ใช้หลักการของสิทธิพิเศษน้อยที่สุดเพื่อเพิ่มความปลอดภัยของ WordPress

หลักการของสิทธิพิเศษน้อยที่สุดสำหรับ WordPress พลาดไปในหัวข้อข่าวใหญ่เมื่อมีการละเมิด ข้อมูลสูญหาย และการโจมตี DoS แต่เป็นหนึ่งในแนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุดสำหรับเว็บไซต์ WordPress หากมองข้ามไป

ในบล็อกโพสต์นี้ ขั้นแรกเราจะกำหนดหลักการของสิทธิพิเศษน้อยที่สุด จากนั้นตรวจสอบเวลาและสถานที่ที่ใช้ ความเสี่ยงในการไม่รับมัน และสาเหตุที่นักพัฒนาเว็บไซต์จำนวนมากยังไม่สร้างมันลงในเว็บไซต์ WordPress ของตน เรายังแบ่งปันคำแนะนำที่ใช้งานได้จริง เพื่อให้คุณสามารถเริ่มปรับปรุงการรักษาความปลอดภัยของเว็บไซต์ WordPress ของคุณได้ทันที โพสต์ในบล็อกนี้มีกรณีศึกษาเล็กๆ น้อยๆ เพื่อช่วยแสดงให้เห็นการใช้งานในการตั้งค่าจริง

สารบัญ

• หลักการของสิทธิพิเศษน้อยที่สุดคืออะไร?
• หลักการสิทธิพิเศษน้อยที่สุดนำไปใช้เมื่อใดและที่ไหน
• อะไรคือความเสี่ยงหากไม่ได้ใช้ PoLP?
• ทำไมเจ้าของเว็บไซต์จำนวนมากจึงละเลยหลักการของสิทธิพิเศษน้อยที่สุดใน WordPress?
• วิธีการใช้ PoLP สำหรับ WordPress
  • สิทธิ์ผู้ใช้ฐานข้อมูล WordPress
  • บทบาทและสิทธิพิเศษของผู้ใช้ WordPress
    • การสร้างบทบาทที่กำหนดเอง
  • สิทธิ์ของไฟล์และไดเรกทอรี
  • การกำหนดค่าปลั๊กอิน WordPress
  • การเข้าถึง FTP สำหรับผู้รับเหมาบุคคลที่สาม
• กรณีศึกษาขนาดเล็ก
  • แอปพลิเคชั่นเว็บไซต์อีคอมเมิร์ซ
  • มหาวิทยาลัยและสถาบันการศึกษา
  • เว็บไซต์ข่าวและบล็อก
  • เว็บไซต์ธนาคาร
  • ตัวติดตามสุขภาพและฟิตเนส
• การใช้หลักการของสิทธิพิเศษน้อยที่สุดสำหรับ WordPress และอื่นๆ

หลักการของสิทธิพิเศษน้อยที่สุดคืออะไร?

แนวคิดนี้ง่ายมาก: อย่าให้สิทธิ์ในการเข้าถึงแก่บัญชีผู้ใช้ กระบวนการ หรือโปรแกรมมากเกินความจำเป็นเพื่อทำงานที่กำหนดไว้ให้สำเร็จ ในแง่ของเว็บไซต์ WordPress ทั่วไปที่มีบล็อก ลองนึกถึงบรรณาธิการ ผู้เขียน ผู้ร่วมให้ข้อมูล และสมาชิกของคุณ แต่ละคนต้องการเข้าถึงแบ็กเอนด์ของเว็บไซต์ของคุณไม่มากก็น้อย

หลักการของสิทธิพิเศษน้อยที่สุด (PoLP) ยังเป็นที่รู้จักกันในนาม 'หลักการของผู้มีอำนาจน้อยที่สุด', 'หลักการของสิทธิพิเศษขั้นต่ำ' หรือ 'บัญชีผู้ใช้ที่มีสิทธิพิเศษน้อยที่สุด' (LUA)

ลองพิจารณาตัวอย่างง่ายๆ เด็กวัยหัดเดินของคุณไม่จำเป็นต้องเข้าครัวบ่อยนัก ดังนั้น คุณจึงติดตั้งอุปกรณ์ควบคุมการเข้าออก เช่น ประตูนิรภัย ตามจุดต่างๆ ในบ้านของคุณ เพื่อให้อุปกรณ์เคลื่อนที่ได้ตามต้องการ ยกเว้นบางห้อง ในพื้นที่ coworking สาธารณะ คุณจะต้องออกจากระบบแล็ปท็อปก่อนออกไปรับประทานอาหารกลางวัน และผู้ดูแลที่จอดรถของร้านอาหารแฟนซีของคุณจะต้องใช้บัตรประจำตัวหรือตั๋วของคุณก่อนที่จะมอบกุญแจให้กับรถของคุณ การควบคุมการเข้าถึงป้องกันความเสียหายต่อคุณและทรัพย์สินอันมีค่าของผู้ใช้ของคุณ ไม่ว่าจะเป็นสิ่งของที่จับต้องได้หรือเอกสารดิจิทัล

