Weboldal biztonsága és védelme – hogyan lehet megvédeni egy weboldalt?

Weboldal védelme — hogyan védheti meg webhelyét? Weboldal biztonsága összetett (vagy akár zavaró) téma lehet egy folyamatosan változó környezetben. Ennek az útmutatónak az a célja, hogy egyértelmű keretet biztosítson azoknak a webhely-tulajdonosoknak, akik a kockázatok csökkentésére és a biztonsági elvek alkalmazására törekszenek webtulajdonaikra.

Mielőtt elkezdenénk, fontos észben tartani, hogy a biztonság soha nem egy „kész, és indulás” megoldás. Ehelyett arra bátorítom, hogy gondoljon rá, mint egy folyamatos folyamatra, amely folyamatos értékelést igényel az általános kockázat csökkentése érdekében.

Jelentkezés a webhelybiztonság szisztematikus megközelítése, felfoghatjuk úgy, mint egy elembe egyesített, sok védelmi rétegből álló keretet. A webhelyek biztonságát holisztikusan kell szemlélnünk, és egy mélyreható védelmi stratégiával kell megközelítenünk.

Mi a weboldal biztonsága?

A webhely biztonsága a megtett intézkedések weboldal védelme a kibertámadásokkal szemben. Ebben az értelemben a weboldal biztonsága egy folyamatos folyamat, és a weboldal kezelésének szerves része.

Miért fontos a weboldal biztonsága?

Például, ha egy webhelyet feltörnek és feketelistára helyezik, akár 98%-t is elveszíthet a forgalmából. A biztonságos webhely hiánya ugyanolyan rossz lehet, mintha egyáltalán nem lenne webhelye, vagy még rosszabb. Például az ügyfelek adatainak kiszivárogtatása perekhez, súlyos pénzbírságokhoz és a hírnév megsértéséhez vezethet.

1. Mélyreható védelmi stratégia

A webhelybiztonság mélyreható védelmi stratégiája figyelembe veszi a védelem mélységét és a támadási felület szélességét a veremben használt eszközök elemzéséhez. Ez a megközelítés pontosabb képet ad a mai webhelybiztonsági fenyegetésekről.

Hogyan látják a webes szakemberek a webhely biztonságát

Nem feledkezhetünk meg azokról a statisztikákról sem, amelyek a webhelybiztonságot vonzó témává teszik bármely online vállalkozás számára, mérettől függetlenül.
A webes szakemberek több mint 1000 felmérési válaszának elemzése után néhány következtetés vonható le a biztonsági környezetről:

Miért törik fel a webhelyeket?

2019-ben több mint 1,94 milliárd webhely volt az interneten. Ez hatalmas játszóteret biztosít a hackerek számára. Gyakran van egy tévhit arról, hogy miért törik fel a webhelyeket. A tulajdonosok és adminisztrátorok gyakran azt hiszik, hogy nem fogják feltörni őket, mert webhelyeik kisebbek, és ezért kevésbé vonzóak a hackerek számára. A hackerek nagyobb oldalakat is választhatnak, ha információkat akarnak ellopni vagy szabotálni akarnak. Egyéb célokra (amelyek gyakoribbak) minden kis webhely nagy értéket képvisel.
A weboldalak feltörése során különféle célokat követnek, de a legfontosabbak azok:

2. Automatikus támadások webhelyek ellen

Sajnos az automatizálás csökkenti a rezsiköltséget, lehetővé teszi a tömeges nyilvánosságra hozatalt, és növeli a sikeres kompromisszum esélyét – függetlenül a forgalom nagyságától vagy a webhely népszerűségétől.
Valójában az automatizálás a király a hackelés világában. Az automatizált támadások gyakran magukban foglalják az ismert sérülékenységek kihasználását, amelyek nagyszámú webhelyet érintenek, néha a webhely tulajdonosának tudta nélkül is.

Az automatikus támadások a lehetőségeken alapulnak. A közhiedelemmel ellentétben az automatizált támadások sokkal elterjedtebbek, mint a válogatott célzott támadások, elérésük és könnyű hozzáférésük miatt. Közel 60% Internet fut CMS-en.

CMS biztonsági problémák

Az átlagos webhelytulajdonosok könnyebben csatlakozhatnak gyorsan az internethez olyan nyílt forráskódú tartalomkezelő rendszerekkel (CMS), mint a WordPress, a Magento, a Joomla vagy a Drupal stb.
Noha ezek a platformok gyakran biztosítanak gyakori biztonsági frissítéseket, a harmadik féltől származó bővíthető összetevők, például beépülő modulok vagy témák használata olyan sebezhetőségekhez vezet, amelyek könnyen kihasználhatók lehetőségeket kínáló támadásokra.

