بهترین ابزارهای اسکن بدافزار کدامند؟

یادم هست یک بار، سایتی که با یکی از معروف‌ترین افزونه‌های امنیتی محافظت می‌شد، در تست یک اسکنر بیرونی آلوده اعلام شد. خود افزونه اصلی هیچ هشداری نداده بود. آن روز برای من این درس را داشت که هیچ اسکنری به‌تنهایی همه‌چیز را نمی‌بیند. هر اسکنر، یک زاویه دید دارد و همین زاویه‌های متفاوت، دلیل اصلی استفاده از چند ابزار در کنار هم است. این مقاله، همان چیزی است که در این سال‌ها به‌عنوان روش انتخاب و ترکیب اسکنرها جمع کرده‌ام.

چرا یک اسکنر به‌تنهایی کافی نیست؟

هر اسکنر بدافزار، بر اساس یک یا چند روش تشخیص کار می‌کند. بعضی بر اساس امضای فایل‌های شناخته‌شده، بعضی بر اساس تحلیل رفتار، و بعضی بر اساس مقایسه فایل با نسخه اصلی. هیچ‌کدام از این روش‌ها به‌تنهایی کامل نیستند. یک بدافزار که به‌تازگی منتشر شده، در پایگاه داده اسکنر اول نیست ولی در اسکنر دوم شاید شناسایی شود. یک فایل دست‌کاری‌شده که ساختارش را عوض کرده، از امضای اسکنر اول رد می‌شود ولی اسکنر دوم که با نسخه اصلی مقایسه می‌کند، آن را می‌بیند.

اگر با مفهوم کلی آلودگی و مسیر نفوذ آشنا نیستید، بدافزار چیست و چگونه وارد سایت می‌شود نقطه شروع درستی است. همچنین برای درک اینکه چرا سایت‌های وردپرسی هدف اصلی هستند، امنیت وردپرس چیست و چرا حیاتی است تصویر کلی را می‌دهد. این مقاله فرض می‌کند شما با مفهوم آشنا هستید و حالا به انتخاب ابزار درست رسیده‌اید.

یک اسکنر، یک لنز است؛ هرچه لنزهای بیشتری روی سایت داشته باشید، تصویر کامل‌تری از وضعیت امنیتی آن می‌بینید.

سه نسل اسکنر که باید بشناسید

قبل از فهرست ابزارها، بد نیست سه نسل اسکنر را از هم تفکیک کنید. هر نسل، یک روش متفاوت برای تشخیص دارد و همین تفاوت، انتخاب ابزار را معنادار می‌کند:

هیچ نسل، جای بقیه را نمی‌گیرد. اسکنر امضا-محور، بدافزار جدید را نمی‌بیند. اسکنر مقایسه‌ای، فایل‌های مخدوش‌شده در پوشه uploads را نمی‌بیند چون فایلی برای مقایسه نیست. اسکنر رفتار-محور، خطای مثبت کاذب بیشتری دارد ولی می‌تواند بدافزار تازه را هم ببیند. ترکیب سه نسل، همان چیزی است که در استک پیشنهادی این مقاله می‌بینید.

Wordfence: پرکاربردترین اسکنر درون‌سروری

Wordfence، شناخته‌شده‌ترین اسکنر بدافزار برای وردپرس است. نقطه قوت اصلی‌اش، مقایسه فایل‌ها با نسخه رسمی و پایگاه داده بزرگی از امضاهای بدافزار است. نسخه رایگان آن برای اکثر سایت‌های کوچک کافی است و نسخه پولی، اسکن بلادرنگ و فایروال مدیریت‌شده دارد.

نکته تجربی مهم: Wordfence روی هاست‌های اشتراکی می‌تواند خودش به یک گلوگاه سرعت تبدیل شود، چون در هر ریکوئست، بررسی‌های فایروالش اجرا می‌شوند. اگر سرعت سایت برایتان حیاتی است، تأثیر افزونه‌ها بر سرعت سایت تحلیل دقیقی از این لایه دارد. توصیه من در پروژه‌هایی که کاربران زیادی روی سایت کار می‌کنند: فایروال را حذف نکنید ولی زمان‌بندی اسکن را به نیمه‌شب منتقل کنید و ماژول‌های غیرضروری را خاموش کنید.

نقطه ضعف Wordfence که در تجربه‌ام دیده‌ام: فایل‌هایی که در پوشه uploads آلوده شده‌اند ولی با ساختار غیرقابل‌تشخیص، گاهی از نگاه آن رد می‌شوند. این‌جاست که اسکنر دوم به کمک می‌آید. توضیح کامل این دسته از فایل‌های پنهان در پیدا کردن بدافزار مخفی در وردپرس آمده است.

