您可能不止一次听说过与网络安全相关的术语“网络威胁”。然而，您可能不知道的是，“威胁”一词经常被错误地用于指代网络安全的其他风险，例如漏洞。这三个名词看似同一个意思，其实各有各的意思。这一事实适用于 WordPress 网站安全性。
鉴于网络攻击的稳步上升，了解威胁、风险和漏洞之间的区别比以往任何时候都更加重要。 2019 年至 2020 年间，互联网犯罪投诉中心发现，由于勒索软件攻击数量增加，网络犯罪投诉增加了 69%，勒索软件攻击是网络威胁的一个常见例子。
因此，为了了解漏洞管理工具和技术的工作原理以及如何使用它们，让我们介绍风险、威胁和漏洞之间的主要区别，以及它们与 WordPress 站点安全的关系。
什么是 WordPress 威胁？
威胁是恶意的第三方 用于直接销毁、窃取数字资产，使业务运营陷入停顿的手段。您可以通过将术语分为三类来应对威胁：
- 有意威胁
- 无意威胁
- 自然威胁
第一类是故意威胁，是指众所周知的网络攻击，例如威胁行为者用来攻击安全和软件系统的网络钓鱼和恶意软件。无意威胁与简单的人为错误有关，例如忘记锁上公司服务器机房的门。自然威胁就是这样。它们是归因于恶劣天气等自然力量的威胁。虽然在技术上与网络安全无关，但数据资产仍可能受到损害。
正如我们所提到的，网络钓鱼诈骗是威胁行为者试图破坏软件和安全系统的一些最流行的方式。如果您试图对网络钓鱼诈骗等蓄意威胁保持警惕，请记住，不良行为者经常使用模仿但不完全相同的 URL 指向他们试图复制的网站。
另外，如果您收到一封发往您的 WordPress 网站的电子邮件，您怀疑它是非法的，只需检查发送电子邮件的签名域。我们还强烈建议您验证当您从 Internet 浏览器访问 WordPress 网站 URL 旁边是否出现一个锁图标，这表明您的网站及其数据是安全的。
您可以采取几个步骤来使您的 WordPress 网站更安全，免受有害代码片段、网络钓鱼攻击、恶意软件和勒索软件等威胁。将您的 WordPress 平台更新到最新版本，创建不同于您用于其他网站的强密码，以及使用 WordPress 插件来保护您免受暴力攻击是我们推荐的一些最佳方法。
请务必使用双因素身份验证并持续监控您的 WordPress 环境，以保护自己免受威胁。并查看此中心点列表，其中包含 20 多个确保您安全的提示。
什么是 WordPress 漏洞？
区别于威胁，漏洞它源于网页设计、软件系统和硬件方面的弱点。威胁是可以破坏和窃取数据资产的力量，而漏洞是威胁参与者可以利用来进行网络攻击的漏洞。
具体而言，这些漏洞最常见的形式是网络漏洞、操作系统策略中的缺陷无意中提供了病毒和恶意软件可以进入的后门，以及简单的人为错误。
通过使用漏洞管理工具和技术，WordPress 所有者可以通过多种方式发现他们可以使用的漏洞。
聘请可以提供 QA 测试并确保您使用高级自定义 Web 解决方案（例如安全登录）的网页设计专家的帮助也没有坏处。网页设计和开发专业人员还可以协助您网站的本地化和可访问性，以及可靠性和性能分析，以减少潜在的漏洞。
作为 WordPress 管理员，您的首要任务之一应该是使用正确的漏洞管理工具和技术实施安全措施，以防范恶意软件。
但是，有时您的网站可能在您不知情的情况下遭到入侵。幸运的是，您可以使用 Sucuri 等工具扫描您的 WordPress 网站，以识别您网站中的漏洞并了解已发生的任何安全漏洞。除了您的托管环境和 Web 服务器之外，这些工具还可以对您的 WordPress 安全进行扫描。
您还可以选择通过安装特定于 WordPress 的插件（例如 Healthcare）来检查您的站点是否存在漏洞。插件用于访问您用于执行更彻底扫描的托管环境中的服务器。
使用插件，您可以配置扫描规则和自动化选项，如果您希望插件进行深度扫描，可能会授予对数据库的访问权限。最后，与扫描工具不同，插件可以扫描您的服务器以查找可能未被发现的恶意元素。如果您不确定是选择插件还是扫描工具来检测漏洞，最好咨询您设计的安全专家，听取他们的建议。
什么是 WordPress 风险？
最后，我们有风险，您可以将其视为威胁和漏洞的组合。如果威胁利用您的软件、硬件或程序中的弱点，则风险表示对您的数字资产的潜在危害。
为了将您的 WordPress 网站的风险级别保持在较低水平，最好：
- 在使用最新的 WordPress 核心版本的同时执行定期插件更新
- 定期对您网站的数据库进行 WordPress 备份
- 使用网络风险检查工具对您的域执行顶级扫描。
作为网络安全风险管理计划的一部分，您为降低站点风险而需要采取的可行步骤也应该是可重复的。通过在您的风险管理计划中包含这些步骤，您可以系统地和主动地解决风险并在它们发生之前识别它们。
风险评估
在制定风险管理计划之前，您应该进行网络安全风险评估：
首先确定哪些风险领域最容易受到攻击。您可能意识到您需要加强防火墙、更新访问控制，或者只是对网络钓鱼和恶意软件等常见威胁进行一些经过验证的员工教育。
考虑到这些风险领域，花时间确定它们可能如何受到损害。然后每月至少重复一次该过程。了解您的风险区域可能如何受到损害，可以让您预测潜在的补救成本。此外，它还让您有机会熟悉在发生安全漏洞时需要满足的报告要求。
现在，再次每月一次，重要的是您要审查您进行的风险评估并确定它与您的风险管理框架的匹配程度。换句话说，定期寻求组织中相关利益相关者之间的共识，即您的风险评估对您的风险管理框架有积极贡献。
如果可能，请指定专人负责每天或每周向您的 WP 站点和 IT 基础架构的其他组件报告风险。
制定风险管理计划
一旦您建立了可重复的风险评估流程，就该制定网络安全风险管理计划了：
您从中学到了什么您的风险评估结果已准备好实施到您的风险管理计划中。您将需要至少一名安全专家（但最好是一个团队）来进行每周和每月的评估，在此期间可以评估和改进您的风险管理流程。您的网络安全风险管理计划越强大，您（或利益相关者）就越愿意向您的安全专家提问。
您指定的安全专家的部分职责应该是将您进行的研究转化为可理解的风险概况。此风险概况将是向您的网络安全风险管理计划的利益相关者展示的主要部分，它应该有助于您的安全专家和其他相关人员之间的讨论。
这些讨论应该让员工了解安全最佳实践以及威胁您的 WP 站点和网络的最新风险。
既然您了解了威胁、漏洞和风险之间的主要区别，那么您就可以使用 WordPress 站点安全网络来规划风险了，您可以使您的 WordPress 站点与风险管理保持一致。这个风险管理计划应该包括我们上面描述的每天、每周和每月的流程，但它也应该根据你的安全专家和你的项目利益相关者之间的讨论而发展。
归根结底，网络安全风险也是您业务运营及其连续性的风险。确保您的业务数据和客户数据安全。制定网络风险管理计划，以解决可能危及 WordPress 网站安全的潜在威胁、漏洞和风险。