หลักการสิทธิพิเศษน้อยที่สุดนำไปใช้เมื่อใดและที่ไหน

คำตอบง่ายๆ คือ ใช้ได้กับทุกที่ ตั้งแต่เด็กวัยเตาะแตะที่ต้องการปีนบันไดไปจนถึงผู้ใช้ในบัญชีโฮสติ้งเว็บไซต์ WordPress ของคุณ นักการเงินอิสระที่ต้องการดาวน์โหลดใบแจ้งหนี้รายเดือนไม่จำเป็นต้องมีสิทธิ์เข้าถึงระดับเดียวกับผู้ดูแลระบบเว็บไซต์ เช่นเดียวกับบัญชีบริษัทที่ได้รับสิทธิพิเศษทุกประเภท ระบบจัดการไฟล์ เอกสารกลยุทธ์การตลาด หรือผู้จัดการรหัสผ่าน

อะไรคือความเสี่ยงหากไม่ได้ใช้ PoLP?

การควบคุมการเข้าถึงบางพื้นที่อาจดูเหมือนเป็นเรื่องง่าย มิฉะนั้น คุณไม่ได้ออกจากเว็บไซต์ทั้งหมดโดยเจตนาของผู้ใช้ที่เข้าสู่ระบบ – รวมถึงผู้ที่อาจทำผิดพลาดโดยไร้เดียงสาและไม่ได้ตั้งใจ และอาจไม่รู้ด้วยซ้ำว่าพวกเขาได้ทำหรือผลลัพธ์ที่ไม่ได้ตั้งใจ

ลองนึกถึงผู้ใช้ที่เป็นไปได้ต่อไปนี้:

• ผู้ใช้ใหม่เริ่มต้นด้วยความเข้าใจเพียงเล็กน้อยเกี่ยวกับนัยทางธุรกิจของข้อผิดพลาดบนเว็บไซต์ WordPress
• ผู้ที่มีประสบการณ์การบริหาร WordPress เพียงเล็กน้อย
• โดยไม่ทราบถึงความนัยของการดาวน์โหลด WordPress เวอร์ชันใหม่หรือปลั๊กอินตามต้องการ หรือการอัพเดตโดยไม่ต้องสำรองข้อมูลก่อน
• ผู้ที่มีการรับรู้ความปลอดภัยจำกัด สร้างผู้ใช้ใหม่หรือเปลี่ยนสิทธิ์ของผู้ใช้ที่มีอยู่
• ผู้ที่ไม่ทราบวิธีจัดการกับข้อผิดพลาดที่รายงานหรือปัญหาอื่นๆ
• ผู้ร่วมโพสต์บล็อกภายนอก เช่น พันธมิตร นักแปลอิสระ และลูกค้า โดยอาจมีความรู้เกี่ยวกับ WordPress เพียงเล็กน้อย ซึ่งอาจ 'ช่วย' ดาวน์โหลดหรืออัปเดตปลั๊กอินบนเว็บไซต์ของคุณ โดยไม่ต้องถาม

นอกจากนี้ยังหมายความว่าแบ็กเอนด์ WordPress ทั้งหมดของคุณมีความเสี่ยงต่อบุคคลที่ไม่ได้รับอนุญาต เช่น ผู้ที่มีระดับการเข้าถึงที่ไม่เหมาะสม เพิ่มผู้ใช้ใหม่ และให้พวกเขาเข้าถึงพื้นที่ของเว็บไซต์ที่อาจก่อให้เกิดอันตราย โดยเจตนา

เช่น:

• การเปลี่ยนธีม คุณสมบัติที่กำหนดเอง หรือเนื้อหาเว็บไซต์ที่เปิดเผยต่อสาธารณะ
• การจัดการสต็อก SKU หรือข้อมูลเมตาของผลิตภัณฑ์ไม่ถูกต้องบนร้านค้าอีคอมเมิร์ซ
• ให้ส่วนลดโดยไม่ได้รับอนุญาต
• การเข้าถึง เปลี่ยนแปลง ดาวน์โหลดหรือลบโค้ด เทมเพลตเพจ สื่อ การกำหนดค่า หรือพนักงาน ลูกค้า และไฟล์ประเภทอื่นๆ
• การเข้าถึงข้อมูลบริษัท ลูกค้า สุขภาพหรือการเงิน เช่น ใช้ในทางที่ผิดหรือขายให้กับฝ่ายที่ชั่วร้ายอื่นๆ
• ทำให้เว็บไซต์และผลิตภัณฑ์หรือบริการของเว็บไซต์ออฟไลน์

ไม่ว่าคุณจะใช้ WordPress หรือไม่ก็ตาม ปัญหาเหล่านี้อาจเกิดขึ้นได้เมื่อหลักการของสิทธิพิเศษน้อยที่สุดสำหรับ WordPress ไม่ได้ถูกนำมาใช้อย่างจงใจและสม่ำเสมอทั่วทั้งองค์กรของคุณ

เคล็ดลับ: ใช้ปลั๊กอินบันทึกกิจกรรมสำหรับ WordPress เพื่อเก็บบันทึกการเปลี่ยนแปลงทั้งหมดที่ผู้ใช้ทำบนเว็บไซต์ WordPress ของคุณ ช่วยให้มีความรับผิดชอบต่อผู้ใช้และแก้ไขปัญหาได้ง่ายขึ้น

ทำไมเจ้าของเว็บไซต์จำนวนมากจึงละเลยหลักการของสิทธิพิเศษน้อยที่สุดใน WordPress?