Sucuri SiteCheck: اسکنر بیرونی سریع

Sucuri SiteCheck، یک اسکنر رایگان آنلاین است که بدون نصب هیچ افزونه‌ای، از بیرون سایت شما را اسکن می‌کند. نقطه قوتش این است که زاویه دید متفاوتی از افزونه‌های درون‌سایت دارد: از دید کاربر عادی و ربات‌های موتور جستجو. اسکنرهای بیرونی می‌توانند ریدایرکت‌های پنهان، تزریق لینک در فرانت‌اند، یا رفتار مشکوک را ببینند که اسکنر درون‌سایت آن‌ها را نمی‌بیند.

در تجربه من، Sucuri SiteCheck مکمل عالی Wordfence است. یعنی در استک شخصی من، این دو همیشه در کنار هم هستند. یکی از کاربردهای جالب آن که چند بار به‌کارم آمده: وقتی سایت کند می‌شد و شک به بدافزار داشتم، Sucuri SiteCheck از دید بیرونی، فایل‌های سنگین اضافه را نشان می‌داد که در پنل وردپرس دیده نمی‌شدند. نسخه پولی Sucuri، فایروال ابری و پاک‌سازی توسط تیم پشتیبانی هم دارد که برای سایت‌های حساس، ارزش سرمایه‌گذاری دارد.

MalCare: اسکن ابری برای سایت‌های حساس به سرعت

MalCare منطق متفاوتی دارد: کل اسکن را در سرورهای خودش انجام می‌دهد و فقط سیگنال را به سایت شما می‌فرستد. یعنی منابع سرور شما درگیر اسکن نمی‌شود و سرعت سایت افت نمی‌کند. برای سایت‌های فروشگاهی و سایت‌های پربازدید، این معماری یک مزیت جدی است. اگر با مفهوم کلی هاست و لایه‌های سرور آشنا نیستید، تأثیر هاست بر سرعت سایت لایه‌های زیرین را توضیح می‌دهد.

در یکی از پروژه‌های فروشگاهی، بعد از نصب MalCare، سه فایل آلوده در پوشه uploads کشف شد که در اسکن‌های قبلی با Wordfence دیده نشده بودند. همان سه فایل، در واقع ریدایرکت‌های پنهان ایجاد می‌کردند که از دید کاربر فقط روی موبایل اتفاق می‌افتاد. این یک نمونه واقعی است از ارزش داشتن چند اسکنر با معماری‌های متفاوت. مسیر پاک‌سازی این نوع آلودگی در پاک‌سازی بدافزار وردپرس بدون از دست دادن داده آمده است.

Solid Security: تمرکز روی سخت‌سازی و لاگ

Solid Security (که قبلاً با نام iThemes Security شناخته می‌شد)، برخلاف اسکنرهای بالا، تمرکز اصلی‌اش روی اسکن نیست؛ روی سخت‌سازی و لاگ است. با این حال، بخش اسکن بدافزار و مقایسه فایل‌های هسته را هم دارد. نقطه قوت اصلی این افزونه، ویزارد سخت‌سازی است که چند ده تنظیم امنیتی را با یک تیک اعمال می‌کند.

در تجربه من، Solid مکمل خوبی برای اسکنرهای اختصاصی است. یعنی از Solid برای سخت‌سازی استفاده می‌کنید و از MalCare یا Wordfence برای اسکن. منطق این ترکیب در بهترین افزونه‌های امنیتی وردپرس مفصل‌تر آمده است، ولی خلاصه‌اش این است: هر افزونه یک زاویه دید دارد و سه افزونه با سه زاویه، بهتر از سه نسخه از یک زاویه است.

Quttera: اسکنر تخصصی بدافزار

Quttera یک اسکنر رایگان آنلاین است که تمرکزش کاملاً روی بدافزار است، نه فایروال یا سخت‌سازی. در تجربه‌ام، Quttera یک قابلیت جالب دارد که کمتر در ابزارهای دیگر دیده‌ام: امکان اسکن یک فایل مشخص با تحلیل عمیق. یعنی اگر یک فایل را مشکوک می‌دانید ولی مطمئن نیستید، می‌توانید همان فایل را جدا اسکن کنید.

