لماذا نحتاج إلى إجراء فحص أمان أساسي للموقع؟
بعد تشغيل موقع الشركة لفترة طويلة، تتراكم تدريجياً ثغرات البرامج، كلمات المرور الضعيفة، والإضافات القديمة. يساعد إجراء فحص أمان أساسي دوري في اكتشاف المخاطر الشائعة مبكراً، وتجنب اختراق الموقع أو إدخال أكواد ضارة. تنطبق هذه القائمة على معظم مواقع الشركات التي تستخدم أنظمة إدارة المحتوى (مثل ووردبريس، ديديكيت، إمباير)، وكذلك على المواقع المطورة خصيصاً.
خطوات قائمة التحقق التفصيلية
1. أمان تسجيل الدخول والحسابات
- تأكد من عدم استخدام حساب المدير الافتراضي (مثل admin)، ويُفضل تغييره إلى اسم مخصص.
- افحص قوة كلمات المرور لجميع المستخدمين، وأعد تعيين كلمات المرور الضعيفة لتكون مزيجاً من أحرف وأرقام ورموز، بطول لا يقل عن 8 أحرف.
- راجع سجل تسجيل الدخول الأخير للكشف عن أي عناوين IP غير طبيعية أو أجهزة غير معروفة.
- عطل الحسابات غير المستخدمة، خاصة حسابات الموظفين السابقين، واحذفها أو عطلها فوراً.
- تأكد من تعديل عنوان تسجيل الدخول الخلفي، وإذا لم يتم تعديله، فكر في تغييره إلى مسار مخصص.
2. تحديث البرامج الأساسية والإضافات
- سجل الدخول إلى لوحة التحكم أو تحقق من معلومات الإصدار للتأكد من أن نظام إدارة المحتوى الرئيسي هو أحدث إصدار مستقر.
- قم بإدراج جميع الإضافات والقوالب والوحدات المثبتة، وافحص كل منها لمعرفة ما إذا كان هناك إصدار جديد. قم بإلغاء تثبيت الإضافات غير المستخدمة فوراً.
- تابع الإعلانات الأمنية الرسمية، وحدّث المكونات التي تم الإبلاغ عن ثغراتها كأولوية.
- إذا كنت تستخدم إضافات من طرف ثالث، فاختر المصادر التي تستمر في الصيانة والتحديث النشط.
3. صلاحيات الملفات والأدلة
- افحص صلاحيات الكتابة للدليل الجذر للموقع وأدلة التحميل: عادةً، يجب تعيين الأدلة التي لا تحتاج إلى الكتابة على 755، والأدلة التي تحتاج إلى الكتابة (مثل upload، cache) على 755 أو 777، ولكن تأكد من وجود قيود أمنية.
- تأكد من أن صلاحيات ملفات التكوين (مثل config.php، wp-config.php) هي 644 أو أقل، وتمنع الوصول المباشر من الخارج.
- أزل الملفات غير الضرورية، مثل نصوص التثبيت، ملفات الأمثلة، وصفحات الاختبار.
4. استراتيجية النسخ الاحتياطي للبيانات
- تحقق مما إذا كان النسخ الاحتياطي يغطي ملفات الموقع وقاعدة البيانات، وما إذا كان تواتر النسخ الاحتياطي معقولاً (يُوصى عادةً بالنسخ الاحتياطي التلقائي يومياً).
- اختبر إمكانية استعادة ملفات النسخ الاحتياطي بشكل صحيح، ولا تعتمد فقط على نجاح مهمة النسخ الاحتياطي.
- تأكد من تخزين ملفات النسخ الاحتياطي في موقع منفصل خارج الدليل الجذر للموقع، لتجنب تنزيلها مباشرة عبر عنوان URL.
5. HTTPS وشهادات SSL
- تأكد من أن الموقع يستخدم HTTPS بالكامل، وأن شريط عنوان المتصفح يعرض رمز القفل الآمن.
- افحص صلاحية شهادة SSL، وجددها أو استبدلها قبل 30 يوماً من انتهائها.
- تأكد من صحة تكوين HTTPS، وعدم وجود تحذيرات حول محتوى مختلط.
6. السجلات والمراقبة
- قم بتفعيل سجلات الوصول وسجلات الأخطاء للموقع، واحتفظ بها لمدة 30 يوماً على الأقل.
- راجع السجلات بانتظام للكشف عن أي أنشطة غير طبيعية مثل المسح، هجمات القوة الغاشمة، أو محاولات حقن SQL.
- إذا أمكن، قم بنشر أدوات مراقبة أمنية بسيطة، مثل فحص سلامة الملفات، أو تنبيهات فشل تسجيل الدخول.
توصيات بشأن دورة الفحص
يُوصى بإجراء الفحص الأساسي كل ثلاثة أشهر، ولكن يجب إجراؤه فوراً في الحالات التالية:
· بعد إصدار تحديث أمني مهم للبرنامج
· عند ظهور خلل في الموقع (مثل تغيير الصفحات، ظهور إعلانات غير طبيعية)
· بعد تغيير بيئة الخادم أو الاستضافة
· بعد إضافة إضافات أو وحدات وظيفية جديدة من طرف ثالث
الأسئلة الشائعة
س: ليس لدي فريق أمني متخصص، هل يكفي أن أتبع القائمة بنفسي؟
ج: تغطي قائمة التحقق الأساسية معظم المخاطر الشائعة. إذا كان الموقع يتضمن معلومات المستخدمين أو معاملات، يُوصى بتكليف خدمات أمنية متخصصة لإجراء فحص الثغرات بشكل دوري.
س: ماذا أفعل إذا اكتشفت أن الملفات قد تم تغييرها أثناء الفحص؟
ج: قم فوراً بفصل الموقع عن الإنترنت، واستعد الملفات من النسخ الاحتياطي. بعد ذلك، تحقق من طريقة التغيير، وعزز إدارة تسجيل الدخول وتحديث الإضافات.
س: هل يمكن أتمتة بعض عناصر الفحص؟
ج: نعم. بعض أنظمة إدارة المحتوى تحتوي على إضافات أمنية يمكنها اكتشاف صلاحيات الملفات تلقائياً وإخطارك بالتحديثات، ولكن سجلات تسجيل الدخول واختبار استعادة النسخ الاحتياطي لا تزال بحاجة إلى تأكيد يدوي.
الخلاصة والخطوات التالية
إجراء فحص أمان أساسي دوري هو عملية أساسية لضمان استقرار موقع الشركة. باتباع القائمة والتحقق من كل عنصر، يمكن تجنب استغلال معظم الثغرات منخفضة المستوى. بعد الانتهاء من الفحص، يُوصى بتوثيق النتائج في تقرير، وتسجيل الإجراءات التصحيحية، لتسهيل المقارنة في الفحص التالي. إذا وجدت أن قدراتك التقنية لا تكفي لمعالجة المشكلات المعقدة، يمكنك التفكير في تكليف خدمات صيانة مواقع متخصصة بمهام الأمان.