ความเสี่ยงที่เราได้สรุปไว้นั้นค่อนข้างจะโน้มน้าวใจได้ใช่ไหม แต่ปัญหาที่พบบ่อยที่สุดประการหนึ่งที่รายงานหลังจากการตรวจสอบเว็บไซต์ WordPress คือบทบาทของผู้ใช้ WordPress ในสภาพแวดล้อมทั่วไปยังคงได้รับการกำหนดค่าดังนี้:

• บทบาทผู้ดูแลระบบ WordPress มอบให้กับผู้ใช้ทุกคน แม้ว่าผู้ใช้เพียงแค่ต้องการป้อนเนื้อหาที่เขียนโดยบุคคลอื่น
• เช่นเดียวกับสิทธิ์ของไฟล์และไดเรกทอรี ซึ่งทั้งหมดได้รับการกำหนดค่าด้วยการอนุญาตที่จำกัดน้อยที่สุด

เราได้รับมัน เราทุกคนเคยมีประสบการณ์การทำงานในฐานะผู้ดูแลระบบและผู้ดูแลเว็บไซต์มาบ้างแล้วในอาชีพการงานของเรา แทนที่จะติดต่อประสานงานระหว่างผู้ใช้และการอนุญาตในช่วงแรก ๆ การตรวจสอบสิ่งที่ผู้ใช้ต้องทำ ผู้ดูแลระบบมักต้องการเพียงแค่มอบหมายบทบาทผู้ดูแลระบบให้พวกเขาด้วย (ดูเหมือนเร็วกว่าในตอนแรก)

เช่นเดียวกับการอนุญาตไฟล์และไดเรกทอรี ตัวอย่างเช่น ปลั๊กอิน WordPress บางตัวเก็บไฟล์แคชหรือข้อมูลอื่นๆ บนระบบไฟล์ (เช่น ในไดเร็กทอรี WordPress) ง่ายกว่าเพียงแค่กำหนดค่าการอนุญาต 777 ในไดเร็กทอรี /wp-content/plugins/ เนื่องจากปลั๊กอินทั้งหมดจะทำงานและไม่จำเป็นต้องใช้เวลาเพิ่มเติมในการแก้ไขปัญหาและปรับแต่งการอนุญาตทุกครั้งที่คุณติดตั้งปลั๊กอินใหม่ แต่การทำวิจัยในตอนเริ่มต้นเพื่อกำหนดพื้นที่เฉพาะของแอปพลิเคชันเว็บไซต์หรือไดเร็กทอรี - เพื่อป้องกันไม่ให้ผู้ใช้เข้าถึงมากเกินไป - ช่วยลดความเสี่ยงที่กล่าวถึงแล้ว และมีประโยชน์เพิ่มเติมในการทำให้ทุกคนสามารถเข้าถึงสิ่งที่พวกเขาต้องการทำงานโดยไม่ต้องป้อนข้อมูลเพิ่มเติมจากผู้ดูแลระบบ

คำถามที่เจ้าของเว็บไซต์และผู้ดูแลระบบมักถาม

ความสะดวกคุ้มค่ากับความเสี่ยงด้านความปลอดภัยหรือไม่? คุณรู้ว่าคำตอบของเราสำหรับคำถามนั้นจะเป็นอย่างไร มันไม่มีประโยชน์อะไรในการติดตั้งและบำรุงรักษาปลั๊กอินความปลอดภัยเว็บแอปพลิเคชันที่ตรงไปตรงมา โปรโตคอลรหัสผ่าน และมาตรการอื่นๆ เช่น 2FA หากความเสี่ยงด้านความปลอดภัยที่ยิ่งใหญ่ที่สุดของคุณคือการที่คุณเปิดประตูหลังทิ้งไว้โดยเปิดไว้โดยมือสมัครเล่นและระบบควบคุมการเข้าออกที่หละหลวม!

