新しいJoomlaインストールを保護する方法は？

新しいJoomlaをインストールした後、安全に保つためにとるべきアクションは何ですか？共有ホスティングサーバーと専用サーバーの両方。

Joomla Webサイトを安全に保つ

1. 強力なパスワードを使用してください。
2. 管理者アカウントの数を最小限にします。
3. 未使用のユーザーアカウントを無効にするか削除します。
4. サードパーティの拡張機能の数を最小限にし、サードパーティの拡張機能が必要な場合は、信頼できる確立された開発者から十分にサポートされている拡張機能を使用します。
5. 必要に応じて、JoomlaおよびJoomla EOLバージョンのセキュリティホットフィックスを含むサードパーティの拡張機能に最新のアップデートを定期的に適用します。
6. Joomla Security Newsフィードを購読して、Joomlaの主要なセキュリティアップデートを常に把握してください
7. Joomla Vulnerable Extensions List（VEL）に登録して、新しい脆弱性に迅速に対応できるようにしてください。サブスクリプションリンクのページの一番下までスクロールします。TwitterでVELをフォローすることもできます。
8. suPHPやFastCGIなどの適切なPHPファイルハンドラーやmod_securityなどのセキュリティ拡張機能を含む、良質で安全なWebホスティングを使用します。サポートされているバージョンのPHPを使用します。
9. Webホスティング会社のバックアップのみに頼るのではなく、Webサイトの独自のバックアップを定期的に実行し、バックアップファイルをオフサイトにコピーし、テストの場所に定期的にテストリストアを実行して、バックアップの品質を確認します。
10. httpsを有効にします。
11. Akeeba Admin Toolsのプロフェッショナルバージョンで提供されるようなWebアプリケーションファイアウォールを実装します。
12. 標準のテーブルプレフィックスを使用しないでください。
13. デフォルトのスーパー管理者のユーザー名とIDを別のものに変更します。Akeeba Admin Toolsのプロフェッショナルバージョンには、スーパー管理者IDを変更するツールがあります。
14. IPでJoomla Adminへのアクセスを制限します。信頼できるIPのみを許可します。
15. 管理者アカウントの2要素認証を有効にします（Joomla 3.2以降に適用）。
16. 同じホスティングアカウントを共有する他のウェブサイトについて上記の手順を繰り返します。理想的には、クロス汚染を防ぐためにウェブサイトを独自のウェブホスティングアカウントに分離します。
17. ウェブサイト管理者のパソコンも同様に保護されていることを確認してください。たとえば、高品質のウイルスおよびマルウェアスキャナーを実装します。これは、パーソナルコンピューターに保存されているWebサイトの資格情報を保護するのに役立ちます。理想的には、暗号化ツールまたはアプリケーションを使用して、Webサイトやその他の資格情報を保存します。
18. してはいけないことに関する情報については、トップ10の愚かな管理者の秘trickを読んでください。

詳細な手順については、公式のセキュリティチェックリストを参照してください。

バックアップを別のサーバーに保存することは非常に重要です。Akeeba Backupsを忠実に実行している多くの人々がいます...彼らは同じサーバーの同じルートディレクトリに保存されています。深刻な方法でハッキングされた場合はそれほど役に立たず、ホスティング障害からの復旧には確かに役に立たない。

Akeeba Backup Proでは、Amazonクラウドなどの外部ストレージにバックアップファイルを保存および管理できます。

.htaccessファイルまたはIPによってロックダウンする代わりに、jSecureを使用して管理者ログインを保護することもできます。

言及されていないことの1つは、評判の良いホスティングプロバイダーの使用です。セキュリティを維持するだけでなく、ハッキングされた場合や問題が発生した場合（たとえば、データベースが破損した場合）にも機能するものが必要です。アイデアは、クリーンアップを取得しながら、サイトが受ける損害を制限することです。

基本的な考え方は、あなたが誰かが欲しい..

• 周りになります
• 夜間飛行ではありません
• あなたと一緒に働きます
• 堅牢な環境を提供します。

質問のリストを使用して、ホストに気分を良くしてもらいたい場合は、お知らせください。

お役に立てれば。

これも試してみて、

• Joomlaを拡張機能とともに最新の状態に保ちます。
• サイトのバックアップを定期的にクラウドに保管してください。
• robots.txtセキュリティで保護されたフォルダーを開かないでください。
• 最新のJoomlaバージョンでは、2要素認証を使用する方がより安全です。
• フォルダーとファイルに許可された適切な権限があることを確認してください。
• Cloudoom for Joomlaを使用します。

その助けを願っています..