Az információbiztonság szabványa: - Titoktartás, integritás és elérhetőség. Ezt a modellt a szervezetek biztonságát szolgáló szabályzatok kidolgozására használják.

3. Titoktartás, integritás és elérhetőség

Most, hogy némi ismeretekkel rendelkezünk az automatizált és célzott támadásokról, elmerülhetünk néhány gyakoribb webhelybiztonsági fenyegetésben.

A webhelyek sebezhetőségei és fenyegetései

Íme a webhelyek leggyakoribb biztonsági rései és fenyegetései:

1. SQL injekció - Az ilyen SQL-injekciós támadásokat úgy hajtják végre, hogy rosszindulatú kódot fecskendeznek be egy sebezhető SQL-lekérdezésbe. Arra hagyatkoznak, hogy egy támadó speciálisan kialakított lekérdezést adjon a webhely által az adatbázisnak küldött üzenethez.
A sikeres támadás úgy módosítja az adatbázis-lekérdezést, hogy az a támadó által keresett információkat adja vissza a webhely által várt információk helyett. Az SQL-befecskendezések akár rosszindulatú információkat is módosíthatnak vagy hozzáadhatnak az adatbázishoz.
2. Webhelyek közötti szkriptelés (XSS) A webhelyek közötti parancsfájl-támadások abból állnak, hogy rosszindulatú ügyféloldali szkripteket juttatnak be egy webhelyre, és a webhelyet terjesztési módszerként használják. Az XSS veszélye az, hogy lehetővé teszi a támadók számára, hogy tartalmat szúrjanak be egy webhelybe, és megváltoztassák annak megjelenítési módját azáltal, hogy az áldozat böngészőjét az oldal betöltésekor a támadó által biztosított kód végrehajtására készteti. Ha egy bejelentkezett webhely adminisztrátora feltölti a kódot, a szkript a saját jogosultsági szintjén fut le, ami potenciálisan a webhely átvételéhez vezethet.
3. Brute Force Credential Attacks A webhelyek adminisztrációs paneljéhez, vezérlőpultjához vagy akár SFTP-szerveréhez való hozzáférés az egyik leggyakoribb vektor, amelyet a webhelyek feltörésére használnak. A folyamat nagyon egyszerű:

4. Weboldal rosszindulatú programok fertőzése és támadásai Ha a korábbi biztonsági problémák némelyikét a webhelyhez való jogosulatlan hozzáférés eszközeként használják, a támadók:
5. DoS/DDoS támadások Az elosztott szolgáltatásmegtagadási (DDoS) támadás egy nem tolakodó internetes támadás. Ez a cél webhely letiltása vagy lelassítása érdekében történik azáltal, hogy hamis forgalommal árasztja el a hálózatot, a szervert vagy az alkalmazást.

Az e-kereskedelmi webhely biztonsága és a PCI megfelelőség

Fizetőkártya-ipari adatbiztonsági szabványok (PCI-DSS) követelményeket határoz meg az online áruházzal rendelkező webhelytulajdonosok számára. Ezek a követelmények segítenek abban, hogy az online áruházként gyűjtött kártyabirtokos adatok megfelelő védelmet kapjanak. A PCI DSS alatt a védendő kártyabirtokos adatok a teljes elsődleges számlaszámra (PAN) vonatkoznak, de megjelenhetnek a következő formákban is:

A PCI Megfelelőségi Szabályok érvényesek, ha Ön digitálisan, írásban továbbítja az adatokat, vagy kommunikál egy másik személlyel, aki hozzáfér az adatokhoz.

Nagyon fontos, hogy az e-kereskedelmi webhelyek minden tőle telhetőt megtegyenek annak érdekében, hogy a kártyabirtokos adatok a böngészőből a webszerverre megfelelő HTTPS-titkosítással kerüljenek továbbításra. Ezenkívül biztonságosan és hasonló módon titkosítva kell tárolni a szerveren, amikor harmadik fél fizetésfeldolgozó szolgáltatáshoz továbbítják.

A hackerek bármikor megpróbálhatják ellopni vagy lehallgatni a kártyatulajdonosok adatait, függetlenül attól, hogy az adatok nyugalmi állapotban vannak, vagy továbbítás alatt állnak.

