Bảo mật theo từng lớp
ECLO cung cấp các công cụ để bạn kiểm soát quyền truy cập, cấu hình, mã nguồn và nhật ký. Hiệu quả bảo vệ phụ thuộc cả cấu hình server, chất lượng code, cách quản lý tài khoản và việc cập nhật thường xuyên.
Không có cam kết rằng một công cụ quét hay WAF sẽ phát hiện mọi cuộc tấn công. Website bị chiếm quyền vẫn có thể ảnh hưởng tới tài nguyên dùng chung hoặc thành phần bị cấu hình sai.
Tài khoản và kết nối quản trị
- Dùng HTTPS và kiểm tra chứng chỉ / fingerprint khi kết nối tới Panel.
- Cấp quyền theo công việc và website thực sự cần truy cập; hạn chế dùng tài khoản quản trị toàn server cho hoạt động hằng ngày.
- Panel có thể bật xác thực hai lớp khi bạn cần. Eclo Local sử dụng trực tiếp trên máy, không thêm một lớp đăng nhập ECLO bắt buộc cho việc quản lý local.
- Kiểm tra phiên đăng nhập, thu hồi quyền khi người dùng rời dự án và theo dõi nhật ký thao tác.
- Giới hạn cổng quản trị theo IP hoặc mạng tin cậy nếu điều kiện vận hành cho phép.
Khả năng bảo vệ thông tin đăng nhập còn phụ thuộc hệ điều hành và tài khoản máy của bạn. Việc lưu dữ liệu local không đồng nghĩa mọi file hoặc bản sao lưu đều đã được mã hóa.
Quyền riêng và WAF cho website
Panel dùng tài khoản Linux riêng và cấu hình dịch vụ theo website để giảm việc truy cập chéo. PHP và tác vụ website cần chạy bằng người dùng của website, thay vì root.
Cài đặt và quản trị dịch vụ vẫn có các thao tác cần quyền hệ thống. Vì vậy không nên hiểu rằng toàn bộ Panel hoạt động mà không có thành phần đặc quyền.
WAF theo website có thể hỗ trợ kiểm tra, theo dõi hoặc chặn yêu cầu bằng các quy tắc bảo vệ. Bắt đầu với cấu hình phù hợp, kiểm tra nhật ký và tạo ngoại lệ có phạm vi hẹp nếu lưu lượng hợp lệ bị chặn.
Quét mã độc và xử lý phát hiện
Panel hỗ trợ quét bằng ClamAV và các dấu hiệu webshell, theo toàn server hoặc từng website. Kết quả “cần kiểm tra” là tín hiệu để xem xét, không phải kết luận chắc chắn file có mã độc.
- Xem đường dẫn, nội dung file, dòng bị phát hiện và lý do cảnh báo.
- Đối chiếu với code gốc và thay đổi gần đây. File cache hoặc file PHP được tạo hợp lệ có thể bị đánh dấu.
- Cách ly file đã xác nhận đáng ngờ, hoặc đánh dấu tin cậy sau khi đánh giá.
- Kiểm tra điểm xâm nhập, tài khoản, các tác vụ nền và nhật ký trước khi đưa website hoạt động trở lại.
Bộ quét cần chữ ký mới và đủ tài nguyên. Chỉ quét không sửa được lỗ hổng đã tạo ra file độc hại; cần xử lý nguyên nhân trong ứng dụng hoặc cấu hình.
Cập nhật, thư viện và sao lưu
Kiểm tra bản mới của ECLO, hệ điều hành, PHP, Node.js và các thư viện của dự án. Một tên lỗ hổng cụ thể chỉ có ý nghĩa khi đối chiếu đúng package, phiên bản và bản vá; không nên xem việc không có một cảnh báo cũ là hệ thống đã an toàn.
Cài package từ nguồn đáng tin cậy và kiểm tra các script cài đặt hoặc build. Composer và npm có thể chạy mã của bên thứ ba khi bạn thực thi lệnh.
Giữ bản sao lưu ở vị trí tách biệt khi có thể. Gói backup có thể chứa database, .env và thông tin nhạy cảm; giới hạn người tải được gói và định kỳ thử khôi phục trên môi trường riêng.
Khi gặp sự cố bảo mật
- Hạn chế quyền truy cập hoặc cô lập website bị ảnh hưởng.
- Giữ bản sao nhật ký và dấu vết cần thiết trước khi dọn dữ liệu.
- Thu hồi các khóa / tài khoản bị lộ và cập nhật thành phần có lỗi.
- Khôi phục từ bản đã xác minh, sau đó theo dõi lại hoạt động.
Để báo một vấn đề bảo mật của ECLO, gửi email đến info@eclo.vn với tiêu đề “ECLO — Báo cáo bảo mật”. Gồm phiên bản, thành phần bị ảnh hưởng, điều kiện và các bước tái hiện trên môi trường bạn được phép kiểm tra.
Không thử khai thác trên hệ thống của người khác hoặc gửi mật khẩu, private key và dữ liệu người dùng thật trong báo cáo ban đầu.