Plugin, theme và WordPress Core thay đổi thường xuyên trong vận hành hợp lệ, nhưng chính các thành phần này cũng có thể bị sửa, cài thêm hoặc thay thế ngoài quy trình. Monitoring hiệu quả không phải là cảnh báo mọi update, mà là phân biệt thay đổi có owner với thay đổi bất thường.
Để làm được điều đó, cần một baseline rõ về component, version, trạng thái active/inactive, source, thời điểm deploy và người chịu trách nhiệm.
Những thay đổi component nào cần được giám sát?
Install, activate, update, rollback và delete
- Cài mới plugin hoặc theme.
- Kích hoạt hoặc vô hiệu hóa component.
- Update hoặc rollback version.
- Xóa plugin/theme.
- File plugin/theme thay đổi nhưng version không đổi.
- WordPress Core bị sửa ngoài update window.
- MU-plugin mới xuất hiện hoặc thay đổi.
Mỗi sự kiện nên lưu timestamp, account hoặc process liên quan, version trước/sau và change context. Để theo dõi ở cấp file, kết hợp với File Integrity Monitoring.
Baseline component cần có gì?
Inventory tối thiểu nên chứa tên component, version, trạng thái, source cài đặt, owner và last-known-good state. Với plugin/theme custom, nên bổ sung repository hoặc release reference. Baseline này nên đồng bộ với Security Monitoring Baseline.
Giám sát WordPress Core, plugin, theme và MU-plugin
WordPress Core
Core nên có mức kiểm soát chặt vì file chính thức có nguồn tham chiếu rõ. WP-CLI cung cấp wp core verify-checksums để so sánh file cài đặt với checksum từ WordPress.org. Mismatch là signal cần điều tra, không phải bằng chứng mã độc tự động.
Plugin và theme
Với plugin từ WordPress.org, WP-CLI hỗ trợ wp plugin verify-checksums khi checksum khả dụng. Những tình huống đáng chú ý gồm plugin mới ngoài deployment, plugin inactive bỗng active, file component thay đổi nhưng version metadata không đổi hoặc rollback không có change record.
Theme cũng là mã thực thi. Nếu quy trình deploy dùng Git hoặc CI/CD, thay đổi trực tiếp trên production nên được coi là deviation và cần review.
MU-plugin
Must-use plugins được WordPress tự động kích hoạt từ thư mục riêng và không hoạt động giống plugin thông thường. Vì vậy wp-content/mu-plugins cần inventory và file monitoring riêng. Một MU-plugin mới không có owner rõ ràng nên được review sớm và correlation với Persistence Monitoring.
Phân biệt update hợp lệ và thay đổi bất thường
Dấu hiệu của thay đổi hợp lệ
Update hợp lệ thường nằm trong maintenance window, có owner, version thay đổi đúng kỳ vọng, source hoặc checksum phù hợp và không tạo file ngoài phạm vi dự kiến.
Dấu hiệu cần tăng severity
Thay đổi bất thường thường thiếu context hoặc xuất hiện cùng login admin lạ, cron mới, file PHP mới hoặc request bất thường. Vì vậy component monitoring nên correlation với Admin monitoring và các signal trong Website Security Signals.
Thiết kế rule và giảm false positive
Rule monitoring ban đầu
- Plugin/theme mới ngoài change window.
- Plugin được kích hoạt bởi account không thường thực hiện deploy.
- Core checksum mismatch.
- Plugin checksum mismatch sau khi loại trừ component custom.
- File component thay đổi nhưng version không đổi.
- MU-plugin mới hoặc thay đổi.
- Rollback version không có owner.
Không nên tắt monitoring khi update. Thay vào đó, rule nên nhận biết maintenance window và giảm severity cho thay đổi nằm đúng phạm vi dự kiến. Khi noise tăng, dùng quy trình giảm false positive.
Khi phát hiện component lạ cần làm gì?
Đừng chỉ disable hoặc xóa ngay. Trước tiên cần xác minh source, version, account tạo thay đổi và timeline. Nếu có dấu hiệu compromise, lưu evidence cần thiết rồi containment theo runbook. Nếu component hợp lệ nhưng không có change record, baseline và change management vẫn cần được cập nhật.
Khi cần đánh giá severity và quyết định escalation, xem Security Alert Triage.
Các bài liên quan
Để kiểm tra thay đổi ở cấp file, xem File Integrity Monitoring cho WordPress. Để hiểu rủi ro vòng đời component, xem bảo mật plugin và theme WordPress và plugin/theme EOL hoặc abandoned.
Kết luận
Giám sát plugin, theme và WordPress Core hiệu quả khi kết hợp inventory, change context, checksum và file integrity. Hãy coi component change là signal cần ngữ cảnh, không phải kết luận độc lập, và tăng severity khi nó xuất hiện ngoài baseline hoặc đi cùng các dấu hiệu bất thường khác.