Bảo Mật Website 24h

Dùng PDO (PHP Data Objects).PDO là một phần tiện ích mở rộng của PHP, nó giúp website bạn trở nên nhanh và an toàn hơn.

Dưới đây là một số cách nho nhỏ giúp bạn có thể bảo vệ được website của mình.

Dùng PDO (PHP Data Objects)

PDO là một phần tiện ích mở rộng của PHP, nó giúp website bạn trở nên nhanh và an toàn hơn.

<?php

$PSH = $db->prepare('SELECT * FROM table WHERE id = :id');

$PSH->execute(array(':id' => $_GET['id']));

$rows = $PSH->fetchAll();

?>

  Sử dụng hàm mysql_real_escape_string()

Đây là một hàm khá hữu dụng. Hàm này giúp bạn loại bỏ những kí tự không cần thiết trước khi xử lí câu lệnh SQL.

<?php

$id = mysql_real_escape_string($_GET['id']);

$query = mysql_query("SELECT * FROM table where id = "' .$id. '");

?>

Sử dụng hàm preg_replace() Đây lại là một hàm khá quen thuộc với các coder. preg_replace() giúp bạn loại bỏ những kí tự được chỉ định giúp câu lệnh trở nên an toàn hơn.

<?php

$id = preg_replace("/[^0-9]/","", $_GET['id']);

$query = mysql_query("SELECT * FROM table where id = "' .$id. '");

?>

Theo Trend Micro ngày 20.1, xu hướng tấn công các thiết bị di động trong năm 2014 vẫn sẽ tiếp tục gia tăng, trong đó Android không phải là nền tảng duy nhất bị tấn công mà ngay cả iOS, Windows Phone và BlackBerry cũng nằm trong danh sách này.

Theo Trend Micro ngày 20.1, xu hướng tấn công các thiết bị di động trong năm 2014 vẫn sẽ tiếp tục gia tăng, trong đó Android không phải là nền tảng duy nhất bị tấn công mà ngay cả iOS, Windows Phone và BlackBerry cũng nằm trong danh sách này.

Trend Micro ước tính rằng số ứng dụng Android có chứa mã độc sẽ đạt mốc 3 triệu trong năm 2014.

Ngoài ra, thiết bị USB sẽ được sử dụng như công cụ lây nhiễm mã độc hại cho các thiết bị trong năm 2014. Xu hướng dùng thiết bị di động để tấn công thiết bị di động sẽ là cách không mới, nhưng đầy hiệu quả.

Bên cạnh đó, Neil Cook - Giám đốc công nghệ của hãng Cloudmark - nhận định về sự xuất hiện của cách thức tấn công mới mang tên Ransomware, được xem là phần mềm độc hại sẽ bùng phát trong năm 2014.

Ransomware, hoạt động tương tự như phần mềm mã độc Citadel và CryptoLocker, sẽ khóa thiết bị của người dùng khi bị nhiễm, sau đó chỉ cho phép sử dụng khi người dùng đã bỏ ra một số tiền để chuộc lại.

CloudFlare, công ty chuyên cung cấp các giải pháp bảo mật và mạng phân phối nội dung đang phải gánh chịu cuộc tấn công DDoS (distributed denial-of-service) lớn chưa từng thấy. Theo tin tức công nghệ, đợt tấn công DDoS vừa qua nhắm vào CloudFlare có lúc lên tới 400 Gbps, cao hơn so với mức DDoS kỷ lục trước đó là 100 Gbps.

Những kẻ tấn công dường như đã sử dụng một phương pháp ngày càng phổ biến được gọi là NTP (Network Time Protocol) Reflection, trong đó dùng một cơ chế thời gian để khuếch đại rất nhiều cuộc tấn công.

Theo hãng bảo mật Black Lotus, "100Mbps lưu lượng của NTP giả mạo có thể dẫn tới 5.8Gbps lưu lượng truy cập độc hại để tấn công các mục tiêu". Một ưu điểm khác của kiểu tấn công NTP Reflection là kẻ chủ mưu có thể che giấu được mình nhờ đặc thù những yêu cầu ban đầu là giả mạo.

Matthew Prince - Giám đốc điều hành của CloudFlare dường như đang lo lắng về hình thức của cuộc tấn công. Trên Twitter, ông chia sẻ "kiểu tấn công NTP Reflection thực sự khó chịu", và cho biết đợt DDoS kỷ lục vừa qua đã gây ra những lo ngại đáng kể.

Hồi tháng trước, CloudFlare xuất bản một bài viết trên blog với các mô tả chi tiết hình thức tấn công NTP Reflection, cũng như lời khuyên để tránh kiểu tấn công này, rất khôi hài là hiện tại chính CloudFlare cũng không thể tránh nổi kiểu tấn công này.

