CARA MENINGKATKAN SECURITY CMS

cara meningkatkan secutity CMS

Berikut 17 Cara untuk menambah sistem keamanan (security) WordPress + Plugin :


1. Tidak Menggunakan Username “admin”.

Karena username “tertinggi” tersebut yang sebetulnya menjadi makanan empuk bagi para hacker. Ada baiknya menggunakan username dengan mengkombinasikan antara huruf dan angka. Misal :“u53r6w”.

2. Mengupdate ke Versi Terbaru.

Selalu mempunyai website yang terupdate, merupakan langkah bijak bagi para pengguna WordPress. Hal ini untuk menutup celah-celah (hole) yang dapat dimasuki oleh para hacker. Informasi update-an baru biasanya akan tersedia di website utama WordPress[http://wordpress.com/] atau halaman depan administrator (wp-admin).

3. Hapus File “readme.html”.

File “readme.html” berisi versi Wordpress anda. Hapus saja file tersebut sesaat setelah anda melakukan upgrade WordPress.

4. Hapus File “install.php”.

File “wp-admin/install.php” hanya dipakai saat menginstall Wordpress saja. Sudah tidak diperlukan lagi bila Wordpress sudah berjalan. So, hapus juga file tersebut dari sistem WordPress.

5. HAPUS! Dan Jangan Menggunakan Theme Default WordPress

Belakangan terdapat isu bahwa banyaknya hacker yang menyerang website WordPress, masuk melalui theme Default yang diberikan Wordpress yaitu “Twenty Ten”, “Twenty Eleven”, dan“Classic”. Ada baiknya kita tidak mempergunakan theme tersebut, dan dihapus saja. Karena tanpa dipergunakan pun, hacker masih bisa menyerang lewat sana.

6. Gunakan Password Yang Kuat.

 jika kekuatan password yang kita miliki maksimal. Bisa juga menggunakan http://strongpasswordgenerator.com/ untuk mendapatkan password yang kuat.

7. Lindungi File “wp-config.php”.

Kita harus membuat file ini tidak bisa diakses oleh siapapun juga. Mudah saja, tinggal masukkan kode ini di file “.htaccess” anda :


8. Blokir Folder “wp-xxxxxx”.

Kita tidak ingin folder-folder dalam system Wordpress dijelajahi oleh siapapun. Jadi, masukkan kode ini di file “robot.txt” :


9. Hilangkan Versi WordPress.

Masukkan kode ini di file “functions.php” pada themes anda :


10. Ubah Table “Prefix”.

Cara ini cukup efektif, tapi memang agak susah terutama bila website sudah berjalan. Caranya adalah dengan membackup terlebihdahulu database anda. Dengan bantuan Notepad, lakukan“find and replace” dengan merubah setiap awalan “wp_” menjadi prefix lain misalnya “newp_”.
Setelah selesai, import SQL-nya ke phpmyadmin sehingga disana akan ada 2 macam tabel. Yaitu tabel dengan awalan “wp_” dan “newp_”.
Jika proses pengubahan selesai, kini tinggal mengganti table prefix yang ada di “wp-config.php”. Cari kode berikut :

Lalu ganti dengan table prefix “newp_”, maka kodenya menjadi seperti ini :


11. Sesuaikan CHMOD Permission.

Pastikan CHMOD permission pada file dan folder website anda telah sesuai dengan yang disarankan. biasanya permission untuk folder : 755, dan untuk file : 644[http://www.qwords.com/kb/mengganti-chmod-permission/]

12. Backup Secara Berkala.

Ada baiknya kita mempunyai backup secara berkala. Untuk akun hosting yang menggunakan cPanel, dapat membuat file backup melalui fitur backup yang disediakan oleh cPanel (cPanel->Backups). File backup biasanya berekstensikan .tar.gz, dapat diamankan / disimpan dengan mendownload file tersebut ke komputer pribadi anda. Sehingga jika sewaktu-waktu website anda terkena hack, anda dapat mengupload kembali file backup tersebut, kemudian me-request kepada pihak teknis untuk merestore file backup anda melalui Support Ticket di Tempat hosting anda..

13. Scan Komputer anda

Hal yang sering tidak disadari, ternyata komputer kita sendiri yang memasukan malware ke dalam hosting yang kemudian menjadi alat bagi pembuat malware untuk dapat masuk ke sistem website/hosting kita. jadi sebaiknya selalu scan komputer/laptop yang anda pergunakan secara rutin.