Weboldal biztonsági keretrendszer

Vállalkozása méretétől függetlenül a biztonsági rendszer fejlesztése segíthet csökkenteni az általános kockázatot. Annak megértése, hogy a biztonság egy folyamatos folyamat, azt jelenti, hogy a webhely biztonságának megalapozásával kezdődik. Ez a struktúra magában foglalja egy „biztonsági kultúra” létrehozását, ahol az ütemezett ellenőrzések segítenek abban, hogy a dolgok egyszerűek és időszerűek legyenek.
Öt funkció: "Azonosítás", "Védelem", "Érzékelés", "Reagálás" és "Visszaállítás" lesz részletesen leírva az alkalmazandó műveletekkel együtt.
1. Azonosítani - ebben a szakaszban minden készlet- és vagyonkezelés dokumentálásra és ellenőrzésre kerül. A készlet- és vagyonkezelés az alábbi alkategóriákban tehető egy lépéssel tovább:

Miután megvan a webhelye eszközeinek listája, megteheti azokat a lépéseket, amelyek mindegyikét ellenőrizheti és megvédheti a támadásoktól.
2. Védje Számos oka lehet annak, hogy a megelőző webbiztonsági intézkedések létfontosságúak, de hol kezdje el? Ezeket biztonsági technológiáknak és biztonsági szinteknek nevezzük. Néha ezek az intézkedések megfelelnek a megfelelőségi követelményeknek, például a PCI-nek, vagy megkönnyítik a támadásoknak kitett környezetek virtuális javítását és megerősítését. A biztonság magában foglalhatja az alkalmazottak képzését és a hozzáférés-szabályozási szabályzatokat is.
3. Észlelés (folyamatos megfigyelés) egy olyan fogalom, amely olyan eszközök megvalósítására utal, amelyek segítségével figyelheti webhelyét (vagyonát), és értesítheti Önt a problémákról. A biztonsági állapot ellenőrzéséhez monitort kell telepíteni:
Biztonsági szkennereket és eszközöket (például a SiteChecket) is használhat a kompromittálódásra vagy sebezhetőségre utaló jelek keresésére.
4. Reagálni — az elemzés és a mérséklés segíti a válaszkategória létrehozását. Ha incidens történik, szükség van egy választervre. Ha egy kompromisszumos incidens előtt készen áll egy választerv, az csodákat tesz a pszichével. A megfelelő incidensreagálási terv a következőket tartalmazza:
A javítási folyamat során soha nem tudhatjuk előre, hogy milyen rosszindulatú programokat fogunk találni. Egyes problémák gyorsan terjedhetnek, és más webhelyeket is megfertőzhetnek egy megosztott szerverkörnyezetben (keresztfertőzés). Az incidensre adott válaszfolyamat a NIST meghatározása szerint négy fő lépésre oszlik:
A megbízható előkészítési szakasz és egy webhelybiztonsági csapat, amelyre támaszkodhat, elengedhetetlen a küldetés sikeréhez. Íme, hogyan kell kinéznie:

Előkészítés és tervezés

Ebben a szakaszban megbizonyosodunk arról, hogy minden szükséges eszközzel és erőforrással rendelkezünk, mielőtt egy esemény bekövetkezne. Mindez együtt jár a biztonsági keretrendszer korábbi szakaszaival.
A hosting cégek ebben a szakaszban döntő szerepet játszanak azáltal, hogy biztosítják a rendszerek, szerverek és hálózatok kellő biztonságát. Fontos az is, hogy webfejlesztője vagy műszaki csapata készen áll a biztonsági incidens kezelésére.

Felfedezés és elemzés

Bár számos támadási mód létezik, készen kell állnunk minden incidens kezelésére. A legtöbb fertőzés a webhelyre telepített sebezhető összetevők (főleg beépülő modulok), jelszó-kompromittálódás (gyenge jelszó, brute force) és egyebek.
A problémától és a szándéktól függően a felfedezési szakasz összetett lehet. Egyes támadók hírnevet keresnek, mások erőforrásokat akarnak kihasználni vagy bizalmas információkat akarnak elfogni.
Egyes esetekben nincs arra utaló jel, hogy telepítettek egy hátsó ajtót, amely arra vár, hogy egy támadó rosszindulatú tevékenység miatt hozzáférjen. Ezért erősen ajánlott olyan mechanizmusok bevezetése, amelyek biztosítják a fájlrendszer integritását.

Elzárás, felszámolás és helyreállítás

Ami a visszatartási, megszüntetési és helyreállítási szakaszt illeti, a folyamatnak alkalmazkodnia kell a webhelyen található probléma típusához és az előre meghatározott támadás alapú stratégiákhoz. Például egy kriptográfiai fertőzés általában sok kiszolgálói (leecher) erőforrást fogyaszt, és az incidensre adott válaszcsapatnak a fenyegetést kezelnie kell a helyreállítási folyamat megkezdése előtt.