基本的に私の経験では、Joomlaのサイズでは、完全にセキュリティを確保する方法はありません。そうではなく、すべてを阻止する完璧なセキュリティポリシーであり、全体的な損害を軽減するために期待を下げることが最善です。

これは、非常に頻繁なバックアップポリシーを使用して行うことができるため、侵入があった場合にマルウェアスキャンと同様にサイトをロールバックできます。これまでのところ、私たちが行ったハックの1つは、管理パネルが強引に強制されたことによるものではありません。

私たちが目にするハックのほとんどは、サードパーティのコンポーネントまたはJoomlaコアからのものであり、ハックがJoomlaの最新バージョンにも侵入するのを見ることさえあります。これは、通常、ハッキングは通常のリクエストのように見え、不適切なフィルタリングを使用してファイルをサーバーにプッシュするためです。ファイルがサーバーに配置されると、すべてが公正なゲームになり、共有サーバー全体のどのサイトにも存在し、それでもあなたのファイルに影響を与える可能性があります。

これは少し極端かもしれませんが、個人的な経験に基づいて最悪の事態に備えるのが最善であり、その後、ポリシーがそれをすべて防ぐと確信しすぎています。

したがって、新しいJoomlaインストールをセキュリティで保護する最善の方法は、頻繁にバックアップし、マルウェアスキャンを有効にすることです。マルウェアスキャナーが何かを見つけたらすぐにメールを送信できれば、非常に短い時間内に最新のバックアップにロールバックできます。

1. ユーザー名を変更し、管理者パスワードを強力に保ち、2要素認証を使用します（3.3以上の場合は組み込み、その他の場合はhttp://www.readybytes.net/labs/two-factor-authentication.html）

2. kSecureをインストールします（http://extensions.joomla.org/extensions/access-a-security/site-security/login-protection/12271）

3. このhtaccess http://docs.joomla.org/Htaccess_examples_(security）を使用して、さまざまな攻撃からWebサイトを保護します

ブログにあるホワイトペーパー「Pen-testing a Joomla site」からこのリストを借用しています。このリストは、Joomlaセキュリティの基本に関する徹底したガイドラインだと思います。

1. Joomlaを常に最新の状態に保ちます。アップグレードがリリースされたらすぐに最新のアップグレードをインストールしてください。
2. どの拡張機能を使用する場合でも、最新のアップグレードリリースで適切にパッチを適用する必要があります。古い拡張機能は、攻撃者にサイトを侵害する方法を与える可能性があります。
3. 使用されていない拡張機能、または適切にテストされていない拡張機能は使用しないでください。
4. すべてのユーザー入力を適切に検証する必要があります。これらの入力は、フォーム、URI、画像アップロードなどの入力になります。BROWSEボタンでユーザーが画像をアップロードできる場合、ユーザーが画像をアップロードできるようにするだけで、後にバックドアのように動作するPHPシェルはできません。サーバー。

5. すべてのログインに強力なパスワードを使用します。少なくとも8文字、1つの特殊文字、1つの数字、1つの大文字と小文字を区別する文字。総当たりからインストールを保護します。

6. 潜在的な攻撃をキャッチするために、Webサーバーのログファイルに「最新の訪問者」を常に記録してください。ログファイルを単なる情報と見なさないでください。ユーザーの追跡と監視に非常に役立ちます。

7. Joomlaベースのサイトがホストされているサーバー全体により多くのセキュリティを実装するために、ある程度のストレスをかけます。共有サーバーまたは専用サーバーでホストされている。

8. 使用するすべての拡張機能のリストを作成し、それらを監視し続けます。

9. さまざまなセキュリティアドバイザリで最新の脆弱性と開示を常に把握してください。Exploit-db、osvdb、CVEなどは優れたリソースの一部です。

10. デフォルトでは、書き込み権限を使用して（Joomlaが更新する必要があるため）.htaccessファイルの権限を変更します。ベストプラクティスは、444（r-xr-xr-x）を使用することです。

11. 悪意のあるファイルがアップロードまたは実行されないように、パブリックディレクトリに対する適切なファイルアクセス許可を与える必要があります。このコンテキストでのベストプラクティスは766（rwxrw-rw-）です。つまり、所有者のみが読み取り、書き込み、実行できます。その他のユーザーは読み取りと書き込みのみが可能です。