14. Ganti password secara berkala

Sudah pasti jika website kita terhack, dengan segera kita langsung mengubah password dengan password yang baru, namun akan lebih baik jika hal ini dilakukan setiap bulan dan secara menyeluruh (FTP,MYSQL,CPANEL, dan Dashboard wordpress)

15. Mengganti secret key default di wp-config.php

untuk secret key yang baru dapat anda dapatkan dari situs resmi wordpresshttps://api.wordpress.org/secret-key/1.1/salt/
setelah seorang hacker berhasil login di Wordpress kita, maka cookies dari record akan disimpan agar hacker bisa tetap masuk ke dashboard walaupun password sudah kita ganti dengan yang baru, untuk mengantisipasinya silakan ganti secret key di “wp-config.php” dengan yang anda dapat di link diatas.
contoh secret key:
define(‘AUTH_KEY’, ‘h4VSBp#[])*6K5;vV&fR0]GccHyziEPbs)3>EhK.$P~hW]W4v!Q:47s2GRrq@!K&’);

16. Cek .htaccess segera

Sempatkan untuk mengecek file satu ini, jika anda tidak ingin setiap komputer yang mengakses website anda malah terkena malware dari website berbahaya yang dipasang hacker di htaccess website anda. dengan me-redirect website anda ke website berbahaya, ini membuat anda akan terkena hack dan terinfeksi malware disaat yang bersamaan.


17. Me-recreate hosting anda

Poin terakhir ini anda lakukan hanya jika anda berulang kali terkena hack kembali sedangkan semua tips security sudah anda lakukan, ini disebabkan hacker sudah menanam program didalam website anda sehingga memudahkan hacker untuk kembali melakukan hack, maka anda dapat membersihkan hosting anda ke keadaan baru membeli hosting, silakan membuat support tiket ke bagian teknis dengan subject "recreate hosting".
Langkah-langkah di atas tidak menjamin website Wordpress anda aman 100% dari hacker.
Semoga tutorial ini dapat membantu anda yang ingin selalu menjaga website tetap aman.
Berikut ini Plugin Security Terbaik untuk Mengamankan Blog WordPress:

Secure WordPress

Secure Wordpress akan menjaga keamanan file instalasi Wordpress dengan menghapus informasi fatal pada halaman login, menambahkan index.html ke setiap direktori content, menyembunyikan versi Wordpress dan banyak lagi.

WP Firewall 2

Dengan bantuan plugin ini, blog bisa menjadi lebih kebal dari berbagai serangan yang dapat merugikan blog. WP Firewall akan mem-blok setiap aktifitas yang bersifat inject. Selain itu jika ada serangan yang terjadi, plugin ini akan memblok kemudian memberi tahukannya ke email admin mengenai detail serangan, IP penyerang, jenis serangan dll.

Stealth Login

Plugin Wordpress Stealth Login ini berfungsi untuk membuat url dari halaman login pada blog wordpress menjadi lain dari biasanya. Jika pada Wordpress standart kita melakukan login via urlnamadomain.com/wp-login.php, maka dengan bantuan plugin ini kita bisa membuatnya berbeda. Url halaman login bisa kita modif sesuka kita, misal menjadi namadomain.com/masuk. Jadi hanya admin saja yang dapat mengakses Dashboard wordpress.

Exploit Scanner

Plugin ini akan memindai semua file yang ada pada direktori blo/website, posting, komentar dan juga tabel database untuk memonitor dan memberitahukan tentang adanya file atau celah yang mencurigakan.g
Timthumb Vulnerability Scanner
Tak sedikit theme Wordpress yang menggunakan script timthumb (timthumb.php). Dan sayangnya file timthumb ini seringkali mempunyai celah keamanan yang dapat membahayakan penggunanya. Maka dengan bantuan plugin ini kita bisa menambal celah keamanan tersebut.

WP Security Scan

WP Security Scan untuk Wordpress / blog berfungsi untuk memindai kerentanan keamanan dan menyarankan tindakan korektif seperti:
Password
File permissions
Keamanan database
Menyembunyikan Versi WordPress
Menghapus WP Generator META tag
Berikut hanyalah beberapa rekomendasi saja, selebihnya masih banyak lagi plugin-plugin yang dapat kita gunakan untuk lebih meningkatkan security blog Wordpress kita.
Plugin Security Wordpress bisa dilihat selengkapnya Disini . Demikian post kali ini, semoga bermanfaat. 

 sumber : corp-van.blogspot.com/2013/10/17-cara-mengamankan-security-cms.html

Cara Mengatasi Hacking CMS

Cara mengatasi Hacking CMS Wordpress

Oleh Widhiarta pada kategori Keamanan Sistem, dibuat hari Rabu, 14 November 2012 pukul 06:11:01

Cara mengatasi wordpress kena hack dengan mudah

Bagi anda yang menggunakan CMS Wordpress, dan terkena hacking sehingga melihat tampilan halaman website berubah menjadi ''hacked by hacker''. Silahkan lakukan langkah berikut.