Ennek a támadásnak a visszaszorítása fontos lépés az erőforrások további kimerülésének és a további károk megelőzésének érdekében. Ez a döntéshozatali rendszer és stratégiák fontos részét képezik ennek a szakasznak. Például, ha egy adott fájlt 100% rosszindulatúként azonosítunk, akkor meg kell semmisíteni. Ha a fájl részben rosszindulatú kódot tartalmaz, csak azt a részt kell eltávolítani. Minden szkriptnek rendelkeznie kell egy meghatározott folyamattal.

Intézkedések az eset után

Végül, de nem utolsósorban, az eset utáni akciót a Lessons Learned szakasznak is nevezhetjük. Ezen a ponton az incidensre reagáló csoportnak jelentést kell benyújtania, amely részletezi, hogy mi történt, milyen intézkedéseket tettek, és milyen jól működött a beavatkozás. Át kell gondolnunk az esetet, tanulnunk kell belőle, és lépéseket kell tennünk annak érdekében, hogy a jövőben megelőzzük a hasonló problémákat. Ezek a műveletek olyan egyszerűek lehetnek, mint egy összetevő frissítése, jelszavak módosítása vagy a webhely tűzfalának hozzáadása a szélső támadások megelőzésére.

Tekintse át azokat a lépéseket, amelyeket osztályának meg kell tennie a biztonság további megerősítése érdekében. Ezután a lehető leggyorsabban hajtsa végre ezeket a lépéseket. Minden további műveletet a következő tippekre alapozhat:

Ezenkívül, ha aktívan használja a webalkalmazások tűzfalát (WAF), tekintse át a meglévő konfigurációt, hogy meghatározza a szükséges változtatásokat. Ne feledje, hogy bár a WAF-ok segítenek megfelelni számos fizetésikártya-ipari adatbiztonsági szabványnak (PCI DSS), nem jelentenek csodaszert. Vannak más tényezők is, amelyek befolyásolhatják vállalkozását, különösen az emberi tényező.
5. visszaszerez — a helyreállítási tervezésre akkor kerül sor, amikor egy esemény esetén az összes szakaszt teljes körűen elemzik. A helyreállításhoz egy biztonsági terv is kapcsolódik olyan helyzetekre, amikor minden korábbi lépés sikertelen volt, például zsarolóvírus-támadások esetén.

Ennek a folyamatnak magában kell foglalnia azt is, hogy időt egyeztessen a biztonsági szállítóval a gyenge pontok javításának módjáról. Jobban felkészültek arra, hogy betekintést nyújtsanak abba, hogy mit lehet tenni.

Legyen kommunikációs stratégiád

Ha bármilyen adat veszélyben van, értesítse ügyfeleit. Ez különösen fontos, ha az EU-ban folytat üzleti tevékenységet, ahol a szervezetnek az Általános Adatvédelmi Rendelet (GDPR) 33. cikkével összhangban 72 órán belül jelentenie kell az adatvédelmi incidenst.

Használjon automatikus biztonsági mentést

Nem számít, mit tesz webhelye védelmében, a kockázat soha nem lesz nulla. Ha webhelye funkcionalitása megsérül, szüksége van egy módra az adatok gyors visszaállítására – nem egy, hanem legalább kettő. Hardverhiba vagy támadás esetén rendkívül fontos, hogy legyen egy helyi biztonsági másolat a teljes alkalmazásról és egy külső biztonsági másolat, amely nem kapcsolódik közvetlenül az alkalmazáshoz.

Hogyan védheti meg webhelyét és biztosíthatja a biztonságot?

