Khi WordPress bị malware, lựa chọn giữa restore backup, cleanup trực tiếp hoặc phương án hybrid nên dựa trên clean restore point, RPO/RTO, data delta và mức độ hiểu biết về entry point. Restore nhanh không đồng nghĩa incident đã được giải quyết nếu credential, persistence hoặc lỗ hổng ban đầu vẫn còn.
Decision matrix: restore, cleanup hay hybrid?
| Điều kiện | Restore | Cleanup | Hybrid |
|---|---|---|---|
| Có restore point đã xác minh trước compromise | Ưu tiên hơn | Có thể không cần toàn phần | Phù hợp nếu cần giữ data mới |
| Không biết thời điểm compromise | Rủi ro restore lại malware | Ưu tiên điều tra | Chỉ dùng component sạch làm baseline |
| Data delta lớn sau backup | Nguy cơ mất dữ liệu cao | Ưu tiên hơn | Thường phù hợp |
| Entry point chưa xử lý | Không đủ | Không đủ nếu bỏ root cause | Phải xử lý entry point trước release |
| RPO/RTO rất chặt | Có thể rút ngắn recovery nếu backup đáng tin | Có thể lâu hơn | Cân bằng speed + data preservation |
RPO, RTO và data delta cần hiểu thế nào?
- RPO: lượng dữ liệu tối đa có thể chấp nhận mất khi quay về restore point.
- RTO: thời gian mục tiêu để dịch vụ hoạt động lại.
- Data delta: dữ liệu hợp lệ phát sinh từ backup tới hiện tại — đơn hàng, form, member, content, config.
Quyết định recovery phải cân bằng ba yếu tố này với security evidence; không nên restore toàn bộ chỉ vì thao tác nhanh hơn.
Khi nào backup đủ tin cậy?
| Check | PASS khi |
|---|---|
| Restore point | Có evidence cho thấy trước incident window |
| Integrity | Backup đọc được và thành phần quan trọng có thể kiểm tra |
| Completeness | File/DB/config cần thiết có đủ |
| Isolation | Có thể test trước khi đưa production |
| Entry point | Nguyên nhân/credential/lỗ hổng đã có mitigation |
Hybrid workflow thực tế
- Dựng timeline để chọn candidate clean restore point.
- Test backup trong môi trường kiểm soát; không restore mù quáng lên production.
- Dùng backup sạch làm baseline hoặc nguồn clean replacement cho component phù hợp.
- Giữ và hợp nhất data hợp lệ phát sinh sau backup theo kế hoạch riêng.
- Xử lý persistence, account, credential và entry point.
- Update/harden component cần thiết.
- Verify integrity, accounts, frontend và IOC trước release.
Khi cleanup trực tiếp phù hợp hơn
Cleanup thường hợp lý khi data mới có giá trị lớn, không có clean restore point đáng tin, custom code cần giữ hoặc cần hiểu root cause. Khi đó dùng runbook cleanup malware WordPress với snapshot, evidence, stop condition và rollback.
Rủi ro phổ biến khi restore
- Backup đã chứa malware nhưng chưa biểu hiện.
- Entry point hoặc credential bị lộ vẫn còn.
- Mất data mới vì restore toàn bộ DB/file.
- Restore component cũ dễ bị khai thác rồi tái nhiễm.
- Kết luận “đã sạch” mà không verification.
Verification không phụ thuộc phương pháp recovery
Dù restore, cleanup hay hybrid, exit criteria vẫn phải kiểm tra file integrity, accounts, persistence, frontend/client behavior và IOC ban đầu. Dùng PASS/FAIL verification sau recovery.
Khi nào nên escalation?
Nếu không có clean restore point, data delta phức tạp, nhiều hệ thống/account bị ảnh hưởng hoặc activity vẫn tiếp diễn, nên chuyển sang Incident Response. WordPress đơn lẻ cần cleanup/recovery/verification có thể theo Malware Removal.
Nguồn kỹ thuật tham khảo
Kết luận
Không có lựa chọn mặc định đúng cho mọi incident. Restore phù hợp khi clean restore point đáng tin và data loss chấp nhận được; cleanup phù hợp khi cần giữ data hoặc hiểu root cause; hybrid thường tốt khi cần cả clean baseline lẫn data mới. Trong mọi trường hợp, entry point/persistence/credential phải được xử lý và kết quả phải qua verification.