Kode index.php Wordpress

• Login ke WHM/cPaneL dengan user & password anda
• Buka file index.php dan hapus isi file index.php (Contoh isinya mungkin hanya: ''hacked by hacker'') Ganti dengan kode berikut dan simpan kembali.
  <?php
  /**
  * Front to the WordPress application. This file doesn''t do anything, but loads
  * wp-blog-header.php which does and tells WordPress to load the theme.
  *
  * @package WordPress
  *
  //**
  * Tells WordPress to load the WordPress theme and output it.
  *
  * @var bool
  */
  define(''WP_USE_THEMES'', true);
  /** Loads the WordPress Environment and Template */
  require(''./wp-blog-header.php'');
• Lalu silahkan hapus file index.html atau index.htm (jika ada)
• Masuk ke directory public_html/wp-content/themes/ cari themes yang anda pakai saat ini.
• Buka file header.php dan hapus seluruh isi yang ada dan ganti dengan skrip PHP dari file header.php dari theme original anda.
• Buka file 404.php dan ganti dengan skrip PHP dari file 404.php dari theme original yang anda pakai.
• Selanjutnya kembali ke menu utama cpanel anda, silahkan masuk ke fitur cpanel phpMyAdmin.
• Pilih database Wordpress anda, masuk ke tabel wp_user
• Edit username, password, email anda (Edit data yang diperlukan, mungkin juga nama anda sudah dirubah oleh hackernya)
• Khusus untuk password, setelah mengisi data password, jangan lupa untuk membuat password menjadi terenkripsi dengan memilih opsi md5.
• Silahkan login ke halaman web WP anda (http://namadomain.tld/wp-admin)
• Jika anda perlu melakukan update core WP, themes, plugin..., silahkan lakukan segera.
• Tambahkan plugin security 6Scan Security dan OSE Firewall untuk keamanan web Wordpress anda.
• Cek apakah email cpanel anda berubah? Jangan lupa merubah password cpaneL anda dengan kombinasi huruf besar dan kecil serta kombinasi angka dan karakter khusus.