A weboldal biztonságának fontosságát nem lehet alábecsülni. Ebben a részben megvizsgáljuk, hogyan tarthatja biztonságban és védve webhelyét. Ez nem egy lépésről lépésre szóló útmutató, hanem webhelybiztonsági ajánlásokat tartalmaz az Ön igényeinek megfelelő szolgáltatások megtalálásához.
1. Frissítsen mindent - Számtalan weboldal kerül nap mint nap veszélybe az elavult és nem biztonságos szoftverek miatt. Fontos, hogy frissítse webhelyét, amint a CMS új beépülő modulja vagy verziója elérhető. Ezek a frissítések egyszerűen csak biztonsági fejlesztéseket tartalmazhatnak, vagy biztonsági réseket javítanak ki.
A webhelyek elleni támadások többsége automatizált. A robotok folyamatosan minden webhelyet feltérképeznek, hogy kihasználják a lehetőségeket. Ma már nem elég havonta vagy akár hetente egyszer frissíteni, mert a botok nagy valószínűséggel találnak sebezhetőséget, mielőtt kijavítanák.
Éppen ezért érdemes olyan weboldaltűzfalat használni, amely gyakorlatilag azonnal bezárja a biztonsági rést, amint megjelennek a frissítések. Ha van WordPress webhelye, érdemes megfontolni a WP Updates Notifier bővítményt. E-mailt küld Önnek, hogy értesítse, ha elérhető egy bővítmény vagy a WordPress alapfrissítése.
2. Legyen erős jelszavad A biztonságos webhely nagymértékben függ az Ön biztonságától. Gondolkozott már azon, hogy az Ön által használt jelszavak hogyan veszélyeztethetik webhelye biztonságát?
A fertőzött webhelyek megtisztításához a javítónak be kell jelentkeznie az ügyféloldalra vagy a kiszolgálóra a rendszergazda felhasználói hitelesítő adataival. Meglepődhetnek, amikor látják, hogy a root jelszavak mennyire nem biztonságosak. Az olyan bejelentkezésekkel, mint az admin/admin, előfordulhat, hogy egyáltalán nincs jelszava.
A hackerek a hálózatból származó adatokat szótári szólistákkal kombinálják, hogy még nagyobb listákat állítsanak elő a lehetséges jelszavakról. Ha az Ön által használt jelszavak szerepelnek e listák egyikén, akkor csak idő kérdése, hogy webhelyét mikor kell feltörni.

Erős jelszavas ajánlások

Javaslatok erős jelszó létrehozásához:

• Ne használja újra a jelszavakat: minden jelszavának egyedinek kell lennie. A jelszókezelő megkönnyítheti ezt a feladatot.
• Használjon hosszú jelszavakat. Próbáljon meg több mint 12 karaktert használni. Minél hosszabb a jelszó, annál tovább tart, amíg egy számítógépes program feltöri azt.
• Használjon véletlenszerű jelszavakat. A jelszófeltörő programok percek alatt több millió jelszót képesek kitalálni, ha azok az interneten vagy a szótárban található szavakat tartalmaznak. Ha a jelszó valódi szavakat tartalmaz, az nem véletlen. Ha könnyen ki tudja mondani a jelszavát, az azt jelenti, hogy nem elég erős. Még a karakterek helyettesítése (azaz az O betű 0-val való helyettesítése) nem elegendő. Számos hasznos jelszókezelő létezik, például a LastPass (online) és a KeePass 2 (offline). Ezek az eszközök titkosított formátumban tárolják az összes jelszavát, és egy gombnyomással könnyen generálhatnak véletlenszerű jelszavakat. A jelszókezelők lehetővé teszik az erős jelszavak használatát anélkül, hogy a gyengébbeket meg kellene emlékeznie vagy le kellene írnia.

3. Egy hely = egy tárhely Sok webhely egyetlen szerveren való tárolása ideálisnak tűnhet, különösen, ha „korlátlan” webtárhely-tervvel rendelkezik. Sajnos ez az egyik legrosszabb biztonsági gyakorlat, amelyet használhat. Ha több webhelyet helyez el egy helyen, akkor nagyon nagy támadási felület jön létre. Tudnia kell, hogy a keresztszennyeződés nagyon gyakori. Ez az az eset, amikor egy webhelyet negatívan érintenek a szomszédos helyek ugyanazon a kiszolgálón a rossz kiszolgálóizoláció vagy fiókkonfiguráció miatt.
Például egy webhelyet kiszolgáló szerveren lehet egy WordPress-telepítés egy témával és 10 pluginnal, amelyek potenciálisan támadó célpontjai lehetnek. Ha öt webhelyet tárol egy szerveren, akkor egy támadónak három WordPress-telepítése, két Joomla-telepítése, öt témája és 50 bővítménye lehet, amelyek potenciális célpontok lehetnek. Még ennél is rosszabb, ha egy támadó exploitot talált egy webhelyen, a fertőzés könnyen átterjedhet ugyanazon a szerveren más webhelyekre is.

Ez nemcsak az összes webhely egyidejű feltörését okozhatja, hanem a tisztítási folyamatot is sokkal időigényesebbé és nehezebbé teszi. A fertőzött oldalak folyamatosan újrafertőzhetik egymást, végtelen hurkot okozva.

Miután a tisztítás sikeres volt, most sokkal nehezebb feladat vár a jelszavak visszaállítására. Egyetlen webhely helyett több is van. A fertőzés megszűnése után a szerveren lévő összes webhelyhez tartozó minden egyes jelszót meg kell változtatni. Ez magában foglalja az összes CMS-adatbázist és a File Transfer Protocol (FTP) felhasználóit az egyes webhelyeken. Ha kihagyja ezt a lépést, előfordulhat, hogy az összes webhely újra megfertőződik, és újra kell indítania a folyamatot.
4. A felhasználók hozzáférésének és engedélyeinek korlátozása Előfordulhat, hogy a webhely kódja nem lehet támadó célpontja, de a felhasználók igen. Az IP-címek és az összes tevékenységelőzmény rögzítése később hasznos lesz a törvényszéki elemzéshez.
Például a regisztrált felhasználók számának jelentős növekedése a regisztrációs folyamat sikertelenségét jelezheti, és lehetővé teheti, hogy a spammerek hamis tartalommal árasszák el webhelyét.