یکی از کاربردهای عملی Quttera که در پروژه‌ها به‌کارم آمده: وقتی یک اسکنر اصلی چیزی پیدا کرده ولی جزئیات دقیق نمی‌دهد، فایل‌های مشکوک را در Quttera جداگانه اسکن می‌کنم. معمولاً تأیید یا رد، در چند ثانیه حاصل می‌شود. مسیر تشخیص نشانه‌های اولیه آلودگی در علائم هک و بدافزار در وردپرس آمده و Quttera می‌تواند در همان مرحله اول تشخیص کمک‌کننده باشد.

Patchstack: رصد آسیب‌پذیری افزونه‌ها

Patchstack از یک زاویه دیگر به امنیت نگاه می‌کند: به‌جای اسکن فایل‌های آلوده، آسیب‌پذیری‌های افزونه‌ها را رصد می‌کند. یعنی اگر افزونه شما یک حفره امنیتی جدید دارد، Patchstack هشدار می‌دهد که این حفره وجود دارد — حتی اگر هنوز کسی از آن سوءاستفاده نکرده باشد. این نوع هشدار پیشگیرانه، در تجربه من ارزش بالایی دارد چون جلوی آلودگی را قبل از وقوع می‌گیرد.

در یک پروژه واقعی، Patchstack یک آسیب‌پذیری در یک افزونه کم‌استفاده ولی فعال را گزارش کرد. همان روز افزونه جایگزین شد و در بازبینی بعدی، مشخص شد همان آسیب‌پذیری در سه سایت دیگر به سوءاستفاده منجر شده بوده. این نوع داده، دلیل استفاده از Patchstack در همه پروژه‌های من است. تحلیل دقیق‌تر این دسته آسیب‌پذیری‌ها در آسیب‌پذیری افزونه‌های وردپرس آمده است.

WPScan: ابزار تخصصی خط فرمان

WPScan یک ابزار خط فرمان است که می‌توانید روی سرور خودتان نصب کنید و از طریق SSH اجرا کنید. تمرکز اصلی‌اش روی شناسایی نسخه وردپرس، افزونه‌ها و قالب‌ها و مقایسه با پایگاه داده آسیب‌پذیری‌هاست. در تجربه من، WPScan برای تیم‌های فنی که می‌خواهند یک گزارش دقیق از وضعیت امنیتی سایت بگیرند، ابزار بسیار مفیدی است.

الگوی نصب و اجرا ساده است:

gem install wpscan
wpscan --url https://example.com --enumerate vp,vt,u

در این دستور، vp برای آسیب‌پذیری‌های افزونه، vt برای آسیب‌پذیری‌های قالب، و u برای کاربران استفاده می‌شود. WPScan در بازبینی دوره‌ای یک سایت، به‌خصوص قبل از آپدیت‌های بزرگ، به‌کار می‌آید. برای تیم‌های فنی، استانداردهای کدنویسی وردپرس مکمل خوبی برای استفاده درست از این ابزار است.

VirusTotal و اسکنرهای عمومی

VirusTotal یک سرویس عمومی است که فایل‌ها را با ده‌ها آنتی‌ویروس بررسی می‌کند. کاربرد اصلی‌اش برای سایت شما، اسکن فایل‌های مشکوک است: اگر یک فایل با پسوند PHP در پوشه uploads پیدا کردید یا یک فایل ناشناس در پوشه افزونه، می‌توانید آن را در VirusTotal آپلود کنید و در چند ثانیه نتیجه بگیرید.

نکته مهم: VirusTotal نتایج را با دیگران به اشتراک می‌گذارد. اگر فایل حاوی اطلاعات حساس (مثل فایل‌های پیکربندی) است، آن را در VirusTotal آپلود نکنید. برای فایل‌های PHP مشکوک که کد افزونه هستند، استفاده از VirusTotal بی‌خطر است ولی بهتر است محتوا را قبل از آپلود از متغیرها و داده‌های حساس پاک کنید. یکی از کاربردهای خوب VirusTotal، بررسی فایل‌های دانلودی جدید از منابع ناشناس است که پیش از هر نصبی روی سایت، ارزش بررسی دارد. این نکته به بحث منبع امن افزونه‌ها هم مربوط می‌شود که در دانلود افزونه مطمئن وردپرس آمده است.

ImmuniWeb و اسکنرهای بیرونی متفرقه

ImmuniWeb یک سرویس بیرونی است که اسکن رایگان برای سایت‌ها و APIها ارائه می‌دهد. تمرکز اصلی‌اش روی آسیب‌پذیری‌های وب و شبیه‌سازی حمله از بیرون است. در پروژه‌هایی که نیاز به یک ارزیابی سریع از دید مهاجم داشتم، این سرویس به‌کارم آمده. چند سرویس مشابه دیگر مثل Pentest-Tools و Detectify هم وجود دارند که در همان سطح کار می‌کنند.