sumber : http://www.aditif.net/cara-mengatasi-hacking-cms-wordpress

Cara mengatasi Hacking CMS Balitbang

Website merupakan bagian terpenting bagi suatu lembaga baik pendidikan maupun instansi, setelah website sudah online, kita butuh pencegahan supaya jangan mudah di hack .
Tips Mengatasi Hack di CMS Balitbang.
 Jenis Hacking yang Umum Menyerang Website kini anda telah siap untuk beranjak ke materi baru. Yaitu bagaimana mengatasi serangan hacking pada website. Simak langkah-langkah berikut untuk menanggulangi serangan hacking pada website anda :
 1) Login ke cPanel, pastikan ’Last Login From’ tercantum IP publik anda
Langkah pertama adalah mengecek pada bagian “Last login from” melalui panel kontrol anda. Pastikan harus selalu tercantum alamat IP publik dari mana terakhir kali anda melakukan login. Bagaimana cara menemukan IP publik kita? Cara termudah adalah dengan membuka situs domain checker semacam http://who.is.
Biasanya tepat pada portalnya akan muncul tulisan Your IP is 183.7.xxx.xxx. Itulah alamat IP publik anda. Kembali lagi jika pada “Last login from” tercantum alamat IP lain yang tidak anda ketahui, catat. Hal ini berbahaya sebab logikanya jika alamat IP lain bisa login ke kontrol panel kita, berarti mereka memiliki username, password, dan semua akses ke situs kita. Dan inilah indikasi awal bahwa website kita mendapat serangan.
 2) Menyalakan fitur Log Archiving
 Website akses log menyimpan rekaman mendetail tentang siapa yang melakukan koneksi ke situs kita, baik melalui HTTP (pengunjung normal) maupun melalui FTP (transfer file). Umumnya, log tersebut dihapus setiap harinya. Padahal peranan akses log sangatlah penting. Agar akses log tidak terhapus, lakukan langkah berikut:
1. Login ke cPanel > Raw Log Manager
2. Cek pada kotak “Archive Logs”.
3. Uncek pada kotak “Remove the previous month’s archived logs”
4. Klik Save
Dengan demikian Archive Log akan memaksa setiap log agar disimpan. Jika Archive Log dinyalakan maka setiap traffic akses akan terekam, termasuk serangan. Dan percayalah, dengan mempelajarinya akan berguna bagi anda untuk melakukan evaluasi sekuriti website anda.
3) Langkah darurat; segera offline kan website anda
Jika halaman anda terinfeksi virus yang memiliki kemungkinan virus tersebut bisa menyerang pengunjung situs anda, maka segera lindungi pengunjung anda dan juga reputasi anda. Yaitu dengan membuat website anda berstatus offline. Bisa dengan menambahkan beberapa baris kode pada .htaccess, maupun mengupload tampilan halaman under construction. Jika anda melakukannya dengan segera, anda memiliki kemungkinan untuk menghindarkan situs anda mendapat predikat “This site may harm your computer” dari Google. Selain itu, penyerang biasanya telah menginstal backdoor script pada halaman index anda yang memungkinkan mereka untuk kembali ke server anda. Menetapkan status offline pada situs anda sementara, sedikitnya memiliki kemungkinan untuk mengunci dan membuat penyerang tidak bisa masuk melalui backdoor yang telah diinstal.
4) Semua administrators situs melakukan scan pada PC masing-masing
Fakta bahwa di tahun 2009, penyebab nomor satu dari hacking website adalah PC webmaster yang terinfeksi oleh malware. Malware semacam gumblar, dan martuz (yang telah kita bahas pada edisi sebelumnya, red.) bertindak sebagai jembatan dalam mencuri informasi login FTP dan mengirimkannya ke komputer remote. Komputer remote inilah yang kemudian menyuntik halaman website korban dengan JavaScript atau iframes tersembunyi yang mengarahkan pengunjung website korban ke website berbahaya yang menyimpan gumblar dan martuz lainnya. Untuk menghindarinya, pastikan setiap orang yang memiliki akses password ke website anda melakukan setidaknya dua kali scan antivirus dan antispyware pada local komputer masing-masing dengan scanner yang bervariasi. Karena selama PC webmaster terinfeksi, mengubah password situs tidak akan berpengaruh sama sekali. Bukankah password baru dengan mudah dapat dicuri lagi?
5) Ganti semua password anda
Setelah PC administrator bebas dari virus dan spyware, gantilah semua password yang berhubungan dengan situs anda. Panel kontrol, FTP, koneksi database, email akun, dan halaman administrator anda. Pergunakan kombinasi password yang kuat. Yaitu password yang tidak mudah ditembus karena mengandung kombinasi kata, angka, dan karakter yang rumit.
 6) Upgrade semua third party script ke versi terbaru
Sesuai yang pernah kita bahas pada edisi sebelumnya bahwa serangan semacam Remote File Inclusion (RFI) memanfaatkan vulnerability pada script versi lama dari script third party kita untuk menyusup ke dalam situs kita. Dan satu-satunya cara untuk menangkal serangan RFI ini adalah menggunakan versi terbaru dari script third party yang telah memiliki kekebalan terhadap RFI. Baik plugin, addon website hingga Content Management System (CMS) anda, segera upgrade ke versi terbaru.
Jika anda menggunakan CMS semacam Joomla maupun WordPress, anda bisa mengikuti perkembangan rilis terbaru melalui situs resmi masing-masing CMS yang anda pakai. Update versi WordPress bisa dicek melalui wordpress.org, Joomla pada joomla.org, dan sebagainya. Cek juga situs secunia.com, sebuah situs yang berisi laporan sekuriti setiap third party script. Halaman situs secunia.com mendaftar kerentanan yang ditemukan pada plugin atau addon. Dengan mengecek di halaman tersebut, anda mengetahui apakah third party script yang anda pergunakan aman atau terdapat vulnerability di dalamnya.
 7) Cek kode PHP anda untuk menemukan lubang sekuriti