วิธีการใช้หลักการของสิทธิพิเศษน้อยที่สุดสำหรับ WordPress

เมื่อคุณมุ่งเน้นที่การทำให้แอปพลิเคชันเว็บไซต์ของคุณมีความปลอดภัยมากที่สุด ส่วนนี้จะแสดงรายการตำแหน่งและวิธีการใช้หลักการของสิทธิ์น้อยที่สุดกับเว็บไซต์หรือบล็อก WordPress

สิทธิ์ผู้ใช้ฐานข้อมูล WordPress

เริ่มจากสถานที่พื้นฐานที่สุด – สิทธิ์หรือสิทธิ์ของฐานข้อมูลผู้ใช้ WordPress

สำหรับการทำงานประจำวันของ WordPress ตามปกติ เช่น การเขียนและเผยแพร่เนื้อหา ผู้ใช้ฐานข้อมูล WordPress ต้องการเพียงการอนุญาตต่อไปนี้เพื่อเปิดใช้งานการจัดการข้อมูลจากภายในฐานข้อมูล:

• เลือก
• แทรก
• อัปเดต
• ลบ

สิทธิ์เหล่านี้ไม่อนุญาตให้ผู้ใช้ฐานข้อมูล WordPress แก้ไขโครงสร้างฐานข้อมูล

คำแนะนำ

ในสภาพแวดล้อมที่เหมาะสม เพื่อเพิ่มความปลอดภัยให้กับเว็บไซต์หรือบล็อก WordPress ของคุณ คุณควรกำหนดค่าสิทธิ์ฐานข้อมูล WordPress MySQL ที่ปลอดภัยและจำกัด เปลี่ยนกลับเป็นการกำหนดสิทธิ์ทั้งหมดให้กับผู้ใช้ที่ต้องการติดตั้งปลั๊กอินใหม่ที่สร้างตารางใหม่ในฐานข้อมูลเท่านั้น หรือเมื่อ WordPress ได้รับการอัปเดตและมีการเปลี่ยนแปลงในสคีมาฐานข้อมูลของ WordPress

คำแนะนำอีกประการหนึ่งคือการหลีกเลี่ยงการให้สิทธิ์เข้าถึงฐานข้อมูลอื่นนอกเหนือจาก WordPress สำหรับเว็บไซต์ที่เกี่ยวข้อง

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับสิทธิ์ของฐานข้อมูล WordPress คุณสามารถอ่านได้ว่าทำไมผู้ใช้ MySQL ขั้นต่ำของสิทธิ์ฐานข้อมูล WordPress จึงปรับปรุงความปลอดภัย ซึ่งจะอธิบายผลกระทบของการกำหนดค่าที่ไม่ปลอดภัย

บทบาทและสิทธิพิเศษของผู้ใช้ WordPress

ผู้ใช้ WordPress ทำผิดพลาด แม้แต่ผู้ดูแลระบบ และผู้ใช้ยังต้องการสำรวจการตั้งค่าและการกำหนดค่า หากคุณกำหนดสิทธิ์การเข้าถึงระดับผู้ดูแลระบบระดับสูงหรือผู้ดูแลระบบให้กับผู้ใช้ ยิ่งพวกเขาสงสัยมากเท่าใดก็จะยิ่งติดตั้งปลั๊กอินแบบสุ่ม ซึ่งอาจส่งผลให้เกิดการเปลี่ยนแปลงประสบการณ์ของผู้ใช้โดยไม่ได้ตั้งใจ เช่น การเปลี่ยนแปลงในฟังก์ชันการทำงานของเว็บไซต์

WordPress มีบทบาทผู้ใช้ในตัวและความสามารถที่เชื่อมต่ออยู่จำนวนหนึ่ง ตามรายการด้านล่าง (จากมากไปน้อย)

• ผู้ดูแลระบบระดับสูง – ผู้ดูแลระบบเครือข่ายไซต์
• ผู้ดูแลระบบ – ผู้ดูแลเครือข่ายไซต์สำหรับไซต์เดียว
• บรรณาธิการ – จัดการและเผยแพร่โพสต์ รวมถึงโพสต์ของผู้ใช้รายอื่น
• ผู้เขียน – จัดการและเผยแพร่โพสต์ของตัวเอง
• Contributor – เขียนและจัดการโพสต์ของตัวเอง แต่ไม่เผยแพร่
• สมาชิก – จัดการโปรไฟล์เท่านั้น

ตัวอย่างของวิธีการทำงานในทางปฏิบัติคือในขณะที่ผู้ร่วมให้ข้อมูลและผู้เขียนอาจแบ่งปันความสามารถบางอย่าง (เช่น แก้ไขโพสต์และลบโพสต์) ผู้ร่วมให้ข้อมูลไม่สามารถทำทุกอย่างที่ผู้เขียนสามารถทำได้ เช่น อัปโหลดไฟล์หรือสร้างบล็อกที่ใช้งานได้

การสร้างบทบาทที่กำหนดเอง

นอกจากนี้ยังมีปลั๊กอินจำนวนมากที่คุณสามารถใช้สร้างบทบาท WordPress ใหม่และกำหนดเองได้

ต่อไปนี้คือกรณีการใช้งานทั่วไป:

