Trong hướng dẫn này về bảo mật trang web, chúng tôi sẽ cung cấp cho bạn kiến ​​thức bạn cần để giữ an toàn cho trang web của bạn. Chúng tôi sẽ đi qua các mối đe dọa phổ biến, những gì bạn có thể làm bảo vệ trang web của bạn.

Bảo mật trang web vốn không phải là vấn đề được nhiều người quan tâm, nhưng đó là một chủ đề cực kỳ quan trọng. Ngay cả các trang web nhỏ đang trở thành mục tiêu của phần mềm độc hại, spam và tấn công từ chối dịch vụ phân tán (DDOS) nhằm  lấy cắp dữ liệu người dùng cá nhân hoặc phân phối phần mềm độc hại khó chịu.

Hãy bắt đầu với một lời giải thích về cách luồng dữ liệu từ người dùng đến máy chủ web và cách truyền dữ liệu đó cho thấy trang web của bạn bị tấn công.

Trình bảo mật trang web

Trước khi đi vào việc trang web của bạn bị tấn công như thế nào và bạn có thể làm gì để bảo vệ nó, bạn cần phải hiểu, ít nhất là ở mức độ bề mặt, cách dữ liệu truyền qua internet.

Hosting web là nơi lưu trữ toàn bộ các tệp dữ liệu trên trang web của bạn. Bạn có thể host trang web bằng máy tính của bạn, nhưng việc không đảm bảo phần cứng và tốc độ mạng mà các nhà cung cấp dịch vụ hosting sử dụng nên nó không thực tế cho tốc độ hoặc bảo mật.

Khi ai đó truy cập trang web của bạn, họ kết nối với máy chủ đó và bắt đầu tải xuống tệp tạm thời để thông tin có thể được hiển thị trong trình duyệt của họ. Việc chuyển dữ liệu đến và từ máy chủ của bạn xảy ra trong các gói dữ liệu, các gói dữ liệu nhỏ chứa thông tin cho việc truyền tải.

Điều đó mở ra lỗ hổng. Kẻ xấu có thể tạo ra sự ngăn chặn khi người dùng đang kết nối website, cũng như chặn máy chủ họ đang kết nối tới, và tạo một gói tin giả mạo có thể tải phần mềm độc hại lên máy tính hoặc máy chủ.

Tuy nhiên để làm được điều này không phải là dễ, đặc biệt là với một kết nối được mã hóa, nhưng quá trình này cho thấy lý do tại sao bảo mật trang web rất quan trọng. Các mối đe dọa dựa trên web không chỉ gây ra vấn đề cho trang web của bạn, mà còn cho các flie cá nhân và thông tin của khách truy cập.

Và website phải được bảo vệ ở tất cả các bước trong quá trình này. Một số đến từ máy chủ web của bạn, một số đến từ người dùng và một số xuất phát từ bạn. Trước tiên, chúng ta sẽ xem xét các mối đe dọa đặt ra cho trang web của bạn và sau đó là cách bạn có thể ngăn chặn chúng.

Các mối đe dọa trên trang web

Dưới đây là một số mối đe dọa phổ biến nhất mà bạn sẽ gặp phải sau khi thiết lập trang web.

- Spam

Spam là gây phiền nhiễu và đối với hầu hết việc spam thì đây là một điều tồi tệ. Tuy nhiên cũng có một số bot thư rác có nhiều ý định gây hại và có thể quá tải máy chủ của bạn sẽ giành được vị trí trong danh sách đen của Google. Chúng ta sẽ nói về phần sau trong phần này.

Trong hầu hết các trường hợp, spam nhận xét sẽ sử dụng bot để đặt liên kết ngược tới các trang web khác trên website của bạn. Nó được sử dụng để tăng thứ hạng tìm kiếm kể từ khi backlinks là một yếu tố xếp hạng của Google. Google đã tính đến loại spam nhận xét này và các URL bị chôn vùi  khi tham gia vào nó. Tuy nhiên, vấn đề vẫn tồn tại.

