كم مرة ينبغي أن تفحص موقع ووردبريس بحثًا عن البرمجيات الخبيثة؟

لا توجد إجابة واحدة صحيحة. فالتكرار المناسب يعتمد على مقدار ما يتوقف على بقاء الموقع نظيفًا، وعلى مدى سرعة رغبتك في معرفة أن شيئًا ما ساء. وبضعة عوامل تحسم معظم الأمر، وقاعدة واحدة تناسب أغلب المواقع: افحص كل أسبوع، وافحص مجددًا بعد أي شيء يغيّر الموقع.

لماذا يهم التكرار

يزداد ضرر الإصابة بقدر الوقت الذي تمر فيه دون أن يلاحظها أحد. بضعة أيام من إعادة التوجيه إلى السبام إزعاج يمكن تنظيفه في عصر واحد. أما بضعة أشهر فقد تعني أن تضع محركات البحث علامة على الموقع، وأن يقع النطاق في قائمة حظر، وأن تُعلَّق الاستضافة، وأن يكبر التنظيف كثيرًا لأن المهاجم وجد وقتًا لإضافة أبواب خلفية أخرى.

لذلك فسرعة الاكتشاف هي المتغير الحقيقي. الفحص لا يمنع الإصابة؛ بل يحدّ من المدة التي تستمر فيها. الفحص مرة في الشهر يترك الإصابة تعمل شهرًا كاملًا قبل أن ينظر أحد. والفحص الأسبوعي يختصر ذلك إلى أسبوع.

ما الذي ينبغي أن يدفعك إلى فحص أكثر تكرارًا

• الموقع يتعامل مع بيانات العملاء. بيانات الدفع أو الحسابات أو المعلومات الشخصية ترفع حجم المخاطر وأي التزام بالإبلاغ عن الخرق.
• يستخدم إضافات كثيرة. كل إضافة شيفرة إضافية من طرف ثالث قد تحمل ثغرة. وأجزاء أكثر تعني سطحًا أكبر للمراقبة.
• يستقبل زيارات كبيرة. الموقع المزدحم هدف أكثر جاذبية، وتنشر الإصابة ضررها إلى الزوار والترتيب في البحث بسرعة أكبر.
• تديره لعميل. تكون مخاطر السمعة والتعاقد أعلى حين لا يكون الموقع موقعك وحدك.
• يدرّ دخلًا ما دام يعمل. المتجر أو موقع جمع العملاء المحتملين يخسر إيرادات كل ساعة تبقى فيها إعادة توجيه أو تشويه للواجهة.

إيقاع افتراضي معقول

الفحص الأسبوعي أساس جيد لمعظم المواقع. فهو يكشف الإصابة خلال أيام لا أشهر، وبعد أتمتة الفحص لا يكلّفك وقتًا. والمواقع التي تجمع عدة عوامل خطر مما سبق قد تبرّر الفحص اليومي. أما المدونة الشخصية قليلة المخاطر فيمكنها الانتقال إلى الشهري، مع أن التوفير ضئيل بعد أتمتة الفحص.

• يوميًا: المتاجر الإلكترونية ومواقع العضوية وأي موقع يخزّن بيانات العملاء والمواقع التي تديرها لعملاء.
• أسبوعيًا: مواقع الأعمال ومواقع المحتوى ومعظم تثبيتات ووردبريس. هذا هو الإيقاع الافتراضي للبدء.
• شهريًا: المواقع الهاوية ذات الإضافات القليلة، دون تسجيل دخول للجمهور وبزيارات قليلة.

أحداث ينبغي أن تستدعي فحصًا إضافيًا

التقويم جزء من الصورة فقط. فبعض الأحداث تغيّر المخاطر فورًا، لذا افحص بعدها مباشرةً بدل انتظار التشغيل المجدول التالي:

• تثبّت أو تحدّث إضافة أو قالبًا، خاصةً إن كان من خارج الدليل الرسمي. الشيفرة الجديدة مخاطرة جديدة.
• تضيف مسؤولًا، أو يغادر شخص الفريق فتحذف حسابه.
• يُعلَن عن ثغرة في شيء تستخدمه. تحقق هل كنت معرَّضًا قبل صدور الإصلاح.
• يبدو شيء غير طبيعي: انخفاض في الزيارات أو تحذير من جوجل أو صفحات غير مألوفة في نتائج البحث أو بطء في الموقع. اتبع فحص الاختراق في خمس دقائق ثم افحص.
• بعد تنظيف إصابة. افحص مجددًا بعد يوم أو يومين للتأكد أن شيئًا لم يعد؛ راجع كيف تزيل البرمجيات الخبيثة.

ما الذي ينبغي أن يفحصه الفحص فعلًا

لا يفيد التكرار إلا إذا نظر كل فحص إلى الأشياء الصحيحة. الفحص المفيد يغطي أربعة مجالات:

• ملفات النواة مقارنةً بالمجاميع الاختبارية الرسمية لإصدارك، كما يصف دليل سلامة ملفات النواة.
• الملفات الجديدة أو المعدَّلة، وخاصةً ملفات PHP في مجلد uploads، حيث لا ينبغي أن يوجد أي منها.
• أنماط البرمجيات الخبيثة المعروفة في الشيفرة، مثل الدوال المموّهة التي تفك الترميز وتشغّل حمولات مخفية.
• قاعدة البيانات، حيث يمكن أن تختبئ سكربتات محقونة ومحتوى سبام وحسابات مسؤولين دخيلة حتى لو بدت الملفات نظيفة.

الفحص الذي يقرأ الصفحات التي يراها الزوار فقط سيفوته معظم هذا، لأن إصابات كثيرة تختبئ عن الواجهة الأمامية. أما الفحص من الخادم عبر SSH فيصل إلى الملفات وقاعدة البيانات مباشرةً.