نکته مهم در استفاده از اسکنرهای بیرونی: این سرویس‌ها گاهی ترافیک زیادی به سایت شما می‌فرستند که ممکن است در پنل هاست به‌عنوان حمله تلقی شود. قبل از اجرا، با هاستینگ هماهنگ کنید یا در ساعات کم‌ترافیک انجام دهید. ترتیب درست اجرای این نوع تست در افزایش امنیت سایت به‌عنوان یک گام مستقل آمده است.

استک پیشنهادی برای سه سناریو

در تجربه‌ام، به‌جای یک ترکیب ثابت، سه استک متفاوت برای سه سناریو مفید بوده:

یک قاعده‌ای که در همه استک‌ها رعایت می‌کنم: هیچ‌وقت دو اسکنر هم‌نوع را با هم نصب نمی‌کنم. مثلاً دو اسکنر مقایسه‌ای، در واقع یک کار را دوبار انجام می‌دهند و فقط منابع سرور را مصرف می‌کنند. تفکیک اسکنرها باید بر اساس نسل تشخیص باشد، نه بر اساس محبوبیت. اگر با مفهوم کلی بررسی افزونه و قالب آشنا نیستید، شناسایی افزونه مشکل‌دار وردپرس روش تفکیک را در سطح دیگری توضیح می‌دهد.

اسکنرهایی که همه یک کار را انجام می‌دهند، خطرناک‌تر از یک اسکنر تنها هستند؛ چون حس امنیت کاذب می‌سازند و منابع سرور را می‌خورند.

پنج اشتباه رایج در استفاده از اسکنر

در پرونده‌های زیادی که بررسی کرده‌ام، پنج اشتباه بیشتر از بقیه تکرار شده:

• اعتماد کامل به نتیجه یک اسکنر: همان تجربه اول این مقاله. یک اسکنر سبز، دلیل پاکی سایت نیست. اسکنر دوم با زاویه متفاوت ممکن است چیز دیگری ببیند.
• نصب چند اسکنر هم‌نوع: سه اسکنر مقایسه‌ای، چیزی جز سه برابر مصرف منابع نیست. تفکیک باید بر اساس نسل تشخیص باشد.
• اسکن فقط در زمان آلودگی: اسکنر، ابزار پیشگیری است، نه فقط درمان. اگر ماهانه یک اسکن بگیرید، در اکثر موارد آلودگی را قبل از مشتری‌دار شدن کشف می‌کنید.
• نادیده گرفتن هشدارهای مثبت کاذب: بعضی اسکنرها هشدارهای زیاد می‌دهند و کاربر به آن‌ها عادت می‌کند. اگر ماهانه ده هشدار کاذب داشته باشید، هشدار یازدهم که واقعی است را نادیده می‌گیرید. تنظیم سطح حساسیت اسکنر، بخشی از کار است.
• فراموش کردن اسکنر بیرونی: بیشتر کاربران فقط اسکنر درون‌سایت را می‌بینند و از اسکنر بیرونی غافل می‌شوند. در حالی که بعضی از بدافزارها فقط از دید بیرونی دیده می‌شوند.

اشتباه ششمی هم هست که کمتر گفته می‌شود: بی‌توجهی به لاگ‌های اسکنر. اسکنر، گزارش تولید می‌کند ولی اگر کسی آن گزارش را نمی‌خواند، ارزشی ندارد. یکی از عادت‌های شخصی من، مرور ماهانه گزارش اسکنرها در کنار مرور Search Console است. اگر با مفهوم این نوع پایش آشنا نیستید، SEO تکنیکال: از خزش تا ایندکس چارچوب پایش منظم را توضیح می‌دهد.

لایه پنهان: اسکنر به‌عنوان یک سیستم هشدار

برای تیم‌هایی که در سطح بالاتری از بلوغ امنیتی کار می‌کنند، اسکنر بدافزار فقط یک ابزار پاک‌سازی نیست؛ یک سیستم هشدار (Alerting System) است. تفاوت این دو رویکرد، در نوع پایش و مدیریت حادثه است.

سه مشاهده دقیق‌تر از تجربه‌های میدانی: اول، در سازمان‌هایی که یک سیستم هشدار متمرکز دارند، اسکنرها همه به یک داشبورد وصل می‌شوند و هشدارها در یک صف واحد جمع می‌شوند. یعنی اگر اسکنر A هشدار بدهد و اسکنر B بدهد، هر دو در یک صفحه دیده می‌شوند و تحلیل الگو ممکن است. این معماری، در تیم‌هایی که چند سایت دارند، بسیار موثر است.