Các liên kết được đăng bởi các chương trình thư rác có thể gây độc hại, đó là một vấn đề nghiêm trọng hơn. Những người dùng khác có thể nhấp vào các liên kết đó và cài đặt phần mềm độc hại trên máy của họ. Ngoài ra, các chương trình thu thập thông tin của Google có thể nhận ra các URL độc hại và đánh giá trang web của bạn là không an toàn.

Để giữ cho trang web của bạn chạy nhanh nhất có thể và để bảo vệ người dùng của bạn và lưu lượng truy cập tìm kiếm không phải trả tiền, điều quan trọng là ngăn chặn spam.

- Các cuộc tấn công DDoS

Các cuộc tấn công DDoS được cánh báo chí rất quan tâm trong thời gian gần đây, chủ yếu là do hoạt động hoàn vốn , nhằm vào các cửa hàng thẻ tín dụng lớn như Visa và Mastercard để phản đối nỗ lực kiểm duyệt Wikileaks của chính phủ Hoa Kỳ.

Các cuộc tấn công DDoS có nghĩa là từ chối người dùng khác truy cập vào một trang web cụ thể. Những kẻ tấn công gây quá tải máy chủ web khiến nó ngừng hoạt động và thường xuyên giữ áp lực để máy chủ chứa hosting không thể hoạt động bình thường trong thời gian bị tấn công được. Các cuộc tấn công thường được thực hiện với các địa chỉ IP hoặc botnet giả mạo.

Mặc dù các cuộc tấn công DDoS thường nhắm mục tiêu một trang web cụ thể, có nghĩa là hầu hết sẽ không bị ảnh hưởng, chúng có thể là một bước trong một kế hoạch bất chính hơn trong đó kẻ tấn công theo dõi phần mềm độc hại.

- Virus và phần mềm độc hại

Phần mềm độc hại là mối đe dọa lớn nhất đối với các trang web. Phần mềm độc hại còn được nhiều người gọi là virus. Bất kể bạn sử dụng biệt danh nào, phần mềm gây ra mối đe dọa nghiêm trọng cho bạn và khách truy cập của bạn.

Trang web là mục tiêu chính cho phần mềm độc hại vì nhiều lý do. Chúng có thể được sử dụng để truy cập vào dữ liệu người dùng cá nhân, ăn tài nguyên máy chủ web hoặc hiển thị thông báo cho tin tặc, đặc biệt nếu bạn có trang web có lưu lượng truy cập cao.

Trong các trường hợp khác, phần mềm độc hại được sử dụng để đánh vào tài chính. Một hacker có thể có thể chiếm quyền người dùng sâu và sử dụng nó để đặt quảng cáo hoặc liên kết. Trong trường hợp xấu nhất, tin tặc sử dụng trang web làm nền tảng phân phối phần mềm độc hại bằng cách nhúng các liên kết trong toàn bộ trang web để dễ dàng tải xuống gói độc hại trên máy của khách truy cập khi được nhấp.

Cách bảo vệ tốt nhất là sử dụng dịch vụ giám sát phần mềm độc hại mà chúng ta sẽ nói đến trong phần sau. Việc theo dõi cẩn thận số lần tải, tệp và lưu lượng truy cập trang web của bạn cũng có thể giúp bạn xem liệu có phần mềm độc hại nào trong tệp của bạn hay không.

- Đăng ký tên miền WHOIS

Mỗi trang web cần một tên miền và, khi bạn đăng ký tên miền của bạn, thông tin cá nhân của bạn được gắn với nó. Và không phải là một hacker thông minh mới tìm ra cách để tìm thấy thông tin đó ai cũng có thể tìm được thông tin của bạn.

Cần có thông tin WHOIS để đăng ký miền. Hãy nghĩ về nó như mua tài sản. Công ty phát hành tài sản cần phải biết ai sở hữu nó và cách tiếp cận họ cũng như công chúng. Quốc gia bạn sinh sống có thể đóng một phần trong số lượng thông tin bạn cần để bàn giao.

Bên ngoài email, tên, địa chỉ và số điện thoại của bạn, dữ liệu WHOIS chứa các thông tin như máy chủ định danh của URL, mà không có liên quan đến thông tin đó. Máy chủ định danh được sử dụng để định tuyến các yêu cầu miền tới các máy chủ lưu trữ các URL. Trong nhiều trường hợp, hosting web duy trì nhiều máy chủ tên cho các loại lưu trữ khác nhau của chúng.

