5 Langkah yang Saya Ambil untuk Memulihkan Blog Saya yang Diretas

Blog saya, Leaving Work Behind, diretas pada bulan April. Ini adalah sesuatu yang cukup sering Anda baca tetapi jangan pernah benar-benar berharap akan terjadi pada Anda sampai semuanya terlambat. Sejujurnya saya tidak melihat diri saya sebagai kandidat utama — saya sudah cukup sering menulis tentang keamanan WordPress sehingga ada banyak tindakan pencegahan yang bisa dilakukan. Namun, langkah-langkah tersebut jelas tidak cukup komprehensif.

Diretas adalah sesuatu yang tidak ingin saya alami lagi. Ada banyak alasan mengapa downtime situs web berdampak buruk bagi blog/bisnis Anda: meskipun hilangnya lalu lintas dan potensi pendapatan adalah dua alasan yang paling jelas, saya tidak dapat meremehkan jumlah waktu yang terbuang untuk memulihkan situs dan jumlah stres yang ditimbulkannya. menyebabkan saya.

Dalam postingan ini saya ingin mengungkapkan apa yang terjadi pada situs saya dan memberi tahu Anda apa yang telah saya lakukan untuk meningkatkan keamanan situs saya sejak saat itu.

Diretas: Kisah Saya

Saya bangun pada hari Kamis tanggal 18 April dan menemukan bahwa situs saya tidak aktif dan sudah tidak aktif selama beberapa jam. Saya segera menghubungi penyedia hosting saya, Westhost, yang memberi tahu saya bahwa firewall ModSecurity mereka telah mendeteksi aktivitas yang tidak biasa di situs saya dan segera mematikannya sebagai tindakan pencegahan. Setelah menjalankan pemulihan awal di situs tersebut, saya langsung melihat bahwa situs tersebut telah diretas. Meskipun perubahannya relatif tidak kentara, cukup jelas bahwa ada beberapa oknum yang tidak bertanggung jawab telah melakukan pengintaian.

Ternyata sejumlah besar situs WordPress juga telah diretas, dan pekerjaan Westhost terhenti. Untungnya mereka mengambil cadangan situs setiap hari dan pada sore berikutnya saya kembali online dengan versi situs saya yang sedekat mungkin dengan versi terkini.

Inilah dampak peretasan terhadap lalu lintas saya:

Sebagai gambaran grafik di atas, lalu lintas minggu itu turun ~30% jika dibandingkan dengan minggu sebelumnya. Secara teori, hal itu berarti penurunan pendapatan sebesar 30%.

Dapat dikatakan bahwa saya sangat ingin memastikan (dengan kemampuan terbaik saya) bahwa peretasan seperti itu tidak dapat terulang kembali. Saya segera mengambil tindakan.

Langkah Segera Saya

Hal pertama yang saya lakukan adalah memverifikasi bahwa saya telah mengikuti langkah-langkah yang diuraikan dalam posting terbaru saya tentang mengamankan situs WordPress Anda.

Ini adalah hal mendasar yang mutlak: memperbarui tema dan plugin saya, memastikan bahwa saya memiliki cadangan terbaru, memastikan bahwa profil default saya tidak bernama “admin,” mengubah kata sandi saya, dan memeriksa plugin keamanan di situs saya. Dengan barang-barang itu di tempatnya, inilah saatnya untuk melanjutkan.

Saya tidak mempunyai ilusi bahwa situs saya sekarang 100% aman — lagipula, tidak ada situs yang 100% aman. Karena itu, saya tahu ini jauh lebih aman dibandingkan sebelumnya dan saya akan terus meneliti langkah-langkah keamanan situs sekarang dan di masa depan. Sejauh ini, inilah yang telah saya lakukan.

1. Saya Menginstal VaultPress

Bagi Anda yang belum mengetahuinya, VaultPress adalah solusi pencadangan dan keamanan yang sepenuhnya otomatis untuk WordPress. Itu dimiliki oleh Automattic, “pemilik” WordPress secara de facto.

Setelah menggunakan VaultPress selama beberapa hari, saya tidak percaya saya begitu pelit sehingga tidak bingung menggunakan layanan ini sebelumnya. Paket dasar mereka mulai dari $15 per bulan — saya akan membayarnya untuk ketenangan pikiran setiap hari dalam seminggu.

Faktanya, saya memilih untuk menggunakan paket Premium mereka ($40 per bulan) yang meliputi:

  • Pencadangan Waktu Nyata
  • Pemulihan Situs Sekali Klik Otomatis
  • Arsip, Statistik dan Log Aktivitas
  • Pemulihan Bencana Prioritas
  • Dukungan “Pramugari” Prioritas
  • Pemindaian Keamanan Harian
  • Pemberitahuan Keamanan
  • Pemecah Masalah Sekali Klik untuk Ancaman Keamanan
  • Bantuan Migrasi Situs

Pada dasarnya, mereka membantu Anda.

Meskipun VaultPress tidak dapat menjamin keamanan situs Anda dari peretas, VaultPress dapat menjamin bahwa situs Anda dapat dipulihkan dengan relatif mudah. Ada sesuatu yang sangat menenangkan saat melihat cuplikan situs Anda setiap jam yang disimpan di server VaultPress:

Meskipun ada banyak solusi pencadangan gratis di luar sana, menurut saya tidak ada yang bisa mengalahkan ketenangan pikiran yang saya dapatkan dari VaultPress. Mereka punya 90 cuplikan situs saya yang bisa dipulihkan saat ini, dan yang terbaru hanya berumur dua puluh menit. Saya tahu situs saya aman di tangan mereka.

