NukeViet Wiki

Công cụ thành viên

Công cụ trang web

Bạn đang ở đây: start » nukeviet » security
Trang đã xem:
nukeviet:security

Khác biệt

Đây là những khác biệt giữa hai phiên bản của trang.

Liên kết đến bản xem so sánh này

Phiên bản trước của cả hai bênPhiên bản trước
Phiên bản sau		Phiên bản trước
nukeviet:security [2012/05/26 21:16] – [Hướng dẫn xử lý website sau khi bị hack] lasernukeviet:security [2017/05/02 23:39] (hiện tại) – vuthao
Dòng 12: Dòng 12:
 ===== Phân quyền người dùng một cách hợp lý ===== ===== Phân quyền người dùng một cách hợp lý =====
 Hệ thống NukeViet là hệ thống rất mạnh về việc phân quyền quản trị site, nếu một cách hợp lý bạn có thể ngăn ngừa các nguy cơ "tấn công nội bộ" hoặc "tấn công vào các tài khoản quản trị". Sau đây là một số lưu ý: Hệ thống NukeViet là hệ thống rất mạnh về việc phân quyền quản trị site, nếu một cách hợp lý bạn có thể ngăn ngừa các nguy cơ "tấn công nội bộ" hoặc "tấn công vào các tài khoản quản trị". Sau đây là một số lưu ý:
-  * Không tạo thêm tài khoản quản trị tối cao. Bạn không nên tạo nhiều tài khoản này bằng cách sửa cơ sở dữ liệu. Không phải tự dưng mà NukeViet chỉ cho phép có 1 Người quản trị tối cao (God admin)((Tài khoản cài đặt site là tài khoản quản trị tối cao (God admin). Tài khoản này rất nhiều đặc quyền, ngoài việc được phép toàn quyền hệ thống (sửa, xóa site...không thể khôi phục) tài khoản này còn được phép cài đặt module, block, theme lên site (mà rất có thể trong các bộ cài này có chứa mã độc có thể sử dụng để theo dõi, tấn công hoặc gây hại hệ thống), do đó bạn cần tuyệt đối giữ gìn bảo mật tài khoản này. Ngoài việc thực hiện các quy tắc bảo mật thông thường, bạn cần lưu ý thêm khi phân quyền quản trị.)). +  * Không tạo thêm tài khoản quản trị tối cao. Bạn không nên tạo nhiều tài khoản này bằng cách sửa cơ sở dữ liệu. Không phải tự dưng mà NukeViet chỉ cho phép có 1 Người quản trị tối cao ([[nukeviet:concepts:god_admin|God admin]])((Tài khoản cài đặt site là tài khoản quản trị tối cao (God admin). Tài khoản này rất nhiều đặc quyền, ngoài việc được phép toàn quyền hệ thống (sửa, xóa site...không thể khôi phục) tài khoản này còn được phép cài đặt module, block, theme lên site (mà rất có thể trong các bộ cài này có chứa mã độc có thể sử dụng để theo dõi, tấn công hoặc gây hại hệ thống), do đó bạn cần tuyệt đối giữ gìn bảo mật tài khoản này. Ngoài việc thực hiện các quy tắc bảo mật thông thường, bạn cần lưu ý thêm khi phân quyền quản trị.)). 
   * Không nên sử dụng tài khoản quản trị tối cao cho những hoạt động thông thường (Ví dụ đăng tin, post bài...) Thay vào đó bạn nên tạo thêm tài khoản khác để sử dụng riêng cho nhu cầu này. Ví dụ việc tạo thêm cho mình một tài khoản Điều hành chung hoặc với quyền thấp hơn là Người điều hành module (tất cả module) để xử lý các công việc này, đây là một ý tưởng không tồi (đừng quên là sử dụng các mật khẩu đủ mạnh và khác nhau).   * Không nên sử dụng tài khoản quản trị tối cao cho những hoạt động thông thường (Ví dụ đăng tin, post bài...) Thay vào đó bạn nên tạo thêm tài khoản khác để sử dụng riêng cho nhu cầu này. Ví dụ việc tạo thêm cho mình một tài khoản Điều hành chung hoặc với quyền thấp hơn là Người điều hành module (tất cả module) để xử lý các công việc này, đây là một ý tưởng không tồi (đừng quên là sử dụng các mật khẩu đủ mạnh và khác nhau).
   * Không nên trao quá nhiều quyền không cần thiết cho một tài khoản nào đó. Chỉ cấp quyền truy cập cho họ vào những khu vực phù hợp.   * Không nên trao quá nhiều quyền không cần thiết cho một tài khoản nào đó. Chỉ cấp quyền truy cập cho họ vào những khu vực phù hợp.
Dòng 44: Dòng 44:
 ===== Thông tin Admin ===== ===== Thông tin Admin =====
  