Mặc dù tin tặc không thể xác định chính xác máy chủ bạn đang sử dụng, nhưng nó có thể cung cấp cho họ manh mối về khu vực bạn đang ở. Đã được chứng minh một lần và mọi dữ liệu mà tin tặc sẽ sử dụng một cách toàn diện, vì vậy ngay cả mảnh nhỏ đó cũng có thể cung cấp một cổng vào máy chủ web của bạn.

- Blacklist

Blacklist của công cụ tìm kiếm là một mối đe dọa không được giải quyết cho trang web của bạn. Trong hầu hết các trường hợp, danh sách đen có tác động tích cực, loại bỏ các trang web tham gia vào việc spam từ khóa hoặc đã bị xâm phạm. Ngay cả với ý định tốt trang web của bạn cũng có thể bị liệt vào danh sách đen, một khi bạn đang ở đó, thật khó để quay trở lại.

Công cụ tìm kiếm cần phải bảo vệ người dùng đang nhấp vào kết quả tìm kiếm. Do đó, nếu chương trình thu thập thông tin của Google nhận thấy bất kỳ điều gì đáng ngờ trong code của bạn, bạn sẽ bị liệt vào danh sách đen.

Mặc dù không phải là mối đe dọa bảo mật trực tiếp, việc bị đưa vào danh sách đen vẫn có hậu quả đối với lưu lượng truy cập tìm kiếm không phải trả tiền của bạn. Đó là sản phẩm phụ của các biện pháp bảo mật tệ hại có thể làm hỏng danh tiếng và lưu lượng truy cập của trang web của bạn trong con mắt của một công cụ tìm kiếm.

Bây giờ bạn đã biết các mối đe dọa chung gây ra cho trang web của bạn, hãy xem các bước bạn có thể thực hiện để bảo vệ nó.

Cách giữ an toàn cho trang web của bạn

Dưới đây là một vài mẹo đơn giản sẽ bảo vệ trang web của bạn. Tất cả chúng đều dễ thực hiện, mặc dù không phải tất cả đều miễn phí.

- Sử dụng Tường lửa

Internet không đáng tin cậy. Máy chủ nơi trang web của bạn được lưu trữ trên đó mới là đáng tin cậy hoặc, ít nhất, chúng tôi hy vọng như vậy. Nó được sử dụng để kết nối phần còn lại của internet không đáng tin cậy với các tập tin trực tuyến của bạn. Tuy nhiên khi kết nối thì máy chủ web sẽ cho phép virus có thể đến gần. Tuy nhiên ta đã có có firewall (tường lửa).

Hãy tưởng tượng có một ngọn lửa và bạn có một bức tường gạch để bảo vệ mình khỏi nó. Đó là cơ bản những gì một bức tường lửa làm. Có hai hình thức mà máy chủ web sử dụng để bảo vệ trang web của bạn.

Tường lửa phần cứng nằm giữa máy chủ của bạn và phần còn lại của internet. Chúng gắn thẻ các gói khi chúng đi vào máy chủ để xác định dữ liệu đến từ đâu. Khi quá trình này diễn ra, tường lửa có thể hình dung ra những gì sẽ xảy ra và chặn những điều không nên xảy ra.

Hầu hết mọi người đều quen thuộc với tường lửa phần mềm, đặc biệt là nếu họ sử dụng Windows. Tường lửa phần mềm giám sát những thứ như địa chỉ IP đến, tỷ lệ tải xuống và thời gian chuyển. Lưu lượng truy cập không phù hợp với các dòng mà phần mềm rút ra bị chặn để ngăn chặn thiệt hại.

Nếu bạn đã cài đặt phần mềm trên Windows kết nối với internet, bạn đã thấy tường lửa phần mềm đang hoạt động.