• ในองค์กรขนาดใหญ่ คุณอาจต้องมอบหมายให้บางคนในทีมการตลาดของคุณดูแล อนุมัติ และตอบกลับความคิดเห็น ความสามารถในการ 'กลั่นกรองความคิดเห็น' อยู่ในบทบาทบรรณาธิการ แต่บทบาทนี้ยังกำหนดความสามารถที่ทรงพลังอื่นๆ อีกจำนวนมาก ดังนั้น หากนั่นคือทั้งหมดที่พวกเขาต้องทำ การตั้งค่าบทบาทที่กำหนดเองด้วยการอนุญาตเพียงครั้งเดียวก็เพียงพอแล้ว
• หากไซต์ WordPress ของคุณมีปลั๊กอินอีคอมเมิร์ซ เช่น WooCommerce คุณจะถูกจำกัดบทบาทเริ่มต้นเพียงสองบทบาท: ผู้จัดการร้าน (อนุญาตให้ผู้ใช้จัดการร้านค้าทั้งหมด) และลูกค้า (อนุญาตให้ผู้ใช้ดูบัญชีและคำสั่งซื้อของพวกเขา) ผู้ดูแลระบบมีสิทธิ์เพิ่มเติม เช่น 'จัดการการตั้งค่า' และ 'ดูรายงาน' แต่ถ้าผู้ใช้ของคุณ เช่น พนักงานที่ไม่ใช่ฝ่ายจัดการ ต้องการบางสิ่งระหว่างนั้น เช่น ความสามารถในการเพิ่มและจัดการปริมาณสต็อคหรือ SKU หรือเพียงแค่ดำเนินการตามคำสั่งซื้อ
• บนเว็บไซต์ของเรา เราใช้ปลั๊กอินสำหรับบทความฐานความรู้ของเรา สิ่งนี้ทำให้ทีมสนับสนุนของเราสามารถเข้าถึงเพื่อสร้างและแก้ไขบทความฐานความรู้ แต่ไม่สามารถเข้าถึงหน้าเว็บไซต์หลักและบล็อกโพสต์

คำแนะนำ

สำหรับผู้ใช้ทั่วไปส่วนใหญ่ บทบาท Contributor ก็เพียงพอแล้ว สำหรับหัวหน้าทีมและผู้จัดการที่ลงมือปฏิบัติจริง ขอแนะนำให้ใช้บทบาทบรรณาธิการ แต่คุณควรจำกัดบทบาทผู้ดูแลระบบระดับสูงและผู้ดูแลระบบให้กับผู้ใช้ที่มีประสบการณ์และมีความรับผิดชอบซึ่งต้องการจริงๆ

สำหรับข้อมูลเพิ่มเติม โปรดดูที่วิธีใช้บทบาทของผู้ใช้ WordPress เพื่อปรับปรุงความปลอดภัยของ WordPress

สิทธิ์ของไฟล์และไดเรกทอรี

กำหนดค่าสิทธิ์ของไฟล์และไดเรกทอรีได้ง่าย และมีเอกสารออนไลน์มากมายที่อธิบายวิธีทำให้สิทธิ์ในการติดตั้ง WordPress ของคุณแข็งแกร่งขึ้น WordPress ทำงานบนระบบปฏิบัติการใด ๆ ที่ใช้ PHP โดยทั่วไปคือ Linux ในแง่ของกลุ่ม Linux มีกลุ่มสิทธิ์สามกลุ่ม:

• เจ้าของ – เจ้าของไฟล์/ไดเร็กทอรีซึ่งไม่มีผลกับผู้ใช้รายอื่น
• กลุ่ม – กลุ่มผู้ใช้ที่ได้รับมอบหมายให้เข้าถึงไฟล์/ไดเร็กทอรี ซึ่งสิทธิ์นั้นไม่มีผลกับผู้ใช้ภายนอกกลุ่ม
• อื่นๆ – สิทธิ์ระดับใดที่ทุกคนมีในไฟล์/ไดเรกทอรีเดียวกัน

แต่ละรายการได้รับมอบหมายให้อ่าน (ดูเนื้อหา) เขียน (เขียนหรือแก้ไขเนื้อหา) หรือดำเนินการ (เรียกใช้เนื้อหา เช่น สคริปต์) สิทธิ์เหล่านี้ถูกจัดเก็บเป็นชุดตัวเลข และให้สิทธิ์ในการเข้าถึงโค้ด PHP รูปภาพและสื่ออื่นๆ ไฟล์ HTML และจาวาสคริปต์ และปลั๊กอิน

ความหมายของการมอบหมายการอนุญาตที่ไม่ถูกต้องให้กับกลุ่มการอนุญาตที่ไม่ถูกต้องอาจหมายความว่าแฮ็กเกอร์ที่เป็นอันตรายสามารถใช้ประโยชน์และส่งผลให้ช่องโหว่ระดับต่ำกลายเป็นความเสี่ยงที่ยอมรับไม่ได้

คำแนะนำ

เมื่อติดตั้ง WordPress คุณควรใช้ PoLP โดยกำหนดค่าการอนุญาตไฟล์และไดเรกทอรีที่น้อยที่สุดเพื่อให้ WordPress ทำงานได้