A legkisebb kiváltság elve

A legkisebb kiváltság elve egy olyan elven alapul, amely két cél elérését célozza:

Bizonyos szerepkörök kiváltságainak megadása meghatározza, hogy mit tehetnek és mit nem. Egy ideális rendszerben egy szerep megakadályozná, hogy bárki megkíséreljen egy olyan műveletet végrehajtani, amely kívül esik a tervezetten.
Tegyük fel például, hogy egy rendszergazda szűretlen HTML-kódot ágyazhat be a bejegyzésekbe, vagy parancsokat futtathat a bővítmények telepítéséhez. Ez sebezhetőség? Nem, ez egy nagyon fontos elemen – a bizalomon – alapuló tulajdonság. Azonban a szerzőnek ugyanazokkal a jogosultságokkal és hozzáféréssel kell rendelkeznie? Fontolja meg a szerepek bizalmon alapuló szétválasztását, és zárja ki az összes fiókot.
Ez csak a több felhasználóval vagy bejelentkezéssel rendelkező webhelyekre vonatkozik. Fontos, hogy minden felhasználó rendelkezzen a munkája elvégzéséhez szükséges megfelelő engedéllyel. Ha jelenleg kiterjesztett engedélyekre van szüksége, adja meg azokat. Majd a munka végeztével csökkentse le.

Ha például valaki vendégblogbejegyzést szeretne írni Önnek, győződjön meg arról, hogy fiókja nem rendelkezik teljes rendszergazdai jogokkal. A fiók csak új bejegyzéseket hozhat létre és szerkesztheti saját bejegyzéseit, mert nem kell módosítania a webhely beállításait. A gondosan meghatározott felhasználói szerepkörök és hozzáférési szabályok korlátozzák az esetleges hibákat. Ezenkívül csökkenti a feltört fiókok számát, és védelmet nyújthat a csaló felhasználók által okozott károk ellen.
Ez a felhasználókezelés gyakran figyelmen kívül hagyott része: az elszámoltathatóság és a felügyelet. Ha többen használják ugyanazt a felhasználói fiókot, és ez a felhasználó nem kívánt változtatásokat hajt végre, honnan tudhatja, ki a felelős a csapatból?
Ha minden felhasználóhoz külön fiókja van, akkor követheti viselkedésüket a naplók megtekintése és a szokásos trendek ismeretében, például, hogy általában mikor és hol látogatnak meg egy webhelyet. Így, ha egy felhasználó furcsa időpontban vagy gyanús helyről jelentkezik be, kivizsgálhatja. Az ellenőrzési naplók vezetése létfontosságú ahhoz, hogy nyomon követhesse a webhelyet érintő gyanús változásokat.

Természetesen a kézi naplózás néhány felhasználó számára nehéz lehet. Ha rendelkezik WordPress weboldallal, használhatja az ingyenes Sucuri biztonsági bővítményt, amely letölthető a hivatalos WordPress tárhelyről.

Fájlengedélyek

A fájlengedélyek határozzák meg, hogy ki mit tehet egy fájllal. Minden fájlnak három elérhető engedélye van, és mindegyik engedélyt egy szám jelöli:

Ha több engedélyt szeretne engedélyezni, egyszerűen adja össze a számokat, például az olvasási (4) és az írási (2) engedélyezéséhez a felhasználó engedélyét 6-ra állítja. Ha engedélyezni szeretné a felhasználó számára az olvasást (4), írjon (2) és tegye (1), majd állítsa a felhasználói engedélyt 7-re.

