การป้องกันการติดมัลแวร์

การปลอดจากมัลแวร์ต้องอาศัยการเฝ้าระแวดระวังอยู่ตลอดเวลา บทความนี้มีเคล็ดลับและคำแนะนำในการป้องกันการติดมัลแวร์ แต่ไม่ได้มีรายละเอียดครบถ้วนสมบูรณ์ และ Google ขอแนะนำให้เจ้าของเว็บไซต์ค้นหาข้อมูลให้ละเอียดมากขึ้นด้วย

การตรวจสอบความสมบูรณ์ของเว็บไซต์ของคุณ

ฟีเจอร์หลายอย่างของ Search Console สามารถช่วยคุณระบุปัญหาที่อาจเกิดขึ้นได้ เช่น

• ลองค้นหาใน Google โดยใช้โอเปอเรเตอร์การค้นหา site: เพื่อดูว่า Google พบหน้าอะไรบ้างในเว็บไซต์ของคุณ ซึ่งเป็นสิ่งที่ควรทำเป็นประจำเพื่อดูว่ามีใครแอบใส่หน้าเว็บหรือเนื้อหาที่ไม่คาดคิดลงในเว็บไซต์หรือไม่ หากเห็นหน้าเว็บที่ไม่รู้จักหรือหัวข้อที่คุณไม่ได้เป็นคนเขียน อาจหมายความว่าเว็บไซต์ถูกแฮ็ก ในกรณีที่คุณยังไม่คุ้นเคยกับโอเปอเรเตอร์การค้นหาด้วย site: โปรดทราบว่านี่เป็นวิธีจำกัดการค้นหาให้แสดงผลจากเว็บไซต์ที่เจาะจง เช่น การค้นหา site:developers.google.com จะแสดงผลการค้นหาจากเว็บไซต์ Google Developers เท่านั้น
• รายงานปัญหาด้านความปลอดภัยจะแสดงหน้าเว็บที่ถูกแฮ็กซึ่ง Google หาเจอในเว็บไซต์ของคุณ และแสดงวิธีการแก้ไขปัญหา
• หาก Google ตรวจพบมัลแวร์ในเว็บไซต์ คุณจะเห็นการแจ้งเตือนในแผงข้อความใน Search Console คุณให้ระบบส่งต่อข้อความไปยังบัญชีอีเมลของคุณได้ เพื่อให้ได้รับการแจ้งเตือนอย่างรวดเร็ว

รายการตรวจสอบการรักษาความปลอดภัย

นอกเหนือจากการตรวจสอบเว็บไซต์ของคุณอย่างสม่ำเสมอแล้ว ขอแนะนำสิ่งต่อไปนี้ด้วย

เจ้าของเว็บไซต์ทั้งหมด

• เลือกรหัสผ่านที่ดี ดูหลักเกณฑ์ของบัญชี Google เพื่อช่วยในการตั้งรหัสผ่าน
• เลือกผู้ให้บริการเนื้อหาที่เป็นบุคคลที่สามอย่างระมัดระวังให้มาก ตรวจสอบว่าแอปและโฆษณาของบุคคลที่สามในเว็บไซต์ของคุณมาจากแหล่งที่เชื่อถือได้และถูกต้องตามกฎหมาย แหล่งข้อมูลที่เชื่อถือได้และถูกต้องตามกฎหมายจะให้การสนับสนุนและข้อมูลติดต่อในเว็บไซต์
• ติดต่อบริษัทโฮสติ้งหรือแพลตฟอร์มเผยแพร่ของคุณเพื่อขอการสนับสนุน บริษัทส่วนใหญ่จะมีกลุ่มสนับสนุนที่คอยตอบสนองและให้ความช่วยเหลือ และ/หรือหน้าการรักษาความปลอดภัย หากหน้าหรือเว็บไซต์เกี่ยวกับการรักษาความปลอดภัยมีฟีด RSS ให้สมัครเป็นสมาชิกเพื่อรับข่าวสารล่าสุดเสมอ
• เก็บรักษาคอมพิวเตอร์ทุกเครื่องของคุณให้ปลอดภัย โดยเฉพาะอย่างยิ่งเมื่อทำงานบนเว็บไซต์ ตรวจดูว่าสถานที่ปฏิบัติงานมีซอฟต์แวร์ที่ทันสมัย ปราศจากไวรัส โทรจัน หรือมัลแวร์ที่คล้ายคลึงกัน และได้ติดตั้งซอฟต์แวร์ป้องกันไวรัสที่อัปเดตไปเมื่อไม่นานมานี้แล้ว