โปรดจำไว้ว่า การอนุญาตไฟล์และไดเรกทอรีให้แข็งตัว คุณอาจจำกัดไม่ให้ปลั๊กอิน WordPress บางตัวทำงาน ตามที่อธิบายไว้ก่อนหน้านี้ คุณอาจกำลังติดตั้งปลั๊กอินที่จำเป็นต้องจัดเก็บข้อมูลในไดเร็กทอรีการติดตั้ง ถ้าใช่ อย่าเพียงแค่กำหนดค่าการอนุญาต 777 ให้กับไดเร็กทอรีปลั๊กอิน (อ่าน เขียน และดำเนินการกับทุกคนที่มีสิทธิ์ควบคุม) นั่นคือทางออกที่ง่าย แต่คุณควรหลีกเลี่ยงการจำกัดมันจนถึงขั้นป้องกันไม่ให้ผู้ใช้ที่เกี่ยวข้องอัปเดต WordPress ธีมและปลั๊กอินจาก UI ของเว็บ

สำหรับข้อมูลเพิ่มเติม โปรดดูการอนุญาตไฟล์ WordPress: คำแนะนำในการกำหนดค่าการอนุญาตเว็บไซต์และเว็บเซิร์ฟเวอร์ที่ปลอดภัย

การกำหนดค่าปลั๊กอิน WordPress

ผู้บริหารทุกคนไม่เท่าเทียมกัน เช่นเดียวกับระบบและเครือข่ายอื่นๆ เป็นเรื่องปกติที่จะมีผู้ดูแลลูกค้าเป้าหมายในกลุ่มผู้ดูแลระบบ WordPress โดยทั่วไปแล้ว เจ้าของเว็บไซต์ไม่มีทางเลือกอื่นนอกจากให้สิทธิ์การเข้าถึงระดับผู้ดูแลระบบแก่ผู้ใช้รายอื่น โปรดจำไว้ว่าในกรณีของปลั๊กอินความปลอดภัย WordPress พวกเขามักจะสามารถจัดเก็บข้อมูลที่สำคัญ เช่น บันทึกการตรวจสอบความปลอดภัยของ WordPress ซึ่งผู้ดูแลระบบจะสามารถเข้าถึงได้

คำแนะนำ

ปลั๊กอินความปลอดภัย WordPress มักจะอนุญาตให้คุณจำกัดการเข้าถึงผู้ดูแลระบบ WordPress คนอื่น ๆ การใช้คุณสมบัติดังกล่าวดูเหมือนเป็นการควบคุมเพียงเล็กน้อย แต่บางครั้งก็ถูกมองข้าม ซึ่งจะช่วยให้คุณควบคุมการเข้าถึงของผู้ใช้ได้ดียิ่งขึ้น

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับปลั๊กอินแต่ละตัว โปรดติดต่อฝ่ายสนับสนุนปลั๊กอินและผู้ให้บริการโฮสต์ จากนั้นถามไดเร็กทอรีที่ปลั๊กอินต้องเขียน ดังนั้นคุณสามารถกำหนดค่าการอนุญาตสำหรับไดเร็กทอรีนั้นโดยเฉพาะ

การเข้าถึง FTP สำหรับผู้รับเหมาบุคคลที่สาม

เมื่อคุณจ้างนักออกแบบหรือทีมสนับสนุนของปลั๊กอินต้องการการเข้าถึง FTP ในเว็บไซต์ของคุณ คุณอาจให้สิทธิ์พวกเขาในการเข้าถึงรากของเว็บไซต์ของคุณโดยสมบูรณ์ใช่ไหม สิ่งนี้ไม่จำเป็น

คำแนะนำ

ในกรณีของนักออกแบบ สิ่งที่พวกเขาต้องการคือไดเร็กทอรีของธีม ดังนั้นให้จำกัดการเข้าถึงไดเร็กทอรีนั้น เช่นเดียวกับทีมสนับสนุนปลั๊กอิน หากพวกเขาต้องการสิทธิ์เข้าถึงเพื่อตรวจสอบไฟล์บันทึก ให้สิทธิ์เข้าถึง FTP ไปยังไดเรกทอรีของปลั๊กอินหรือตำแหน่งที่ปลั๊กอินจัดเก็บไฟล์บันทึก หลีกเลี่ยงการพึ่งพาบุคคลภายนอกเพื่อทำการตรวจสอบสถานะการรักษาความปลอดภัยให้กับคุณ

กรณีศึกษาขนาดเล็ก

มาดูตัวอย่างที่เกี่ยวข้องกันเกี่ยวกับวิธีการทำงานนี้ และวิธีที่คำถามและการตัดสินใจเกี่ยวกับการควบคุมการเข้าถึงสามารถขับเคลื่อนแอปพลิเคชันของ PoLP เพื่อเปิดใช้งานการเข้าถึงที่ถูกต้องสำหรับทีมและบุคคลที่เหมาะสม