-Thường thì mặc địch user của quản trị viên là admin và không thay đổi được, điều này làm cho các hacker chỉ cần đoán pass, việc cần làm là thay đổi tên admin. +Thường thì chúng ta vẫn đặt tên tài khoản quản trị là admin hoặc administrator. Như vậy thay vì phải dò cả tên đăng nhập và mật khẩu thì giờ đây hacker chỉ cần đoán được mật khẩu là có thể vào được site của bạn. Do đó bạn nên đổi tên tài khoản admin thành 1 tên riêng nào đó chỉ có site bạn sử dụng. 
-Do đó bạn nên đổi tên tài khoản admin thành 1 tên riêng nào đó chỉ có site bạn sử dụng. + 
-Ngoài ra bạn có thể bảo vệ khu vực admin 1 hoặc nhiều cách sau:+Ngoài ra bạn có thể bảo vệ khu vực admin bằng các cách sau:
 ==== Đổi tên thư mục admin ==== ==== Đổi tên thư mục admin ====
  
Dòng 67: Dòng 67:
 ==== Bật chế độ captcha trong khi đăng nhập ==== ==== Bật chế độ captcha trong khi đăng nhập ====
  
-Bạn có thể chọn chết độ đăng nhập có yêu cầu captcha tùy theo nhu cầu bảo vệ site bằng cách cấu hình hiển thị captcha trong phần Cấu hình -> Cấu hình chung.+Bạn có thể chọn chế độ đăng nhập có yêu cầu captcha tùy theo nhu cầu bảo vệ site bằng cách cấu hình hiển thị captcha trong phần Cấu hình -> Cấu hình chung.
 {{ :nukeviet:image009.png |Hình 9: Bật chế độ Kiểm tra IP khi truy cập khu vực admin}} {{ :nukeviet:image009.png |Hình 9: Bật chế độ Kiểm tra IP khi truy cập khu vực admin}}
  
Dòng 107: Dòng 107:
 ===== Mã hoá file cấu hình hệ thống ===== ===== Mã hoá file cấu hình hệ thống =====
  
-Để hóa các file php bạn có thể chọn IonCube và ZendGuard 5. Việc mã hóa file để nếu bị xem thông tin sẽ khó mà giải mã được (khó không có nghĩa là không thể).+Để hóa các file php bạn có thể chọn IonCube và ZendGuard 5. Việc mã hóa file làm cho hacker khó khăn hơn khi muốn đọc nội dung các file này.
 Các file bạn cần thiết mã hoá là ''config.php'' và ''includes/constants.php''.  Nếu có điều kiện bạn có thể mã hóa tất cả các file *.php của site. Các file bạn cần thiết mã hoá là ''config.php'' và ''includes/constants.php''.  Nếu có điều kiện bạn có thể mã hóa tất cả các file *.php của site.
  
Dòng 136: Dòng 136:
 Hãy cập nhật những thông tin mới nhất từ diễn đàn [[http://nukeviet.vn]], việc này sẽ giúp bạn nắm bắt được thông tin về việc cập nhật phiên bản, tình trạng báo lỗi cũng như phát hành phiên bản của NukeViet. Hãy cập nhật những thông tin mới nhất từ diễn đàn [[http://nukeviet.vn]], việc này sẽ giúp bạn nắm bắt được thông tin về việc cập nhật phiên bản, tình trạng báo lỗi cũng như phát hành phiên bản của NukeViet.
  