Tường lửa phần cứng và phần mềm cung cấp bảo mật tốt nhất khi được sử dụng kết hợp. Không nên có sự khác biệt lớn về bảo mật giữa hai loại, vì vậy việc sử dụng cả hai cung cấp hai bước theo dõi để đảm bảo rằng lưu lượng truy cập đến và từ trang web của bạn được an toàn.

- Bật bảo vệ DDoS

Tường lửa có thể ngăn chặn các cuộc tấn công DDoS bằng cách nhận thấy IP giả mạo trước khi một cuộc tấn công mô phỏng có thể được thực hiện. Tuy nhiên, trong trường hợp của botnet, tất cả các địa chỉ IP là duy nhất. Tường lửa không thể theo kịp vì lưu lượng truy cập đến và từ trang web của bạn có vẻ hợp pháp, chỉ khác mỗi mức tăng nhanh chóng.

Đó là lý do tại sao bảo vệ DDoS tồn tại hoặc chính xác hơn, giảm thiểu DDoS. Các cuộc tấn công DDoS cố gắng phá vỡ một máy chủ web bằng cách làm tràn ngập nó với lưu lượng truy cập. Với mạng phân phối nội dung như Cloudflare, lưu lượng truy cập đó có thể được chia nhỏ để di chuyển qua mạng máy chủ phân tán và hấp thụ lần truy cập.

Bằng cách định tuyến lưu lượng thông minh, CDN có thể bảo vệ trang web của bạn khỏi thời gian chết mà không chặn người dùng hợp pháp. Và bảo vệ DDoS dựa trên phần mềm có thể chặn đột biến lưu lượng truy cập đột ngột ngay cả khi nó được bảo hành, chẳng hạn như sau khi tung ra một sản phẩm mới hoặc được giới thiệu trên một phương tiện truyền thông lớn.

Có rất nhiều máy chủ web hợp tác với Cloudflare để bảo vệ trang web của bạn khỏi các cuộc tấn công DDoS và tăng tốc độ phân phối nội dung tĩnh trong quá trình này.

- Cài đặt Antivirus và làm sạch trang web của bạn

Bạn không thể cài các phần mềm diệt virus trên website như trên máy tính của mình được. Và đó là lý do bạn nên sử dụng các trang web tìm virus online để dễ dàng tìm và lọc website của mình.

Hoặc bạn cũng có thể mua các gói bảo mật virus từ các nhà cung cấp lớn trên thế giới. Và họ sẽ có nhiệm vụ quét, bảo vệ website của chúng ta khỏi malware một cách an toàn tuyệt đối.

Mua một chương trình như thế có thể tốn kém, nhưng họ cung cấp rất nhiều lợi thế. Bạn nhận được giám sát và loại bỏ phần mềm độc hại liên tục, khôi phục toàn bộ bản hack, theo dõi danh sách đen, vá lỗi, giảm thiểu DDoS, CDN và hơn thế nữa. Nếu ngân sách của bạn có thể đáp ứng thì  việc nhận gói bảo vệ phải là tất cả những gì bạn cần để giữ an toàn cho trang web của mình.

- Đăng ký miền của bạn một cách riêng tư

Khi bạn đăng ký một miền với WHOIS, tên, địa chỉ, số điện thoại của bạn và nhiều thứ khác được gắn với nó và hiển thị công khai. Đôi khi bạn có thể nhận được ít thông tin hơn, nhưng điều đó tùy thuộc vào quốc gia bạn đăng ký.

Đăng ký tên miền riêng, thật không may, một dịch vụ trả tiền là điều cần thiết để bảo vệ bản thân và trang web của bạn. Công ty đăng ký tên miền sẽ thay thế thông tin của bạn bằng thông tin của họ, vì vậy sẽ không ai có thể tra cứu bạn là ai trên cơ sở dữ liệu trực tuyến.

Bạn có thể ẩn thông tin tên miền một cách dễ dàng tại iNET với chỉ 50.000đ/ năm. Truy cập iNET để biết thêm chi tiết.

- Cài đặt chứng chỉ SSL hoặc TLS

Sử dụng chứng chỉ SSL trên tên miền của bạn là một trong những cách thực tế nhất để bảo vệ trang web của bạn và người dùng của trang web. Chuyển dữ liệu không được mã hóa là một món quà dành cho người săn lùng vì nó cho phép họ ăn cắp, chặn hoặc xâm phạm dữ liệu của bạn.