แอปพลิเคชั่นเว็บไซต์อีคอมเมิร์ซ

แอปพลิเคชันเว็บไซต์อีคอมเมิร์ซ เช่น แอปพลิเคชันที่ผู้บริโภคซื้อของที่มีราคาสูง เช่น ตู้เย็นช่องแช่แข็ง เครื่องดูดฝุ่น กล้อง หรือแล็ปท็อป นำเสนอตัวอย่างต่างๆ ที่สามารถนำ PoLP มาใช้ได้

การตัดสินใจควบคุมการเข้าถึงบางอย่างสำหรับนักพัฒนาแอปพลิเคชันเว็บไซต์อีคอมเมิร์ซนั้นชัดเจน:

• แผนกทรัพยากรบุคคลอาจไม่จำเป็นต้องเข้าถึงข้อมูลลูกค้าหรือไดเรกทอรีไฟล์ที่เก็บปลั๊กอิน แต่จำเป็นต้องเข้าถึงบันทึกของพนักงานส่วนใหญ่ (แม้ว่าข้อมูลสุขภาพซึ่งมักจะมีสถานะพิเศษภายใต้กฎหมายว่าด้วยการปกป้องข้อมูลจำนวนมากอาจ ถูก จำกัด ให้มากขึ้นโดยจำเป็นต้องรู้พื้นฐาน)
• ฝ่ายการตลาดไม่จำเป็นต้องเข้าถึงตาราง SKU หรือรหัสผลิตภัณฑ์ อย่างไรก็ตาม พวกเขาต้องการเข้าถึงตารางในฐานข้อมูลผลิตภัณฑ์ที่แสดงชื่อผลิตภัณฑ์ ข้อมูลจำเพาะ และคำอธิบาย

บางส่วนมีความชัดเจนน้อยกว่า:

• ผู้บริโภคจำเป็นต้องเข้าถึงข้อมูลทั้งหมดของตนตลอดเวลาหรือไม่?
• เจ้าหน้าที่ปฏิบัติตาม PCI-DSS ต้องการเข้าถึงข้อมูลผู้บริโภคทั้งหมดหรือไม่

มหาวิทยาลัยและสถาบันการศึกษา

แล้วสถาบันที่เก่าแก่และยาวนานกว่านั้น ในตอนแรกการรักษาความปลอดภัยเว็บแอปพลิเคชันและ PoLP ไม่ชัดเจนในขั้นต้นล่ะ

การตัดสินใจควบคุมการเข้าถึงบางอย่างสำหรับพอร์ทัลของมหาวิทยาลัยและวิทยาลัยนั้นชัดเจน:

• แผนกบัญชีเงินเดือนจำเป็นต้องเข้าถึงบันทึกของพนักงานและผู้รับเหมาในแอปพลิเคชันเว็บไซต์เพื่อติดตามวันทำงานและชำระเงิน
• แผนกธุรการประเภทต่างๆ อาจต้องเข้าถึงบันทึกของนักเรียน เพื่อดำเนินการเกี่ยวกับบัตรประจำตัว ใบสมัครที่พัก บิล หรือเงินช่วยเหลือ

บางส่วนมีความชัดเจนน้อยกว่า:

• ซัพพลายเออร์บุคคลที่สามรายใด เช่น การสร้างผู้ให้บริการรูดการ์ด อาจต้องการเข้าถึงตารางข้อมูลนักเรียนบางรายการเป็นระยะ

เว็บไซต์ข่าวและบล็อก

เว็บเต็มไปด้วยเว็บไซต์ข่าว พอดคาสต์ และบล็อก เจ้าของเว็บไซต์จำนวนมากขึ้นอยู่กับผู้ดูแลระบบ ผู้ร่วมให้ข้อมูล บรรณาธิการ ผู้ตรวจทาน และผู้เผยแพร่ นอกจากนี้ยังมีสมาชิกและผู้ดูที่ต้องพิจารณา

การตัดสินใจควบคุมการเข้าถึงสำหรับข่าวสารและแอปพลิเคชันเว็บไซต์บล็อกบางส่วนมีความชัดเจน:

• บรรณาธิการอาจต้องเข้าถึงหน้า บทความ และบล็อกโพสต์ของทุกคน ทั้งนี้ขึ้นอยู่กับพื้นที่รับผิดชอบทางธุรกิจ
• ผู้ร่วมให้ข้อมูลจะต้องเข้าถึงเพียงโพสต์บล็อกของตัวเอง

บางส่วนมีความชัดเจนน้อยกว่า:

• บุคคลที่สามทั้งหมดต้องการเข้าถึงทุกตารางในฐานข้อมูล WordPress หรือไม่? นี่คือที่มาของการควบคุมแบบกำหนดเอง

เว็บไซต์ธนาคาร

ตัวอย่างสุดท้ายของเราคือสิ่งที่พวกเราหลายคนใช้เป็นประจำทุกวัน บริการเว็บไซต์ธนาคาร นอกเหนือจากข้อมูลด้านสุขภาพแล้ว ข้อมูลทางการเงินส่วนบุคคลยังเป็นประเภทที่เป็นความลับที่สุดชนิดหนึ่งอีกด้วย