Jika anda mencurigai bahwa script yang anda tulis sendiri mungkin saja memiliki kerentanan sekuriti, cara teraman adalah dengan berhenti mempergunakan script tersebut hingga anda telah memeriksanya dengan sangat teliti. Setelah membuat kopian lokal untuk anda sendiri, hapus scriptnya dari server. Karena selama script masih ada di dalamnya, setiap orang yang telah mengetahui letak lubang sekuritinya tetap bisa mengakses dan mengeksploitasinya.
 8 ) Temukan dan perbaiki semua script berbahaya yang anda temukan
 Anda bisa mengidentifikasi file apa yang dihack dengan mengecek setiap file mencurigakan melalui File Manager di cPanel anda. File yang mencurigakan memiliki kriteria sebagai berikut:
* Halaman dengan tanggal modifikasi lebih baru dari terakhir kali anda menyimpannya.
* File baru dengan nama dan lokasi yang mencurigakan. Beberapa hack menginstal file dengan nama seperti hacked.html atau vulnerable.php, dan sebagainya. Nama lainnya mungkin hanya tersusun secara acak. Beberapa file terinstal di lokasi yang membuatnya tampak mencurigakan, misal sebuah file .php di dalam folder /images. Jika anda menemukan file-file tersebut, cek tanggalnya dan cari file lain dengan tanggal yang sama untuk menemukan file apa saja yang mungkin terinfeksi. Sayangnya, anda tidak bisa begitu saja menghapus semua file yang bukan milik anda.
Beberapa adalah file sistem yang belum pernah anda ketahui sebelumnya. Jika anda ragu, lakukan pencarian Google dengan nama file tersebut, atau post sebuah pertanyaan pada forum tertentu.
* Cek direktori root anda (“/”) dan subdirektorinya untuk menemukan file yang berbahaya. Bahkan jika anda menghapus semua konten di public_html anda dan mempublish ulang situs anda, hal tersebut tidak akan menulis ulang direktori diatas dan setara public_html. Untuk itulah anda perlu melakukan pengecekan manual pada area root direktori juga.
Ada lagi cara termudah untuk memperbaiki situs kita jika kita tidak memiliki kemampuan koding yang mumpuni. Yaitu dengan mereplace website kita dengan backup segar yang kita ketahui bersih. Tetapi dengan melakukannya sama saja dengan menghancurkan bukti yang mungkin kita perlukan untuk menemukan bagaimana serangan terjadi dan bagaimana cara mencegahnya terjadi lagi. Untuk itu
sebelumnya anda bisa membuat kopian dari situs yang dihack, sehingga bisa anda pelajari kemudian.
 9) Cek bahwa file atau permission folder anda sudah secure
Melalui File Manager, pastikan permission dari folder dan file anda sudah sebagaimana mestinya. 755 untuk folder, dan 644 untuk file.
Permission seperti 777 dan 666 yang identik dengan world-writable harus dicurigai. Jika anda menemukan permission world-writable pada sebuah file atau folder, segera lakukan pengecekan karena di sanalah area dimana penyerang bisa mengoprek halaman tersebut dengan mudah. Jika anda tidak menemukan alasan yang sangat kuat mengapa harus melonggarkan permission pada suatu file atau folder, maka rapatkan kembali permissionnya menjadi 755 atau 644.
10) Ganti lagi semua password anda
Untuk menghindari seseorang “mengintip” ke dalam situs kita ketika kita melakukan penggantian password sebelumnya, maka setelah memastikan situs kita bersih, lakukan penggantian password kembali. Tentunya tetap dengan mempergunakan kombinasi serumit mungkin.
 11) Blok akses IP yang menyerang anda
Setelah anda mengetahui IP yang melakukan login tanpa izin seperti pada langkah pertama dan kedua pada artikel ini, blok akses terhadap IP tersebut melalui salah satu fitur IP Deny Manager di cPanel.
12) Pentingkah untuk melaporkan penyerang secara legal?
Hacking adalah pelanggaran terhadap aturan dan layanan semua webhosting ataupun ISP. Jika anda bisa membuktikan secara akurat bahwa seseorang menggunakan sebuah IP address tertentu untuk melakukan hacking, anda dapat melaporkan insiden ini kepada webhosting atau ISP dengan harapan bahwa mereka akan menutup akun pelaku. Tetapi biar bagaimanapun, bahkan jika anda berhasil, sama saja seperti membunuh seekor semut. Karena faktanya bahwa perharinya terdapat jutaan request berbahaya yang diluncurkan kepada jutaan website oleh ribuan server berbahaya. Jika satu server dimatikan, tidak berpengaruh apapun terhadap penyerang. Toh mereka masih memiliki ribuan server lainnya. Daripada menghabiskan waktu untuk membalas dengan melaporkan penyerang kepada pihak berwajib, ada baiknya kita meluangkan waktu kita untuk terus meningkatkan pendalaman mengenai ilmu sekuriti website kita. Dan meningkatkan kesadaran bahwa setiap saat pasti akan ada gelombang besar serangan terhadap website kita.

Sumber : http://blog.ahlul.net/