Felhasználói típusok

Háromféle felhasználó is létezik:

Tehát, ha azt szeretné, hogy a tulajdonos olvasási-írási hozzáféréssel rendelkezzen, a csoport csak olvasási hozzáféréssel rendelkezzen, és a nyilvánosság ne férhessen hozzá, a fájlengedély-beállítások a következők:
5. Az alapértelmezett CMS-beállítások módosítása A modern (bár könnyen használható) CMS-alkalmazások biztonsági szempontból kihívást jelenthetnek a végfelhasználók számára. A webhelyek elleni támadások messze a leggyakoribbak teljesen automatizáltak. A legtöbb ilyen támadás azon alapul, hogy a felhasználók csak alapértelmezett beállításokkal rendelkeznek. Ez azt jelenti, hogy sok támadást elkerülhet, ha egyszerűen módosítja az alapértelmezett beállításokat a választott CMS telepítésekor.
Például egyes CMS-alkalmazások a felhasználó által írhatók, így a felhasználó bármilyen bővítményt telepíthet.
Vannak olyan beállítások, amelyek segítségével szabályozhatja a megjegyzéseket, a felhasználókat és a felhasználói adatok láthatóságát. A fájlengedélyek egy másik példa az alapértelmezett beállításra, amely továbbfejleszthető.
Ezeket az alapértelmezett értékeket módosíthatja a CMS vagy újabb telepítésekor, de ne felejtse el megtenni.
6. Kiterjesztés választása (bővítmények) A webmesterek általában szeretik a CMS-alkalmazások bővíthetőségét, de ez lehet az egyik legnagyobb hátrány is. Vannak olyan beépülő modulok, kiegészítők és bővítmények, amelyek szinte minden elképzelhető funkciót biztosítanak. De honnan tudja, melyiket biztonságosan telepítheti?

A biztonságos bővítmények (bővítmények) kiválasztása - a webhely fő biztonsága

A bővítmények kiválasztásakor a következőkre kell figyelni:

7. Készítsen biztonsági másolatot webhelyeiről – Feltörés esetén a webhely biztonsági mentése kritikus fontosságú a webhely helyreállításához egy jelentős biztonsági rést. Bár nem tekinthető a webhelybiztonsági megoldás helyettesítésének, a biztonsági mentés segíthet a sérült fájlok helyreállításában.

A legjobb webhelybiztonsági megoldás kiválasztása

Egy jó biztonsági mentési megoldásnak meg kell felelnie a következő követelményeknek:
– Először is a helyszínen kívül kell lenniük. Ha a biztonsági másolatokat a webhelye szerverén tárolják, akkor ugyanolyan sebezhetőek a támadásokkal szemben, mint bármi más. A biztonsági másolatokat a webhelyen kívül kell tárolnia, mert azt szeretné, hogy a biztonsági másolat adatai biztonságban legyenek a hackerek és a hardverhibák ellen. A biztonsági másolatok webszerveren való tárolása szintén jelentős biztonsági kockázatot jelent. Ezek a biztonsági másolatok mindig tartalmazzák a CMS és a bővítmények javítatlan verzióit, így a hackerek könnyen hozzáférhetnek a szerverhez.
- Másodszor, a biztonsági mentéseknek automatikusnak kell lenniük. Annyi mindent csinál minden nap, hogy elképzelhetetlen, hogy ne felejtse el biztonsági másolatot készíteni webhelyéről. Használjon biztonsági mentési megoldást, amely a webhely igényei szerint ütemezhető.
Végezetül, legyen megbízható felépülése. Ez azt jelenti, hogy készítsen biztonsági másolatot a biztonsági másolatokról, és tesztelje azokat, hogy megbizonyosodjon arról, hogy valóban működnek. A redundanciához több biztonsági másolatra lesz szüksége. Ezzel helyreállíthatja a feltörés előtti fájlokat.
8. Szerverkonfigurációs fájlok – Nézze meg a webszerver konfigurációs fájljait: Az Apache webszerverek .htaccess fájlt, az Nginx szerverek az nginx.conf fájlt, a Microsoft IIS szerverek a web.config fájlt használják.
A szerver konfigurációs fájlok, amelyek leggyakrabban a web gyökérkönyvtárában találhatók, nagyon hatékonyak. Lehetővé teszik a szerverszabályok érvényre juttatását, beleértve a webhelye biztonságát növelő direktívákat is. Ha nem biztos abban, hogy melyik webszervert használja, futtassa webhelyét a Sitecheck segítségével, és lépjen a „Webhely részletei” fülre.

Webhelybiztonság – Webszerver bevált gyakorlatai

Íme néhány irányelv, amelyeket egy adott webszerverhez adhat hozzá:

• A könyvtárakhoz való hozzáférés megtagadása: Ez megakadályozza, hogy a támadók megtekintsék a webhelyen található összes könyvtár tartalmát. A támadók rendelkezésére álló információk korlátozása mindig hasznos biztonsági intézkedés.
• Kép hotlink megelőzése: Bár nem szigorúan biztonsági fejlesztés, megakadályozza, hogy más webhelyek megjelenítsék az Ön webszerverén tárolt képeket. Ha az emberek elkezdenek hotlinkelni képeket az Ön szerveréről, akkor a tárhelytervének megengedett sávszélessége gyorsan felhasználható valaki más webhelyének képeinek megjelenítésére.
• Bizalmas fájlvédelem: Szabályokat állíthat be bizonyos fájlok és mappák védelmére. A CMS konfigurációs fájlok a webszerveren tárolt egyik legfontosabb fájlok, mivel egyszerű szöveges formában tartalmazzák az adatbázis bejelentkezési információkat. Más helyek, például az adminisztratív területek le vannak tiltva. A PHP végrehajtását a képeket tartalmazó vagy a feltöltést engedélyező könyvtárakra is korlátozhatja.