دوم، در معماری چند-مستأجری (Multi-Tenant) یا چندسایتی (Multisite)، هر سایت شبکه باید اسکن مستقل داشته باشد. اگر یک اسکنر متمرکز فقط یک سایت را اسکن کند، آلودگی می‌تواند در سایت‌های دیگر جابه‌جا شود. راه‌حل، اسکنر در سطح شبکه با گزارش‌گیری جداگانه برای هر سایت است. این الگو در سایت‌های سازمانی با چند زیردامنه شایع است.

سوم، در معماری Headless که فرانت‌اند جدا از وردپرس سرو می‌شود، بعضی از اسکنرها آلودگی را تشخیص نمی‌دهند چون در فرانت‌اند به‌دنبال نشانه می‌گردند. در این معماری، باید اسکنرهای مخصوص API را هم در نظر بگیرید. تست امنیت API مسیر متفاوتی از اسکن بدافزار دارد و بهتر است جداگانه بررسی شود.

چهارم، در CI/CD (Continuous Integration / Continuous Deployment یا یکپارچه‌سازی و استقرار پیوسته)، اسکن بدافزار می‌تواند به‌عنوان بخشی از فرآیند استقرار اجرا شود. یعنی قبل از هر انتشار، یک اسکن خودکار از فایل‌های تغییر‌یافته اجرا شود و اگر هشدار داشت، استقرار متوقف شود. تیم‌های بالغ، این لایه را در کنار تست خودکار افزوده‌اند و در بلندمدت، اثرش در کاهش پرونده‌های امنیتی محسوس است.

پنجم، در سال‌های اخیر ابزارهای اسکن نسل جدید شروع کرده‌اند به استفاده از هوش مصنوعی برای تشخیص آنومالی. یعنی به‌جای امضای فایل، الگوهای رفتاری فایل‌ها بررسی می‌شود. این نسل، پتانسیل تشخیص بدافزارهای ناشناخته را دارد ولی هنوز نسل بالغی نیست. اگر می‌خواهید از این نسل هم پوشش داشته باشید، بررسی سرویس‌های ابری نسل جدید و ترکیب آن‌ها با ابزارهای سنتی توصیه می‌شود. برای درک کلی این مسیر، بهترین افزونه‌های امنیتی وردپرس به‌عنوان نقطه شروع مناسب است.

آخرین خط: اسکنر، شروع است نه پایان

اگر بخواهم این مقاله را در سه نکته فشرده کنم: اول، هیچ اسکنری به‌تنهایی کافی نیست؛ ترکیب سه نسل اسکنر — امضا-محور، مقایسه‌ای و رفتار-محور — پوشش کاملی می‌سازد. دوم، اسکنر باید بخشی از یک روال ماهانه باشد، نه ابزاری که فقط در روز حادثه باز می‌شود. سوم، هشدارهای اسکنر، صرفاً گزارش فنی نیستند؛ یک فرصت برای جلوگیری از حادثه قبل از وقوع هستند.

پیشنهاد عملی من برای همین هفته: یک اسکنر درون‌سایتی و یک اسکنر بیرونی را در سایت خود فعال کنید و یک بار به‌طور کامل اسکن بگیرید. حتی اگر نتیجه سبز بود، گزارش را در یک فایل ذخیره کنید تا در ماه‌های آینده بتوانید تفاوت‌ها را ببینید. اگر تا حالا سایت شما آلوده شده، مسیر کامل پاک‌سازی در راهنمای پاک‌سازی سایت هک‌شده وردپرس و تحلیل نمونه واقعی در مطالعه موردی رفع مشکلات امنیتی سایت وردپرسی آماده است. برای آشنایی با مبانی پیشگیری، اشتباهات امنیتی رایج در وردپرس و چگونه سایت را از بدافزار پاک کنیم مکمل خوبی برای این مقاله هستند.

اگر در پروژه‌ای از یک اسکنر بدافزار استفاده کرده‌اید که در این فهرست نبوده — به‌خصوص اگر روی سایت‌های فروشگاهی بزرگ یا معماری Headless کار کرده‌اید — برایم بنویسید چه چیزی در آن ابزار باعث شد انتخابش کنید و تجربه‌تان چه تفاوتی با ابزارهای معروف داشت. تجربه‌های واقعی شما همان چیزی است که این فهرست را برای نفر بعدی دقیق‌تر و کاربردی‌تر می‌کند. 🛡️