เจ้าของเว็บไซต์ที่มีสิทธิ์เข้าถึงเซิร์ฟเวอร์

• ตรวจสอบการกำหนดค่าเซิร์ฟเวอร์ของคุณ Apache มีเคล็ดลับการกำหนดค่าการรักษาความปลอดภัยบางอย่างในเว็บไซต์ของตน ส่วน Microsoft ก็มีทรัพยากรศูนย์เทคโนโลยีสำหรับ IIS บางอย่างในเว็บไซต์ของตนเช่นกัน เคล็ดลับเหล่านี้บางส่วนรวมถึงข้อมูลเกี่ยวกับสิทธิ์ของไดเรกทอรี คำสั่งรวมฝั่งเซิร์ฟเวอร์ การตรวจสอบสิทธิ์ และการเข้ารหัส
• ทำสำเนาข้อมูลสำรองของไฟล์ .htaccess (หรือกลไกควบคุมการเข้าถึงอื่นๆ โดยขึ้นอยู่กับแพลตฟอร์มของเว็บไซต์) ใช้ไฟล์ข้อมูลสำรองของคุณในการกู้คืนหากสิ่งที่จะกล่าวต่อไปนี้ล้มเหลว อย่าลืมลบไฟล์ข้อมูลสำรองเมื่อคุณดำเนินการเสร็จสิ้นแล้ว
• ติดตามการอัปเดตและแพตช์ซอฟต์แวร์ล่าสุดอยู่เสมอ มีเครื่องมือจำนวนมากที่ทำให้การสร้างเว็บไซต์เป็นเรื่องง่าย แต่เครื่องมือแต่ละอย่างก็เพิ่มความเสี่ยงในการถูกนำไปใช้หาประโยชน์ส่วนตัว อันตรายที่พบบ่อยสำหรับเจ้าของเว็บไซต์จำนวนมากคือการติดตั้งฟอรัมหรือบล็อกบนเว็บไซต์ของตนแล้วลืมไปว่าได้ติดตั้งไว้ สิ่งสำคัญคือคุณต้องอัปเดตโปรแกรมซอฟต์แวร์ใดก็ตามที่ได้ติดตั้งไว้ให้เป็นเวอร์ชันล่าสุดทั้งหมด ซึ่งก็คล้ายกับการนำรถยนต์ไปทำการปรับแต่งเครื่องยนต์ ให้ทำรายการของซอฟต์แวร์และปลั๊กอินทั้งหมดที่ใช้สำหรับเว็บไซต์ของคุณ และติดตามหมายเลขเวอร์ชันและการอัปเดตต่างๆ แม้ว่าคุณจะขยันอัปเดตส่วนประกอบเว็บไซต์ทั้งหมดอยู่เสมอ แต่ยังคงมีความเสี่ยงหากผู้โฮสต์เว็บของคุณไม่ได้ติดตั้งแพตช์ล่าสุดของระบบปฏิบัติการ ปัญหานี้ไม่เพียงส่งผลกระทบต่อเว็บไซต์ที่มีขนาดเล็กเท่านั้น แต่ยังมีคำเตือนต่างๆ สำหรับเว็บไซต์ของธนาคาร ทีมกีฬา รวมถึงเว็บไซต์ขององค์กรและของรัฐบาลด้วย
• คอยตรวจดูไฟล์บันทึก การทำสิ่งนี้ให้เป็นนิสัยเป็นเรื่องที่มีประโยชน์อย่างยิ่ง ซึ่งหนึ่งในนั้นคือการเพิ่มการรักษาความปลอดภัย เช่น พารามิเตอร์ URL ที่ไม่คุ้นเคย (เช่น =http: หรือ =//) หรือปริมาณการเข้าชมที่เพิ่มขึ้นอย่างรวดเร็วสำหรับ URL เปลี่ยนเส้นทางในเว็บไซต์ของคุณอาจบ่งชี้ว่าแฮ็กเกอร์กำลังหาประโยชน์จากการเปลี่ยนเส้นทางแบบเปิด นอกจากนี้ โปรดทราบด้วยว่าแฮ็กเกอร์มักจะพยายามเปลี่ยนแปลงไฟล์บันทึก ให้ใช้มาตรการต่างๆ เพื่อปกป้องไฟล์เหล่านี้จากการถูกโจมตี ตัวอย่างเช่น คุณสามารถย้ายไฟล์เหล่านี้จากตำแหน่งเริ่มต้น ซึ่งจะทำให้แฮ็กเกอร์ค้นพบไฟล์ได้ยากขึ้น
• ตรวจหาช่องโหว่ทั่วไปในเว็บไซต์ หลีกเลี่ยงการมีไดเรกทอรีที่มีสิทธิ์แบบเปิด ซึ่งคล้ายกับการเปิดประตูหน้าบ้านของคุณทิ้งไว้

  นอกจากนี้ ให้ตรวจสอบช่องโหว่ในการแทรก XSS (Cross-site Scripting) และการแทรก SQL

• ใช้โปรโตคอลที่ปลอดภัย Google แนะนำให้ใช้ SSH และ SFTP สำหรับการโอนข้อมูล แทนที่จะใช้โปรโตคอลข้อความธรรมดาอย่างเช่น เทลเน็ตหรือ FTP ส่วน SSH และ SFTP นั้นจะใช้การเข้ารหัสและมีความปลอดภัยกว่ามาก
• ติดตามข่าวสารล่าสุดเกี่ยวกับการรักษาความปลอดภัย บล็อกการรักษาความปลอดภัยของ Google ให้ข้อมูลที่เป็นประโยชน์เกี่ยวกับการรักษาความปลอดภัยและความปลอดภัยทางออนไลน์ รวมถึงคำแนะนำเกี่ยวกับทรัพยากรอื่นๆ เว็บไซต์ของรัฐบาลที่มีชื่อว่า US-CERT (United States Computer Emergency Readiness Team หรือทีมเตรียมความพร้อมฉุกเฉินด้านคอมพิวเตอร์ของสหรัฐอเมริกา) จะมีการแจ้งเตือนและให้เคล็ดลับต่างๆ เกี่ยวกับการรักษาความปลอดภัยทางเทคนิค