Điều đó đặc biệt quan trọng khi chuyển thông tin cá nhân. Ví dụ: nếu bạn điều hành một cửa hàng trực tuyến, chứng chỉ SSL là điều cần thiết. Nếu bạn không có một, thông tin thẻ tín dụng người mua của bạn, địa chỉ, tên và nhiều hơn nữa được gửi đi hàng ngàn dặm mà không cần bảo vệ. Ngoài ra, việc bán sản phẩm trực tuyến mà không cần chứng chỉ SSL là cách chắc chắn để có một vé trong danh sách đen của Google.

Khi bạn đã cài đặt chứng chỉ, máy chủ web của bạn sẽ kết nối với khách truy cập của bạn để hoàn tất việc bắt tay TLS. Nếu mọi thứ đi đúng kế hoạch, một kết nối an toàn sẽ được mở giữa người dùng và máy chủ web để mã hóa dữ liệu di chuyển giữa chúng.

Điều đó cho biết thêm thời gian tải cho trang web của bạn, đó là lý do tại sao một số chứng chỉ SSL đắt hơn các chứng chỉ khác. Một số cung cấp bảo mật hơn với thời gian tải chậm hơn và ngược lại. Chứng chỉ SSL bạn cần phụ thuộc vào mục đích của trang web của bạn.

Nhiều công ty cung cấp hosting chẳng hạn như iNET cung cấp gói chứng chỉ SSL trong gói hosting của họ miễn phí. 

Mẹo bảo mật trang web khác

Với những điểm yếu đó, hãy xem xét một số thủ thuật linh tinh để giúp bạn an toàn.

-  Cập nhật phần mềm của bạn

Cập nhật không phải lúc nào cũng cải thiện hiệu suất và thêm các tính năng mới. Đôi khi, họ đang sửa chữa các lỗ hổng chưa được biết. Do đó, điều quan trọng là phải cập nhật phần mềm của bạn thường xuyên để đảm bảo bạn có các mối đe dọa gần đây nhất được bảo vệ.

Điều đó đặc biệt đúng đối với WordPress, vì nền tảng và mọi plugin bạn sử dụng đều là các mối đe dọa bảo mật tiềm ẩn. Việc cài đặt các plugin WordPress không còn được nhà phát triển của họ hỗ trợ không phải là một ý tưởng tuyệt vời vì lý do đó. Chúng không được cấu hình để bảo vệ chống lại những lần khai thác mới nhất.

Thật không may, cập nhật ngay lập tức không phải là lựa chọn tốt nhất, vì các phiên bản plugin mới có thể không tương thích với các plugin khác. Điều quan trọng là phải sao lưu trang web của bạn thường xuyên bằng cách sử dụng dịch vụ sao lưu trực tuyến để bạn có thể trở về phiên bản trước đó trong trường hợp không tương thích.

- Theo dõi bảo mật của bạn

Điều này có vẻ hiển nhiên, nhưng việc giám sát liên tục trạng thái bảo mật của trang web của bạn là bắt buộc để tránh các cuộc tấn công tiềm ẩn. Hãy đảm bảo lưu ý rằng spam đang lan tràn, những đột biến không được bảo đảm về giao thông và hành vi đáng ngờ.

Có rất nhiều plugin WordPress giúp bạn theo dõi. Jetpack và Akismet Anti-Spam là các lựa chọn miễn phí, nhưng bạn có thể đi sâu hơn với các plugin như Securi . Nếu bạn không sử dụng WordPress, việc kiểm tra bảo mật thường xuyên và kiểm tra an ninh thường xuyên sẽ giúp website bạn khỏe mạnh hơn.

- Chọn máy chủ của bạn một cách cẩn thận

Miễn là nhà cung cấp dịch vụ hosting của bạn thực hiện các biện pháp bảo mật giống nhau trên tất cả các máy chủ của mình, theo lý thuyết, bạn cũng sẽ được bảo vệ tương tự.