NTP chỉ là một trong một vài giao thức và có thể bị lạm dụng để khuếch đại các cuộc tấn công DDoS. Hai phương thức khác là DNS (Domain Name System) và SNMP (Simple Network Management Protocol). Điểm chung của các giao thức này là cho phép một truy vấn tương đối nhỏ để tạo ra một lượng phản hồi lớn, ví dụ như 10Gbps, kẻ tấn công có thể sử dụng botnet để gửi các truy vấn giả mạo với một danh sách các DNS mở hoặc các máy chủ NTP. Những truy vấn có thể được chế tác để xuất hiện như là đến từ địa chỉ IP của nạn nhân và có thể gây ra phản ứng lớn từ các máy chủ đến địa chỉ đó.

Trong trường hợp này, tỉ lệ khuếch đại là 8x, có nghĩa là kẻ tấn công có thể tạo ra lưu lượng lớn hơn tám lần so với bình thường mạng botnet có thể tạo ra. Tuy nhiên, trong trường hợp của NTP và SNMP con số này có thể lớn hơn lên đến 200x và 650x.

Những vụ tấn công sử dụng phương thức NTP này không còn hiếm. Những kẻ tấn công đang tiếp cận phương pháp này càng nhiều. Máy chủ NTP được sử dụng bởi các máy tính và thiết bị để đồng bộ hóa cho nhiều người truy cập.

Dù không thể phòng tránh hoàn toàn các mối đe dọa từ tội phạm mạng nhưng bạn vẫn có thể tự bảo vệ để website an toàn hơn bằng những quy tắc bảo mật cơ bản bên dưới.

Bảo mật là yêu cầu bắt buộc đối với một website. Là người quản trị website, bạn cần có những phương thức bảo vệ phù hợp. Dù vậy, một số quy tắc bảo mật website cơ bản bên dưới sẽ giúp bạn chủ động phòng tránh và giảm thiểu thiệt hại khi xảy ra sự cố.

1. Đặt mật khẩu mạnh

Thay đổi mật khẩu định kỳ là việc cần thực hiện trước tiên. Đây là quy tắc cơ bản giúp tăng cường bảo mật cho hệ thống máy chủ. Mật khẩu không chỉ bắt buộc thay đổi sau khi xảy ra sự cố mà cần phải thay đổi thường xuyên, tốt nhất là định kỳ mỗi tháng một lần. Một mật khẩu mạnh và có tính an toàn cao phải được kết hợp giữa chữ, số và các ký tự đặc biệt đồng thời phải dễ nhớ để không phải ghi chú vào sổ tay hoặc máy tính. Mỗi tài khoản nên có mật khẩu riêng và nếu dùng chung thông tin đăng nhập cho nhiều trang web khác nhau, bạn phải chắc chắn thay đổi cho tất cả chúng.

Tham khảo thêm cách tạo và nhớ mật khẩu tại www.pcworld.com.vn/A1011_120hoặc tạihttp://www.kaspersky.com/passwords

2. Cập nhật bản sửa lỗi

Các cuộc tấn công mạng thường có xu hướng khai thác lỗi hoặc lỗ hổng bảo mật trong các phần mềm để xâm nhập máy tính khi người dùng truy cập đến những website bị nhiễm virus hoặc mã độc (malware nói chung). Máy tính và website sẽ an toàn hơn khi hệ điều hành và các ứng dụng thường xuyên được cập nhật bản sửa lỗi, khắc phục lỗ hổng bảo mật. Điều này sẽ làm giảm nguy cơ tấn công nhằm vào việc khai thác dữ liệu.

Tham khảo chi tiết các lỗ hổng bảo mật dễ bị tấn công tạihttp://cve.mitre.org/

  3. Sao lưu nội dung website

Ngoài việc sao lưu (backup) cơ sở dữ liệu hàng ngày thì việc sao lưu các nội dung khác của website cũng là việc cần thực hiện thường xuyên. Một bản sao lưu website đầy đủ sẽ giúp bạn tiết kiệm rất nhiều thời gian và công sức để giải quyết các vấn đề phát sinh trong trường hợp máy tính hoặc website bị nhiễm malware.

4. Chủ động kiểm tra malware

Đừng phó mặc việc bảo vệ cho các bộ phần mềm bảo mật. Chủ động quét kiểm tra malware ngay cả khi máy tính (dường như) vẫn hoạt động bình thường theo định kỳ. Đây cũng là cách bảo vệ website và máy tính hiệu quả.

  5. Quan tâm bảo mật máy tính

Rất nhiều malware sử dụng phương thức tấn công “drive-by download” thông qua website. Hầu hết các cuộc tấn công kiểu này đều “cắm” các khung nội dung (iframe) ẩn trên các website hợp pháp. Khi người dùng truy cập, họ sẽ bị chuyển hướng đến trang chứa malware và qua việc khai thác lỗ hổng, các thành phần plug-in của trình duyệt để từ đó lây nhiễm vào máy tính người dùng. Sử dụng phần mềm bảo mật, cập nhật các miếng vá, bản sửa lỗi HĐH và các ứng dụng thông qua tính năng auto update sẽ giữ máy tính luôn “khỏe mạnh”.

6. Tăng cường bảo mật máy chủ