Checklist bảo mật WordPress hàng tháng giúp quản trị viên rà soát những thay đổi tích lũy theo thời gian: account mới, quyền bị mở rộng, plugin/theme lỗi thời, file drift, backup chưa được kiểm chứng, DNS/domain thay đổi hoặc alert bị bỏ qua. “Hàng tháng” là một nhịp vận hành thực tế cho nhiều site, nhưng tần suất nên điều chỉnh theo mức rủi ro, tốc độ thay đổi và yêu cầu kinh doanh.
Checklist vận hành bảo mật WordPress định kỳ
1. Review tài khoản và quyền quản trị
- Liệt kê Administrator và account có quyền cao.
- Xác minh owner và business need của từng account.
- Kiểm tra account test, vendor cũ hoặc user không còn cần truy cập.
- Review role/capability bất thường hoặc privilege creep.
- Xác minh MFA cho privileged account theo policy.
Tham khảo kiểm tra tài khoản, role và capability WordPress và bảo vệ tài khoản Admin bằng MFA.
2. Review session và đăng nhập bất thường
Kiểm tra successful/failed login, session còn hoạt động và các account có pattern khác baseline. Một failed login đơn lẻ không chứng minh attack; điều cần tìm là correlation giữa login, session mới, role change và privileged action.
Xem quản lý session WordPress an toàn.
3. Inventory core, plugin và theme
- Ghi version hiện tại của WordPress core, plugin và theme.
- Đánh dấu component active/inactive nhưng vẫn còn trên filesystem.
- Kiểm tra update pending và security advisory liên quan.
- Review component không rõ nguồn, EOL hoặc có dấu hiệu abandoned.
- Không update hàng loạt nếu chưa có rollback.
Xem kiểm tra lỗ hổng plugin/theme và xử lý plugin/theme EOL hoặc abandoned.
4. So lại Security Baseline
Đối chiếu trạng thái hiện tại với baseline: user/role, plugin/theme, debug, file editor, permissions, REST API/XML-RPC, HTTPS/TLS, backup và monitoring. Mọi drift cần được phân loại là expected change hay unexpected change.
Xem WordPress Security Baseline.
5. Kiểm tra File Integrity và thay đổi bất thường
So checksum, repository hoặc snapshot nếu có. Ưu tiên review file core/plugin/theme bị sửa ngoài deploy, PHP mới trong vị trí bất thường, permission/owner drift hoặc file liên tục tái xuất hiện. Không coi modified time đơn lẻ là bằng chứng malware.
Xem phát hiện file WordPress thay đổi bằng File Integrity.
6. Backup và restore evidence
- Kiểm tra backup gần nhất có chạy đúng scope.
- Xác minh nơi lưu và quyền truy cập.
- Kiểm tra retention có còn phù hợp.
- Review restore test gần nhất.
- Đảm bảo đội vận hành biết ai có quyền phục hồi.
Backup tồn tại không đồng nghĩa recoverability đã được chứng minh. Xem bảo mật backup và restore integrity.
7. Review security monitoring và audit log
Kiểm tra xem alert quan trọng có owner, log có còn thu thập đúng, retention không bị thay đổi ngoài ý muốn và có signal nào bị bỏ qua. Tập trung vào login, admin activity, plugin/theme change, file change, WAF/access log và availability.
Xem security monitoring WordPress và audit log WordPress.
8. Review DNS, domain, TLS và email
- Xác minh owner tài khoản registrar/DNS.
- Kiểm tra MFA và recovery contact.
- Review nameserver, A/CNAME/MX/TXT thay đổi.
- Kiểm tra certificate expiry và redirect HTTPS.
- Review SMTP credential/domain-auth nếu website gửi email.
Xem bảo mật DNS/domain WordPress và HTTPS/TLS WordPress an toàn.
9. Kiểm tra staging, webhook và integration
Staging, webhook, service account và automation dễ bị quên sau khi dự án thay đổi. Hãy xác minh staging có còn cần public, webhook còn owner, secret/credential còn hợp lệ và integration có đang dùng đúng scope.
Xem bảo mật staging WordPress và bảo mật webhook WordPress.
10. Attack Surface review nhanh
Mỗi tháng hoặc sau major change, hỏi lại: có endpoint, plugin, vendor, service account, DNS/CDN, cron, upload flow hay integration nào mới không? Surface mới cần owner và business need rõ.
Đánh giá kết quả, evidence và escalation
Bảng PASS/REVIEW hàng tháng
| Control | PASS khi | REVIEW khi |
|---|---|---|
| Privileged access | Mọi account có owner và đúng quyền | Admin lạ, vendor cũ, role drift |
| Components | Version/source/owner rõ | EOL, abandoned, không rõ nguồn |
| File integrity | Drift khớp change log | File mới/sửa ngoài deploy |
| Backup | Có restore evidence phù hợp | Chỉ biết job “đã chạy” |
| Monitoring | Alert có owner/runbook | Log mất, alert không ai xử lý |
| DNS/Domain | Owner/MFA/change history rõ | Thay đổi không rõ nguồn |
Evidence pack nên lưu sau mỗi vòng kiểm tra
- User/role inventory.
- Version plugin/theme/core.
- Danh sách finding mới và finding đã đóng.
- Backup/restore evidence.
- Alert hoặc audit event đáng chú ý.
- DNS/domain/TLS changes.
- Owner, severity, confidence, fix và deadline.
Khi nào cần tăng tần suất hơn hàng tháng?
Site có nhiều thay đổi, ecommerce, membership, nhiều privileged user, nhiều integration hoặc vừa trải qua incident nên review thường xuyên hơn. Ngược lại, site ít thay đổi vẫn nên có trigger-based review sau update lớn, vendor change, hosting migration, security advisory hoặc anomaly.
Khi nào chuyển sang Incident Response?
Nếu phát hiện admin không rõ nguồn, redirect lạ, spam post tự sinh, backdoor, file persistence, credential exposure hoặc successful login đáng ngờ kèm privileged change, dừng checklist thường và chuyển sang incident response.
Nguồn kỹ thuật
Kết luận
Checklist hàng tháng không nhằm chứng minh website “an toàn tuyệt đối”. Giá trị của nó là phát hiện drift sớm, giữ owner/evidence rõ ràng và buộc các control quan trọng như access, updates, file integrity, backup, monitoring và DNS/domain luôn ở trạng thái có thể kiểm chứng.