Công cụ thành viên

Công cụ trang web


nukeviet:security

Khác biệt

Đây là những khác biệt giữa hai phiên bản của trang.

Liên kết đến bản xem so sánh này

Phiên bản trước của cả hai bênPhiên bản trước
Phiên bản sau
Phiên bản trước
nukeviet:security [2012/03/17 14:53] lasernukeviet:security [2017/05/02 23:39] (hiện tại) vuthao
Dòng 2: Dòng 2:
  
 NukeViet 3 cung cấp nhiều công cụ và giải pháp bảo mật giúp người quản trị có những công cụ hữu hiệu nhằm tùy biến hệ thống, giúp hệ thống trở lên kín đáo và an toàn hơn trước sự soi mói của các hacker. Bài viết này tổng hợp và chia sẻ kinh nghiệm cũng như giải pháp bảo mật cho website sử dụng mã nguồn mở NukeViet 3. NukeViet 3 cung cấp nhiều công cụ và giải pháp bảo mật giúp người quản trị có những công cụ hữu hiệu nhằm tùy biến hệ thống, giúp hệ thống trở lên kín đáo và an toàn hơn trước sự soi mói của các hacker. Bài viết này tổng hợp và chia sẻ kinh nghiệm cũng như giải pháp bảo mật cho website sử dụng mã nguồn mở NukeViet 3.
-===== Cập nhật phiên bản mới nhất =====+===== Hãy luôn cập nhật phiên bản mới nhất =====
  
 Việc đầu tiên bạn cần làm đó là luôn cập nhật các phiên bản mới nhất của NukeViet việc này là hoàn toàn miễn phí và giúp chúng ta sửa chữa các lỗi ở phiên bản cũ, cập nhật thêm các tính năng mới cho hệ thống và các module. Việc đầu tiên bạn cần làm đó là luôn cập nhật các phiên bản mới nhất của NukeViet việc này là hoàn toàn miễn phí và giúp chúng ta sửa chữa các lỗi ở phiên bản cũ, cập nhật thêm các tính năng mới cho hệ thống và các module.
Dòng 8: Dòng 8:
 Ngoài cách cập nhật các phiên bản phát hành, bạn có thể cập nhật các bản cập nhật hàng ngày theo chức năng cập nhật phiên bản. Ngoài cách cập nhật các phiên bản phát hành, bạn có thể cập nhật các bản cập nhật hàng ngày theo chức năng cập nhật phiên bản.
  
-Một chú ý trong việc phát triển thêm tính năng của site, bạn không nên hiển thị các thông tin của phiên bản NukeViet bạn đang sử dụng (chỉ hiển thị cho người điều hành tốcao của site xem).+Một chú ý trong việc phát triển thêm tính năng của site, bạn không nên hiển thị các thông tin của phiên bản NukeViet bạn đang sử dụng (chỉ hiển thị cho người điều hành tốcao của site xem)
 + 
 +===== Phân quyền người dùng một cách hợp lý ===== 
 +Hệ thống NukeViet là hệ thống rất mạnh về việc phân quyền quản trị site, nếu một cách hợp lý bạn có thể ngăn ngừa các nguy cơ "tấn công nội bộ" hoặc "tấn công vào các tài khoản quản trị". Sau đây là một số lưu ý: 
 +  * Không tạo thêm tài khoản quản trị tối cao. Bạn không nên tạo nhiều tài khoản này bằng cách sửa cơ sở dữ liệu. Không phải tự dưng mà NukeViet chỉ cho phép có 1 Người quản trị tối cao ([[nukeviet:concepts:god_admin|God admin]])((Tài khoản cài đặt site là tài khoản quản trị tối cao (God admin). Tài khoản này rất nhiều đặc quyền, ngoài việc được phép toàn quyền hệ thống (sửa, xóa site...không thể khôi phục) tài khoản này còn được phép cài đặt module, block, theme lên site (mà rất có thể trong các bộ cài này có chứa mã độc có thể sử dụng để theo dõi, tấn công hoặc gây hại hệ thống), do đó bạn cần tuyệt đối giữ gìn bảo mật tài khoản này. Ngoài việc thực hiện các quy tắc bảo mật thông thường, bạn cần lưu ý thêm khi phân quyền quản trị.)).  
 +  * Không nên sử dụng tài khoản quản trị tối cao cho những hoạt động thông thường (Ví dụ đăng tin, post bài...) Thay vào đó bạn nên tạo thêm tài khoản khác để sử dụng riêng cho nhu cầu này. Ví dụ việc tạo thêm cho mình một tài khoản Điều hành chung hoặc với quyền thấp hơn là Người điều hành module (tất cả module) để xử lý các công việc này, đây là một ý tưởng không tồi (đừng quên là sử dụng các mật khẩu đủ mạnh và khác nhau). 
 +  * Không nên trao quá nhiều quyền không cần thiết cho một tài khoản nào đó. Chỉ cấp quyền truy cập cho họ vào những khu vực phù hợp.
 ===== Hạn chế sử dụng các module và block ===== ===== Hạn chế sử dụng các module và block =====
  
