Kiểm tra tài khoản, Role và Capability bất thường trong WordPress giúp phát hiện identity không rõ owner, quyền vượt nhu cầu và thay đổi đặc quyền cần điều tra. Một account lạ chưa tự động chứng minh website bị hack; cần đối chiếu owner, thời điểm tạo, audit log và business workflow trước khi kết luận.
Role và Capability khác nhau thế nào?
WordPress dùng role để nhóm các capability. Capability mới là quyền cụ thể cho hành động như quản lý plugin, user hoặc nội dung. Plugin có thể thêm role/capability riêng, vì vậy chỉ nhìn tên role chưa đủ để đánh giá mức quyền.
Audit identity và privileged access
Bắt đầu bằng user inventory
Ghi username/display identity phù hợp, role, owner, mục đích và trạng thái sử dụng. Không đưa password, token hoặc dữ liệu nhạy cảm vào inventory.
Những dấu hiệu cần review
- Administrator không rõ owner.
- Account của nhân sự đã rời dự án.
- Account test còn tồn tại trên production.
- Role tùy chỉnh có capability quản trị rộng.
- Account service dùng interactive login không cần thiết.
- Role/capability thay đổi ngoài change window.
Least privilege
Mỗi identity chỉ nên có quyền cần cho nhiệm vụ hiện tại. Không cấp Administrator chỉ vì tiện. Với editor, developer, support hoặc integration, xác định capability thực sự cần và review định kỳ. WordPress cũng khuyến nghị kiểm tra capability trước các hành động nhạy cảm thay vì chỉ dựa vào tên role. Xem Least Privilege WordPress.
Đừng xóa account lạ ngay khi nghi incident
Nếu account có dấu hiệu đáng ngờ, trước tiên ghi ID/role, thời điểm liên quan, session và audit event nếu có. Xóa ngay có thể làm mất context hoặc gây gián đoạn nếu đó là integration hợp lệ. Khi đã xác định unauthorized, containment cần theo runbook.
Review capability do plugin thêm
Một số plugin tạo role/capability phục vụ workflow. Khi plugin bị gỡ hoặc thay đổi, role có thể còn lại tùy implementation. Map capability với plugin/business function trước khi remove.
Đừng bỏ qua capability gán trực tiếp cho user
Trong WordPress, quyền thực tế của một user có thể là kết quả của capability từ role kết hợp với capability gán trực tiếp. Vì vậy một account có role nhìn có vẻ “thấp” vẫn cần review quyền thực tế nếu có dấu hiệu bất thường. Khi audit, ưu tiên câu hỏi “user này thực sự có thể làm gì?” thay vì “role name là gì?”.
Ma trận review privileged access
| Identity | Business need | Quyền hiện tại | Quyết định |
|---|---|---|---|
| Admin cá nhân | Quản trị site | Administrator | Giữ nếu owner và MFA phù hợp |
| Content editor | Biên tập nội dung | Administrator | Review/hạ quyền |
| Vendor cũ | Không còn hợp đồng | Privileged | Revoke theo offboarding |
| Integration | API automation | Admin user dùng chung | Tách identity và giảm scope |
Session và active login
Account hợp lệ vẫn có thể có session đáng ngờ. Khi điều tra, xem login timeline, source và session; revoke session khi có căn cứ. Xem quản lý session WordPress.
MFA cho privileged account
Administrator và account giá trị cao nên có authentication mạnh theo policy. MFA không thay least privilege nhưng giảm rủi ro từ password compromise. Xem MFA/2FA WordPress.
Role drift là gì?
Role drift xảy ra khi quyền tích lũy dần qua project, plugin hoặc thay đổi tổ chức và không còn khớp nhu cầu hiện tại. Ví dụ một Editor từng được nâng Administrator để xử lý incident rồi không hạ lại. Baseline user/role và access review định kỳ giúp phát hiện drift kiểu này.
Audit log cần ghi gì?
Ưu tiên event tạo/xóa user, role change, privileged action, login và security setting change. Log phải có timestamp và actor đủ để dựng timeline. Xem audit log WordPress admin activity.
Quy trình review và vòng đời truy cập
Quy trình review
- Export/list user và role ở trạng thái read-only.
- Map owner cho privileged account.
- Review custom role/capability và quyền thực tế.
- Đối chiếu account với HR/project/integration context phù hợp.
- Review session và audit log khi có anomaly.
- Phân loại expected/unexpected.
- Hạ quyền, disable hoặc remove theo change process.
- Validate business flow sau thay đổi.
Access review nên kết thúc bằng quyết định
Mỗi privileged identity nên kết thúc review ở một trạng thái rõ: keep, reduce, revoke, investigate hoặc exception. “Đã xem qua” nhưng không có quyết định khiến access review khó đo lường và không tạo accountability.
Offboarding
Khi nhân sự hoặc vendor rời dự án, revoke account/session và credential liên quan theo inventory. Shared credential làm offboarding khó hơn, vì vậy nên ưu tiên identity riêng.
Stop condition
- Không bulk-delete user chỉ dựa trên username lạ.
- Không đổi role hàng loạt khi chưa biết dependency.
- Không công khai user list hoặc credential trong báo cáo.
- Không coi role name là bằng chứng đầy đủ về capability.
Validation
PASS khi mọi privileged account có owner, quyền thực tế phù hợp, account thừa được xử lý có kiểm soát, session có thể revoke và privileged changes có thể audit.
Nguồn kỹ thuật
- WordPress — Users and Least Privilege
- WordPress — User Roles and Capabilities
- WordPress — WP_User::get_role_caps()
Kết luận
Review user/role/capability là bài toán identity governance. Tập trung vào owner, quyền thực tế, role drift, session và audit evidence; sau đó mới quyết định keep, hạ quyền, revoke hay điều tra thêm.