การตัดสินใจควบคุมการเข้าถึงบางอย่างสำหรับการสร้างแอปพลิเคชันเว็บไซต์นั้นชัดเจน:

• ผู้ใช้บริการธนาคารไม่ควรมีสิทธิ์เข้าถึงบัญชีของผู้ใช้รายอื่น เว้นแต่จะได้รับความยินยอมโดยชัดแจ้ง (อาจควบคุมโดยผู้ใช้)
• บัญชีผู้ใช้ของพนักงานควรมีสิทธิ์เข้าถึงบัญชีผู้ใช้บริการจำนวนมาก แต่จำกัดเฉพาะงานที่พวกเขาต้องทำในฐานะส่วนหนึ่งของงานเท่านั้น

บางส่วนมีความชัดเจนน้อยกว่า:

• ฝ่ายสนับสนุนด้านเทคนิคควรมีสิทธิ์เข้าถึงมากแค่ไหน? พวกเขาควรจะสามารถดูและแก้ไขทุกอย่างได้หรือไม่ในกรณีที่เกิดข้อผิดพลาด?

เราขอแนะนำให้คุณคิดและวางแผนกรณีการใช้งานทางธุรกิจสำหรับแต่ละสถานการณ์ ร่วมกับกลุ่มผู้ใช้และบุคคลที่มีรายละเอียดงานเฉพาะตัว จัดทำแผนที่เหล่านี้ก่อน จากนั้นคุณสามารถเริ่มตรวจสอบโปรโตคอลการควบคุมการเข้าถึงที่มีให้คุณในเว็บไซต์ WordPress ของคุณ

ตัวติดตามสุขภาพและฟิตเนส

อุปกรณ์ติดตามสุขภาพหรือฟิตเนสและแดชบอร์ดออนไลน์ที่เชื่อมต่อจะรวบรวม จัดเก็บ และแบ่งปันสถิติที่น่าสนใจเกี่ยวกับผู้ใช้และข้อมูลด้านสุขภาพ กิจกรรม เป้าหมาย และความสำเร็จ

การตัดสินใจควบคุมการเข้าใช้งานบางอย่างสำหรับแบรนด์เครื่องติดตามสุขภาพและฟิตเนสนั้นชัดเจน:

• ทีมใดในองค์กรที่ต้องการเข้าถึงข้อมูลใด สมเหตุสมผลแล้วหากทีมใดทีมหนึ่งรับผิดชอบการออกแบบและพัฒนาส่วนการติดตามการนอนหลับของแอป ไม่จำเป็นต้องเข้าถึงตารางสถิติการออกกำลังกาย
• ผู้ใช้ส่วนใหญ่จะต้องการให้ PoLP (ไม่ว่าจะรู้หรือไม่ก็ตาม) มีข้อ จำกัด อย่างมาก จึงไม่แชร์ข้อมูลด้านสุขภาพกับผู้ใช้รายอื่นทุกคน ดังนั้น บทบาทผู้ใช้ปกติควรให้สิทธิ์การเข้าถึงแบบใด และข้อมูลใดบ้างที่จะแบ่งปันในโปรไฟล์สาธารณะ (เฉพาะชื่อ รูปโปรไฟล์ และขั้นตอนเฉลี่ยรายวันเท่านั้น)

บางส่วนมีความชัดเจนน้อยกว่า:

• ผู้ใช้รายอื่นจำเป็นต้องเข้าถึงข้อมูลอะไรและมากน้อยเพียงใดเพื่ออำนวยความสะดวกให้กับคุณสมบัติการเล่นเกมทั่วไปของเครื่องมือดังกล่าว
• นักพัฒนาควรตั้งค่าการอนุญาตการเข้าถึงทั้งหมด หรือการตัดสินใจบางอย่างควรถูกถ่ายโอนไปยังผู้ใช้

การใช้หลักการของสิทธิพิเศษน้อยที่สุดสำหรับ WordPress และอื่นๆ

ข้างต้นเป็นเพียงการเลือกสถานการณ์ทั่วไปส่วนใหญ่ที่มักมองข้ามหลักการของสิทธิพิเศษน้อยที่สุดสำหรับ WordPress แต่สามารถใช้งานได้ง่าย

ในการเริ่มใช้ PoLP ให้เริ่มต้นด้วยการพิจารณาสิ่งที่คุณต้องการทำเกี่ยวกับรายการต่อไปนี้:

• เว็บเซิร์ฟเวอร์
• ฐานข้อมูล
• การปรับแต่ง

อย่าอายที่จะใช้หลักการของสิทธิพิเศษน้อยที่สุดเพียงเพราะสิ่งต่างๆ ไม่ได้ผลในทันที ใช่ ส่วนใหญ่คุณต้องใช้เวลาสองสามชั่วโมงในการกำหนดค่าบทบาทผู้ใช้ที่กำหนดเองและปลั๊กอินการแก้ไขปัญหา บรรจุสิ่งนี้ในใจของคุณเป็นการลงทุนระยะยาวในการรักษาความปลอดภัยเว็บไซต์ WordPress ของคุณ