Dòng 38: Dòng 44:
 ===== Thông tin Admin ===== ===== Thông tin Admin =====
  
-Thường thì mặc địch user của quản trị viên là admin và không thay đổđượcđiềnày làm cho các hacker chỉ cần đoán pass, việcần làm là thay đổi tên admin. +Thường thì chúng ta vẫn đặt tên tài khoản quản trị là admin hoặc administrator. Như vậy thay vì phảdò cả tên đăng nhập và mật khẩthì giờ đây hacker chỉ cần đoán đượmật khẩu là có thể vào được site của bạn. Do đó bạn nên đổi tên tài khoản admin thành 1 tên riêng nào đó chỉ có site bạn sử dụng. 
-Do đó bạn nên đổi tên tài khoản admin thành 1 tên riêng nào đó chỉ có site bạn sử dụng. + 
-Ngoài ra bạn có thể bảo vệ khu vực admin 1 hoặc nhiều cách sau:+Ngoài ra bạn có thể bảo vệ khu vực admin bằng các cách sau:
 ==== Đổi tên thư mục admin ==== ==== Đổi tên thư mục admin ====
  
Dòng 61: Dòng 67:
 ==== Bật chế độ captcha trong khi đăng nhập ==== ==== Bật chế độ captcha trong khi đăng nhập ====
  
-Bạn có thể chọn chếđộ đăng nhập có yêu cầu captcha tùy theo nhu cầu bảo vệ site bằng cách cấu hình hiển thị captcha trong phần Cấu hình -> Cấu hình chung.+Bạn có thể chọn chế độ đăng nhập có yêu cầu captcha tùy theo nhu cầu bảo vệ site bằng cách cấu hình hiển thị captcha trong phần Cấu hình -> Cấu hình chung.
 {{ :nukeviet:image009.png |Hình 9: Bật chế độ Kiểm tra IP khi truy cập khu vực admin}} {{ :nukeviet:image009.png |Hình 9: Bật chế độ Kiểm tra IP khi truy cập khu vực admin}}
  
Dòng 78: Dòng 84:
  
 Nếu hosting của bạn có hỗ trợ chức năng bảo vệ thư mục bằng tài khoản và mật khẩu, bạn nên dùng chức năng này để bảo vệ thư mục admin. Nếu hosting của bạn không hỗ trợ bạn có thể dùng chức năng Kiểm tra tường lửa cho khu vực admin trong phần cấu hình của menu quản trị. Nếu hosting của bạn có hỗ trợ chức năng bảo vệ thư mục bằng tài khoản và mật khẩu, bạn nên dùng chức năng này để bảo vệ thư mục admin. Nếu hosting của bạn không hỗ trợ bạn có thể dùng chức năng Kiểm tra tường lửa cho khu vực admin trong phần cấu hình của menu quản trị.
 +
 ===== Giấu file config.php ===== ===== Giấu file config.php =====
  
Dòng 100: Dòng 107:
 ===== Mã hoá file cấu hình hệ thống ===== ===== Mã hoá file cấu hình hệ thống =====
  