12. サーバー上のPHPファイルに書き込む権限を誰も持つ必要はありません。それらはすべて444（r—r—r--）で設定する必要があり、全員が読み取り専用です。

13. 役割を委任します。管理者アカウントが安全になります。誰かがマシンにハッキングした場合、管理者アカウントではなく、それぞれのユーザーのみにアクセスできる必要があります。

14. データベースユーザーには、INSERT、UPDATE、DELETE行などのコマンドを付与する権限のみが必要です。テーブルのDROPを許可しないでください。

15. バックエンドフォルダの名前を変更します。たとえば、/ administratorを/ admin12345に変更できます。16.最後になりましたが、最新の脆弱性を更新してください。

    • 完全なホワイトペーパーは、http：//www.exploit-db.com/wp-content/themes/exploit/docs/22763.pdfにあります。

最初の防衛線はホスティングサービスです

• 信頼できるホスティングサービスから専用サーバーをリースする
• サーバーで2FAをアクティブにし、「非常に強力な」パスワードを使用していることを確認してください
• サーバーに信頼できるファイアウォールをインストールする-ConfigServerを使用します
• ウイルス対策プログラムをインストール/構成します。ClamAVを使用します
• 各Webサイトのユーザー名がドメイン名の最初の8文字を使用せず、「非常に強力な」パスワードを使用していることを確認します
• 各WebサイトにSSL証明書がインストールされていることを確認してください
• サーバーのルートにアクセスする必要がない限り、各Webサイトが「刑務所内」であることを確認してください。その場合は、Secure Shell（SSH）がインストールおよび構成されていることを確認してください。サーバードメインのWebサイトを使用していますが、他のすべてのWebサイトは「刑務所内」です。
• すべてのサーバー更新プログラムが迅速にインストールされていることを確認してください!!!!

次の防衛線はcPanelです

• 「非常に強力な」パスワードを使用する
• ユーザーのユーザーパスワードの強度を構成する
• cronジョブをセットアップしてcPanelフルバックアップを実行し、外部ソースに保存する
• アクセスにSSLを使用するようにcPanelがセットアップされていることを確認します
• 「サイトセキュリティチェック」を実行して、他にどのような調整が必要かを確認します
• すべてのcPanel更新プログラムが迅速にインストールされていることを確認してください!!!!

次の防衛線は管理者パネルです

• パスワード形式の要件を編集して、強力なパスワード（大文字/小文字、数字、および18文字以上の句読点を少なくとも1つ使用できるようにします。
• ユーザーに対して2FAを有効にする-スーパーユーザーおよび管理者アカウントに使用
• スーパーユーザーアカウントの数を制限します（1つだけが最適です）。
• 管理者アカウントの数を制限する（少ないほど良い）
• 管理者がアクセスできるエリアを制限する
• 出版社、編集者、著者がアクセスできるエリアを制限する
• AdminToolsをインストールして構成する
• AdminToolsを使用して管理者のURLパスワードを設定する
• 重要なファイル（HTACCESS、ROBOTS.TXT、WEBCONFIG、INDEX.PHP（ルートとテンプレートの両方）が444に設定されていることを確認してください。cPanelpr Pleskコントロールパネルファイルマネージャーを使用してファイルを編集できます。
• AkeebaBackupをインストールして構成する
• AkeebaBackupを構成して、バックアップを外部、オフサイトに保存します
• Joomla Extensionページからのみアドオンをインストールし、Joomla Extensionページにリストされていないサードパーティのアドオンをインストールしないでください。
• 使用されておらず、Joomla機能に不要なアドオンを無効化またはアンインストールします。
• Joomlaとアドオンのアップデートをすぐにインストールしてください!!!

他の手順もあると思いますが、これらは全国の70を超えるWebサイトをホストしているサーバーで使用する主な手順です。最近、DDoS攻撃に似た大規模な攻撃を受け、1つのWebサイトにアクセスしませんでした。私は高さ10フィートと弾丸の証拠を感じましたが、明日はまた別の日なので、満足することはできません。笑

1. 私は二要素認証のファンではありません

2. Akeeba Admin Toolsをインストールし、高度なhtaccessを有効にし、オプションとソフトウェアファイアウォールを確認します

https://www.akeebabackup.com/download/admin-tools.html

1. バックエンドURLパスワードを有効にする