-===== Hướng dẫn xử lý website sau khi bị hack ===== +====== Hướng dẫn xử lý website sau khi bị hack ====== 
-Dù bạn có bảo mật website như thế nào đi chăng nữa thì không có nghĩa là nó đã được an toàn tuyệt đối. Và sự thật là website của bạn vẫn có thể bị tấn công, bị hack! Nó cũng giống như việc mang laptop ra đường là có thể bị mất cắp vậy, không thể tránh được! Tuy nhiên nhờ việc "phòng thủ" kỹ như đã hướng dẫn ở trên, chúng ta hoàn toàn có thể kiểm soát sự cố. Tùy tùng trường hợp bị hack mà bạn cần có phương án đối phó vụ thể. Với trường hợp nặng và khó chống đỡ nhất là site của bạn bị [[web_server:concepts:hack local|hack local]] thì bạn cần thực hiện ngay biện pháp sau: +Xem chi tiết [[nukeviet:anti_hack|Hướng dẫn xử lý website sau khi bị hack]].
-  * Báo nhà cung cấp host để được hỗ trợ. +
-  * Nếu họ không hỗ trợ, bạn cần làm các bước tiếp theo: +
-  * Đóng của site ngay lập tức (nếu là [[web_server:concepts:Share hosting|Share hosting]] thì bỏ qua bước này, nếu là [[web_server:concepts:Virtual private server|VPS]] hoặc [[web_server:concepts:Dedicated Server|Server]] thì đóng của tất cả các dịch vụ: web, FTP, mail.... trên cùng máy chủ). +
-  * Không sửa đổi hoặc xóa bất kể file nào. +
-  * Sao lưu đầy đủ (backup full) toàn bộ code, CSDL, và logs (file logs của hosting rất quan trọng, giúp chúng ta truy tìm nguyên nhân hoặc dấu viết của hacker) của hosting của site cũ và tải về máy của bạn để có thể khôi phục lại nó. +
-  * Đổi mọi mật khẩu tài khoản, mật khẩu email, mật khẩu hosting, mật khẩu cơ sở dữ liệu, mật khẩu FTP..., quét virus máy tính của bạn cẩn thận đề phòng máy tính bị dính virus và các phần mềm gián điệp. +
-  * Xóa sạch hosting để đảm bảo host của bạn sạch (không có nghĩa là host của bạn đã an toàn nếu bị hack local). +
-  * Cài lại bằng một bản NukeViet tương ứng, đảm bảo nó sạch bằng cách tải về từ đây: [[http://code.nukeviet.vn]]. +
-  * Sau đó sử dụng cơ sở dữ liệu và các tệp tin dữ liệu của site cũ để chuyển sang site mới, hãy đảm bảo không bị sót [[web_server:concepts:shell|shell]] trên site. +
-  * Cuối cùng đừng quên nâng cấp lên bản NukeViet mới nhất. +
-  * Nếu sử dụng share hosting mà bị hack local, tốt nhất hãy đổi nhà cung cấp host. +
-  * Nếu bạn không đủ khả năng kiểm tra bị hack như thế nào liên hệ với Ban Quản Trị NukeViet để được giúp đỡ. +
- +
-Lưu ý: Các hosting dùng chung ([[web_server:concepts:Share hosting|Share hosting]]) thường dễ bị hack hơn các máy chủ ảo ([[web_server:concepts:Virtual private server|Virtual private server - VPS]]) hoặc máy chủ riêng ([[web_server:concepts:Dedicated Server|Dedicated Server]]). Vì với các hosting dùng chung, chỉ cần một site bị hack là tất cả các site dùng chung server đều có thể bị tấn công thông qua phương thức [[web_server:concepts:hack local|hack local]].+
  
 ====== Xem thêm ====== ====== Xem thêm ======
 +  * [[nukeviet4:setup:security|Hướng dẫn Bảo mật hệ thống NukeViet 4.1]]
   * [[nukeviet:anti_ddos|Chống lại một cuộc tấn công từ chối dịch vụ]]   * [[nukeviet:anti_ddos|Chống lại một cuộc tấn công từ chối dịch vụ]]
   * [[nukeviet:advanced_setting:security|Thiết lập một số chức năng bảo mật]]   * [[nukeviet:advanced_setting:security|Thiết lập một số chức năng bảo mật]]
   * [[nukeviet:setup:replace_code|Thay thế code của trang NukeViet đang chạy (nhằm làm sạch code hoặc sau khi bị hack)]]   * [[nukeviet:setup:replace_code|Thay thế code của trang NukeViet đang chạy (nhằm làm sạch code hoặc sau khi bị hack)]]
  
nukeviet/security.1338041769.txt.gz · Sửa đổi lần cuối: 2012/05/26 21:16 (sửa đổi bên ngoài)