Tuy nhiên vấn đề là khi bạn dùng shared hosting. Nó vốn kém an toàn hơn khi bạn đang chia sẻ cùng một máy chủ với nhiều trang web khác. Nếu một trong những trang web đó được nhắm mục tiêu cho một cuộc tấn công, thì có thể hosting của bạn cũng sẽ bị ảnh hưởng.

Hoặc thông qua tra cứu IP dự trữ hoặc mua một trang web trên máy chủ được chia sẻ của bạn, tin tặc có thể truy cập vào các tệp của tất cả các trang web khác trên máy chủ đó. Trong những năm qua, điều đó đã được thực hiện với một đường vòng Symlink trên máy chủ. Hầu hết các máy chủ web đã vá hoặc nâng cấp các máy chủ được chia sẻ của họ để bảo vệ khỏi các cuộc tấn công đó kể từ đó.

Tuy nhiên, tin tặc là những con quỷ nhỏ thông minh và không thiếu các kế hoạch mới được nghĩ ra. Chia sẻ lưu trữ là một lựa chọn hiệu quả về chi phí để tạo trang web, nhưng nó đặt bạn vào thế bất lợi về mặt tốc độ và bảo mật.

- Quét máy tính cục bộ của bạn

Máy tính cục bộ của bạn có thể là một mối đe dọa bảo mật nghiêm trọng đối với trang web của bạn. Một số phần mềm độc hại được viết để ăn cắp thông tin đăng nhập FTP và tiêm các tệp độc hại vào trang web. Sử dụng phần mềm chống virus tốt nhất có thể giúp bỏ qua toàn bộ sự thất bại.

Điều quan trọng là phải quét virus trên máy tính của bạn thường xuyên, đặc biệt nếu bạn thường tải xuống các tệp trực tuyến. Ngay cả các tệp thực thi có vẻ đáng tin cậy có thể đi kèm với các đối tác ngoài ý muốn, do đó, một chương trình diệt virus mạnh mẽ có thể giúp bạn yên tâm.

- Thay đổi mật khẩu của bạn

Không có vấn đề gì về nền tảng bạn xây dựng trang web, tuy nhiên bạn phải bảo mật thông tin tài khoản của mình. Nếu bạn đang sử dụng một CMS như WordPress, có gấp đôi rủi ro, đặc biệt là nếu bạn đang sử dụng cùng một mật khẩu cho nó như bạn đang làm cho máy chủ web của bạn.

Như với bất kỳ tài khoản nào, ai đó có thể bẻ mật khẩu của bạn thông qua bạo lực hoặc bằng cách cài đặt một ứng dụng độc hại và tải một loạt các tập tin khó chịu vào cơ sở dữ liệu của bạn. Để bảo vệ tốt nhất chống lại kiểu tấn công đó, bạn cần sử dụng các mật khẩu khó và duy nhất.

- Hosting an toàn

Hosting là thứ chứa cũng như bảo vệ dữ liệu của bạn, do vậy mà việc chọn nhà cung cấp hosting ngoài giá cả bạn cũng nên cân nhắc về bảo mật. Một nhà cung cấp hosting uy tín sẽ giúp bạn chống đỡ được các cuộc tấn công DDOS hay ngăn chặn việc lây lan virus trong hệ thống máy chủ... 

iNET là nhà cung cấp hosting được người tiêu dùng đánh giá có tính bảo mật cao chống DDOS, cũng như bổ sung rất nhiều các chương trình bảo vệ người dùng khỏi các phần mềm độc hại hay vius. Người dùng hiện nay có thể sở hữu hosting tại iNET với mức giá rất ưu đãi chỉ từ 49.000đ/tháng.

- Suy nghĩ cuối cùng

Tin tặc thường theo sau nhóm người dùng lớn nhất mà họ có thể truy cập. Do đó, bảo mật trang web là một trận chiến khó khăn và rủi ro của bạn sẽ cao hơn khi lưu lượng truy cập tăng lên. Tuy nhiên bạn cũng không cần quá lo lắng khi các nhà cung cấp hosting như iNET đã thêm phần bảo vệ phần mềm độc hại, tấn công DDoS và nhiều hơn nữa để giảm thiểu những vấn đề đó.