Khi đã có bằng chứng website bị xâm nhập, mục tiêu đầu tiên là ngăn sự cố lan rộng mà vẫn giữ được dữ liệu để điều tra. Tắt vội toàn bộ hosting hoặc xóa sạch mã nguồn có thể giảm một triệu chứng trước mắt, nhưng cũng có thể làm mất log, ảnh hưởng email và khiến việc tìm đường vào trở nên khó hơn.
Khoanh vùng là giảm quyền thay đổi của kẻ tấn công, bảo toàn bằng chứng và duy trì phần dịch vụ an toàn nếu có thể. Mức cô lập phải tương xứng với tác động.
Sáu bước khoanh vùng website bị xâm nhập
- Ghi nhận hiện trạng. Lưu thời điểm, URL, ảnh chụp, header, tài khoản và thông báo từ hosting hoặc Google.
- Tạo snapshot sự cố. Sao chép tệp, database, log và cấu hình trước khi dọn; đánh dấu rõ đây là bản nhiễm.
- Giảm bề mặt truy cập. Bật trang bảo trì hoặc giới hạn truy cập nếu website đang phát tán mã độc, lừa đảo hay làm hại người dùng.
- Khóa phiên và tài khoản nguy hiểm. Vô hiệu hóa tài khoản lạ, thay salt để kết thúc phiên WordPress và thu hồi khóa không còn tin cậy.
- Tách phạm vi ảnh hưởng. Kiểm tra các website cùng hosting, subdomain, email và tài khoản quản trị máy chủ.
- Thiết lập kênh làm sạch. Chỉ cho phép người xử lý truy cập bằng thiết bị sạch và kết nối mã hóa.
Có nên đưa website offline?
Nên tạm dừng hoặc giới hạn truy cập nếu trang đang chuyển hướng tới lừa đảo, phát tán tệp độc, thu thập thông tin khách hàng hoặc tiếp tục bị chỉnh sửa. Với website chỉ có dấu hiệu nhẹ và chưa gây hại trực tiếp, có thể giữ một bản tĩnh an toàn trong lúc điều tra. Quyết định cần cân bằng rủi ro cho người dùng, nghĩa vụ kinh doanh và khả năng giữ bằng chứng.
Đổi mật khẩu theo thứ tự nào?
Đừng chỉ đổi mật khẩu wp-admin. Phạm vi thường gồm hosting/control panel, SSH/SFTP, database, WordPress, email khôi phục, tài khoản CDN/DNS và khóa API. Đổi trước khi máy tính quản trị được kiểm tra có thể khiến thông tin mới lại bị lấy cắp. Sau khi làm sạch, đổi thêm một vòng để loại bỏ thông tin đã lộ trong giai đoạn xử lý.
Snapshot bản nhiễm có ích gì?
Bản nhiễm không dùng để khôi phục trực tiếp, nhưng giúp so sánh tệp, dựng timeline và xác định điểm vào. Hãy lưu tách biệt, hạn chế quyền truy cập và ghi lại checksum nếu có thể. Không mở tệp PHP lạ trên máy làm việc theo cách có thể thực thi nó.
Sai lầm thường gặp khi khoanh vùng
- Xóa plugin hoặc tệp đầu tiên bị máy quét đánh dấu mà chưa xác định phạm vi.
- Chỉ quét một website trong tài khoản shared hosting có nhiều website.
- Giữ nguyên tài khoản FTP dùng chung cho nhiều người.
- Khôi phục bản backup nhưng không đóng lỗ hổng hoặc đổi credential.
- Xóa log và cache trước khi lưu bằng chứng cần thiết.
Sau khoanh vùng là gì?
Chỉ khi hoạt động trái phép đã được hạn chế, đội xử lý mới chuyển sang xác định backdoor, thay mã nguồn bằng bản sạch, kiểm tra database, vá điểm vào và xác minh website qua nhiều lớp. Khoanh vùng tốt giúp phần làm sạch có điểm bắt đầu rõ ràng.
Nguồn tham khảo chính thức
Tham khảo quy trình hậu xâm nhập trong tài liệu WordPress.org và các nguyên tắc giới hạn truy cập, containment, backup trong Hardening WordPress.
Khoanh vùng quá mạnh có thể biến sự cố thành gián đoạn lớn
Tắt server ngay giữ an toàn cho người dùng trong vài trường hợp, nhưng cũng làm mất dữ liệu volatile và dừng toàn bộ kinh doanh. Ngược lại, để website chạy khi đang phát tán malware là không chấp nhận được. Quyết định phải dựa trên tác động, khả năng lan rộng và bằng chứng đang cần giữ.
Các lựa chọn ít phá hủy hơn
Có thể chặn một route, vô hiệu hóa plugin, khóa tài khoản, giới hạn outbound, đưa checkout vào maintenance hoặc chuyển trang cảnh báo. Ghi rõ ai phê duyệt, thời gian và điều kiện hoàn tác.
Đừng để attacker biết mọi động thái quá sớm
Thay một mật khẩu trong khi các session khác còn sống có thể khiến attacker xóa log hoặc kích hoạt persistence. Lập thứ tự thu hồi email, hosting, SSH, CDN và WordPress; thực hiện từ thiết bị sạch và theo dõi phản ứng của hệ thống.
Tiếp tục theo quy trình ứng cứu
Các bài trong cụm này đi từ nhận biết đến xử lý và phòng tái nhiễm.
Câu hỏi thường gặp
Có phải luôn tắt website ngay khi bị hack?
Không phải mọi trường hợp, nhưng nên giới hạn truy cập nếu website đang phát tán mã độc, lừa đảo hoặc tiếp tục làm hại người dùng.
Snapshot bản nhiễm có nên giữ không?
Có, lưu tách biệt và hạn chế truy cập để phục vụ đối chiếu, dựng timeline và điều tra nguyên nhân.
Chỉ đổi mật khẩu wp-admin đã đủ chưa?
Chưa. Cần rà hosting, SFTP, database, email, CDN, DNS, khóa API và thiết bị quản trị.
Cần kiểm tra website theo hiện trạng thực tế?
WebAnToan có thể rà dấu hiệu, khoanh vùng phạm vi và đề xuất thứ tự xử lý phù hợp với website của bạn.
