hoặc chuyển đổi hosting và muốn giảm sự phụ thuộc vào các thiết lập mặc định chưa được xem xét
• Cần bàn giao rõ ràng hơn giữa các đội sản phẩm, phát triển, marketing và hosting về việc ai phụ trách các thiết lập bảo mật chính

Giúp làm rõ điều gì

Một hợp đồng hardening giúp làm rõ:

• Những điểm yếu cấu hình đã thống nhất nào hiện đang bị lộ và điểm nào có thể xử lý trong ranh giới website
• Thay đổi nào đơn giản và thay đổi nào cần quyết định vì có thể ảnh hưởng đến analytics, nội dung nhúng, luồng đăng nhập hoặc hành vi khác của website
• Ở đâu script bên thứ ba, kiểm soát hosting hoặc quyền truy cập quản trị cần người phụ trách rõ ràng hơn hoặc một đánh giá riêng
• Những gì đã được thay đổi hoặc khuyến nghị, những gì vẫn cần theo dõi tiếp, và những hạng mục nào vẫn đang mở

Những gì được bao gồm

• Xác nhận phạm vi bằng văn bản, bao gồm website, tên miền, môi trường và các khu vực cấu hình nằm trong phạm vi
• Xem xét cấu hình WordPress, PHP hoặc website khác đã thống nhất, bao gồm plugin trong phạm vi, HTTP header, thiết lập TLS và cookie, kiểm soát liên quan đến xác thực, script bên thứ ba và thiết lập nền tảng hoặc máy chủ
• Danh sách quan sát và thay đổi đề xuất được ghi nhận, kèm giải thích lý do thực tế cho từng hạng mục
• Triển khai có ủy quyền các thay đổi cấu hình đã thống nhất, kèm hồ sơ thay đổi trước/sau bằng văn bản
• Xác thực cơ bản các thay đổi đã thống nhất và thảo luận về mọi đánh đổi chức năng phát hiện trong quá trình thực hiện
• Một cuộc gọi rà soát để thảo luận về bàn giao, trách nhiệm còn lại và các hành động tiếp theo hợp lý

Những gì không được bao gồm

• Kiểm thử xâm nhập, khai thác chủ động, hoặc lời hứa tìm ra mọi lỗ hổng có thể có
• Chứng nhận tuân thủ, xác nhận kiểm toán, hoặc bảo đảm rằng website đáp ứng mọi yêu cầu pháp lý hay ngành
• Giám sát liên tục, ứng phó sự cố hoặc quản lý thường xuyên sau khi hợp đồng kết thúc
• Xem xét tên miền, hệ thống, plugin hoặc tích hợp không được liệt kê trong phạm vi đã thống nhất
• Rà soát mã nguồn cấp ứng dụng, rà soát luồng thanh toán hoặc công việc bảo mật sản phẩm rộng hơn, trừ khi có phạm vi riêng

Khi nào nên chọn

Hãy chọn hardening website khi có một mối lo ngại về cấu hình đã biết, một nhu cầu chuẩn bị ra mắt tập trung, hoặc một tập hợp phát hiện trước đó rõ ràng cần được chuyển thành các thay đổi có kiểm soát. Đây thường là bước tiếp theo hợp lý sau một đánh giá baseline, một lần quét lỗ hổng hoặc một đợt di chuyển nền tảng. Hardening cũng có thể phù hợp khi website đã được nhiều nhà cung cấp bảo trì và không ai thực sự chắc chắn những thiết lập mặc định hoặc script nào vẫn đang được sử dụng. Nếu câu hỏi trọng tâm chưa rõ ràng, hãy bắt đầu với Security Baseline Review để phân biệt một nhiệm vụ cấu hình với một vấn đề rộng hơn về truy cập, mã nguồn hoặc quy trình. Hardening hiệu quả nhất khi doanh nghiệp có thể chỉ định người phụ trách website, người phụ trách kỹ thuật và khung thời gian kiểm thử chấp nhận được trước khi thống nhất các thay đổi.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác định ranh giới website và phương thức thực hiện bằng văn bản. Bản mô tả xác định tên miền, môi trường, khu vực cấu hình, yêu cầu truy cập và trách nhiệm thay đổi. Các thay đổi được áp dụng sau khi đã có xác nhận đó. Khi một thay đổi có thể ảnh hưởng đến chức năng, chẳng hạn một chính sách trình duyệt hạn chế làm thay đổi hành vi của script bên thứ ba, chúng tôi giải thích sự đánh đổi trước khi tiến hành. Chúng tôi xác thực các thay đổi đã thống nhất trong giới hạn thực tế của phạm vi và ghi lại những gì đã được áp dụng, hoãn lại hoặc để lại cho một người phụ trách khác. Nếu gặp một mối lo ngại cho thấy điểm yếu ở cấp mã nguồn, rủi ro từ nhà cung cấp hoặc một vấn đề bảo mật rộng hơn, chúng tôi ghi nhận quan sát đó thay vì mở rộng công việc khi chưa có thỏa thuận. Tài liệu bàn giao được viết để đội phát triển, hosting hoặc vận hành nội bộ của bạn có thể hiểu kết quả mà không phải diễn giải một danh sách dài thuật ngữ bảo mật.

Câu hỏi thường gặp

Bài viết liên quan