-Để hóa các file php bạn có thể chọn IonCube và ZendGuard 5. Việc mã hóa file để nếu bị xem thông tin sẽ khó mà giải mã đượ(khó không có nghĩa là không thể).+Để hóa các file php bạn có thể chọn IonCube và ZendGuard 5. Việc mã hóa file làm cho hacker khó khăn hơn khi muốn đnội dung các file này.
 Các file bạn cần thiết mã hoá là ''config.php'' và ''includes/constants.php'' Nếu có điều kiện bạn có thể mã hóa tất cả các file *.php của site. Các file bạn cần thiết mã hoá là ''config.php'' và ''includes/constants.php'' Nếu có điều kiện bạn có thể mã hóa tất cả các file *.php của site.
 +
 +===== Thường xuyên sao lưu website =====
 +
 +Bạn hãy lên lịch định kỳ hàng tuần thậm chí là hàng ngày thực hiện việc sao lưu website (bao gồm cơ sở dữ liệu site và dữ liệu dạng file có trên hệ thống). 
 +
 +Hàng tháng hãy thực hiện một bản sao lưu đầy đủ, toàn diện site (backup full). 
 +
 +Hãy giữ các bản sao lưu ở đâu đó an toàn (tất nhiên không phải trên server chạy web của bạn rồi).
 +
 +==== Sao lưu cơ sở dữ liệu ====
 +
 +NukeViet đã có sẵn chức năng sao lưu cơ sở dữ liệu (database) và chức năng này mặc định được kích hoạt hàng ngày hệ thống sẽ tự động sao lưu và lưu trữ trên site, bạn hãy tải nó về. Cơ sở dữ liệu sao lưu sẽ được lưu trữ trên site tối đa 30 ngày (tương đương 30 file sao lưu) trước khi nó tự động bị xóa đi.
 +
 +NukeViet cũng có chức năng giúp bạn sao lưu cơ sở dữ liệu thủ công (sao lưu tức thời) để bạn sử dụng bất cứ lúc nào.
 +
 +==== Sao lưu các dữ liệu dạng file có trên site ====
 +
 +Ngoài cơ sở dữ liệu, NukeViet còn lưu trên website các dữ liệu dạng file khác, bao gồm tập tin được upload lên, tập tin cấu hình, các dữ liệu mà hệ thống bóc tách được và lưu trực dạng file thay cho dạng cơ sở dữ liệu MySQL... bạn cần tải các dữ liệu này về thông qua trình FTP.
 +
 +==== Sao lưu đầy đủ ====
 +
 +Tải toàn bộ dữ liệu trên server về, bao gồm cả code và các dữ liệu tạm trên site, bạn sẽ có một bản sao lưu đầy đủ nhất. Bản sau lưu đầy đủ này đặc biệt hữu ích khi site bạn bị hack, có thể nó chứa thông tin giúp dò ra dấu vết của hacker.
 +
 ===== Cập nhật thông tin từ diễn đàn nukeviet.vn ===== ===== Cập nhật thông tin từ diễn đàn nukeviet.vn =====
  
 Hãy cập nhật những thông tin mới nhất từ diễn đàn [[http://nukeviet.vn]], việc này sẽ giúp bạn nắm bắt được thông tin về việc cập nhật phiên bản, tình trạng báo lỗi cũng như phát hành phiên bản của NukeViet. Hãy cập nhật những thông tin mới nhất từ diễn đàn [[http://nukeviet.vn]], việc này sẽ giúp bạn nắm bắt được thông tin về việc cập nhật phiên bản, tình trạng báo lỗi cũng như phát hành phiên bản của NukeViet.
 +
 +====== Hướng dẫn xử lý website sau khi bị hack ======
 +Xem chi tiết [[nukeviet:anti_hack|Hướng dẫn xử lý website sau khi bị hack]].
 +
 +====== Xem thêm ======
 +  * [[nukeviet4:setup:security|Hướng dẫn Bảo mật hệ thống NukeViet 4.1]]
 +  * [[nukeviet:anti_ddos|Chống lại một cuộc tấn công từ chối dịch vụ]]
 +  * [[nukeviet:advanced_setting:security|Thiết lập một số chức năng bảo mật]]
 +  * [[nukeviet:setup:replace_code|Thay thế code của trang NukeViet đang chạy (nhằm làm sạch code hoặc sau khi bị hack)]]
  
nukeviet/security.1331970831.txt.gz · Sửa đổi lần cuối: 2012/03/18 04:53 (sửa đổi bên ngoài)