2. Saya Mengelola Profil Saya

Peretas berpotensi mengakses situs Anda dari profil administrator mana pun dalam backend WordPress Anda — bukan hanya yang Anda gunakan. Ketika saya memuat profil saya, saya dapat melihat bahwa saya memiliki tiga profil lainnya — profil poster tamu, dan dua profil lainnya untuk orang-orang (yang dapat dipercaya) yang telah saya beri akses ke situs saya.

Saya mulai dengan mematikan kedua profil tersebut dan mengubah peran profil poster tamu menjadi Penulis. Ini adalah sesuatu yang saya sarankan Anda lakukan — hanya buat profil Administrator sebanyak yang benar-benar diperlukan. Selain itu, Anda tentu saja harus memastikan bahwa setiap akun memiliki kata sandi acak dan unik yang sesuai dan kata sandi tersebut diubah secara berkala.

Ada kalanya Anda perlu mengizinkan orang (seperti perancang web Anda) mengakses situs Anda. Dalam situasi seperti ini saya menyarankan agar Anda membuat profil untuk mereka dengan kata sandi baru, lalu menghapus profil tersebut segera setelah kebutuhannya berakhir.

Selalu pikirkan titik masuk situs Anda dan apakah itu benar-benar diperlukan.

3. Saya Mengubah Kata Sandi Saya

Anda mungkin berpikir ini adalah langkah yang jelas, tapi sebenarnya saya tidak berbicara tentang kata sandi WordPress saya. Meskipun saya memang mengubahnya, saya juga yakin untuk mengubah semua sandi untuk akun yang sangat sensitif, yaitu:

  • Gmail
  • Facebook
  • Twitter
  • Akun Hosting Saya
  • Rekan Amazon
  • Dll

Jika Anda bertanya-tanya mengapa saya melakukan tindakan ini, lihat saja kisah Mat Honan, yang seluruh kehidupan digitalnya dihancurkan oleh peretas yang awalnya meretas akun Amazon miliknya. Jika Anda merasa bosan dengan keamanan online maka artikel di atas harus dibaca.

Pertimbangkan rantai sederhana ini: seorang peretas mendapatkan akses ke akun email Anda yang baru-baru ini Anda kirimi email ke desainer web Anda dengan detail login untuk situs WordPress Anda. Hanya itu yang mereka perlukan untuk mendapatkan akses ke situs Anda dan melakukan apa pun yang mereka inginkan. Peretasan bisa menjadi hal yang mendasar.

4. Saya Meningkatkan ke SFTP

Ada sesuatu yang mungkin tidak Anda ketahui: data apa pun yang Anda transfer melalui FTP (termasuk nama pengguna dan kata sandi Anda) sepenuhnya tidak terenkripsi. Oleh karena itu, siapa pun yang berhasil mencegat transfer FTP akan dapat mengambil detail login Anda dan mendapatkan akses ke akun Anda.

Hal ini tidak hanya memungkinkan mereka untuk menambah dan menghapus file sesuai keinginan mereka, tetapi mereka juga dapat memperoleh akses ke database WordPress Anda melalui phpMyAdmin dan akhirnya login ke situs Anda.

Sederhananya, tidak masalah seberapa aman akses langsung ke situs WordPress Anda jika peretas dapat masuk melalui FTP. Oleh karena itu, saya sangat menyarankan Anda menonaktifkan akses FTP ke situs Anda dan mentransfer file menggunakan protokol SFTP alternatif, yang tidak mengenkripsi data. Penyedia hosting mana pun yang baik seharusnya dapat membantu Anda dalam hal ini.

Berbicara tentang penyedia hosting…

5. Pertimbangkan Kesesuaian Solusi Hosting Anda

Saya senang saya bersama Westhost. Firewall ModSecurity-lah yang pertama kali mendeteksi peretasan dan menutup situs saya sebelum terjadi kerusakan serius. Mereka juga melakukan pencadangan harian otomatis (yang digunakan untuk memulihkan situs) dan memiliki dukungan pelanggan untuk melakukan booting.

Bisakah Anda mengatakan hal yang sama untuk penyedia hosting Anda? Ada begitu banyak pilihan bagus di luar sana sehingga Anda akan gila jika tetap menggunakan penyedia yang tidak Anda sukai. Anda mungkin mempertimbangkan untuk beralih ke salah satu solusi hosting terkelola (seperti WPEngine) seperti yang dilakukan WPExplorer baru-baru ini.

Apapun pilihan Anda, pastikan untuk menanyakan langkah-langkah keamanan yang mereka ambil. Pertimbangkan langkah-langkah yang telah saya ambil di atas dan pastikan langkah-langkah tersebut kompatibel dengan solusi hosting Anda.

Pesan moral dari cerita ini adalah: jangan berkompromi dengan keamanan. Pada akhirnya, menjaga keamanan situs Anda adalah hal yang lebih penting apa pun lainnya. Tidak ada gunanya memiliki konten yang bagus atau desain baru yang indah jika tidak ada yang dapat melihatnya karena situs Anda telah dirusak oleh peretas yang kejam.

Tipe jahat yang tidak punya urusan lain selain meretas situs orang tidak akan hilang dalam waktu dekat. Semakin cepat Anda menerimanya dan mengambil tindakan yang wajar untuk melindungi situs Anda dari serangan, semakin baik keamanan aset online Anda dalam jangka panjang.

Saya ingin tahu pendapat Anda tentang tindakan yang telah saya ambil. Apakah ada rekomendasi tambahan yang ingin Anda berikan? Beri tahu kami di bagian komentar!