9. Telepítsen egy SSL-tanúsítványt — SSL tanúsítványok a gazdagép (webszerver vagy tűzfal) és a kliens (webböngésző) közötti adatátvitel titkosítására szolgál. Ez segít abban, hogy adatait a megfelelő kiszolgálóra küldjék, és ne lehessen elkapni.
Az SSL-tanúsítványok bizonyos típusai, mint például a szervezeti SSL-tanúsítvány vagy a kiterjesztett érvényesítésű SSL-tanúsítvány, további bizalmi réteget adnak, mivel a látogató láthatja a szervezet adatait, és tudja, hogy Ön törvényes személy.
Weboldal-biztonsági cégként fel kell tanítanunk a webmestereket, és tudatosítanunk kell bennük, hogy az SSL-tanúsítványok nem védik meg a webhelyeket a támadásoktól és feltörésektől. Az SSL-tanúsítványok titkosítják az átvitel közbeni adatokat, de nem adnak hozzá biztonsági réteget magának a webhelynek.
10. Telepítse a szkennelő és megfigyelő eszközöket - ellenőrizni minden lépést az alkalmazás integritásának biztosítása érdekében. A riasztási mechanizmusok lerövidíthetik a válaszidőt és csökkenthetik a károkat megsértés esetén. Ellenőrzések és vizsgálatok nélkül honnan tudhatja, hogy webhelyét feltörték-e?
A legalább egy hónapos naplók nagyon hasznosak lehetnek az alkalmazások összeomlásának észlelésében. Azt is megmutatják, ha a szerver DDoS támadás alatt áll, vagy ha szükségtelen terhelés alatt áll. Rögzítse és rendszeresen tekintse át az alkalmazás kritikus részein, különösen (de nem kizárólagosan) az adminisztrációs területeken előforduló összes tevékenységet. Előfordulhat, hogy a támadó megpróbálja a webhely egy kevésbé fontos részét felhasználni magasabb szintű hozzáférés érdekében.
Ügyeljen arra, hogy hozzon létre triggereket, amelyek értesítik Önt brute force támadás vagy a webhely bármely funkciójának használatára irányuló kísérlet esetén, beleértve azokat is, amelyek nem kapcsolódnak hitelesítési rendszerekhez. Fontos, hogy rendszeresen ellenőrizze a frissítéseket, és alkalmazza azokat, hogy megbizonyosodjon arról, hogy a legújabb biztonsági javítások telepítve vannak. Ez különösen igaz, ha nem engedélyezi a webalkalmazások tűzfalának, hogy blokkolja a biztonsági rés kihasználására irányuló kísérleteket.
11. Tartsa be a személyes biztonsági előírásokat - személyi számítógépének védelme fontos feladat a webhelytulajdonosok számára. Eszközei fertőzést hordozóvá válhatnak, és webhelye feltöréséhez vezethet.
Egy jó webhelybiztonsági útmutató megemlíti a számítógép rosszindulatú programok keresését, ha webhelyét feltörték. Ismeretes, hogy a rosszindulatú programok szövegszerkesztőkön és FTP-klienseken keresztül behatolnak a fertőzött felhasználó számítógépére.
Minden nem használt programot el kell távolítania a számítógépéről. Ez a lépés azért fontos, mert ezeknek a programoknak is lehetnek adatvédelmi problémái, csakúgy, mint a nem használt bővítmények és témák a webhelyén.
Ha valami nincs telepítve, az nem lehet támadási vektor a gép megfertőzésére, különösen egy böngészőbővítmény. Teljes hozzáférésük van a webhelyekhez, ha a webmesterek be vannak jelentkezve adminisztrátori felületükre. Minél kevesebbet telepített a számítógépére, annál jobb.
Ha nem biztos abban, hogy mi az adott alkalmazás célja, keressen egy kicsit az interneten, hogy megtudja, szükség van-e rá, vagy eltávolítható-e valami. Ha nem kívánja használni, távolítsa el.
12. Használjon webhely tűzfalát - Csak az SSL-tanúsítványok használata nem elegendő ahhoz, hogy a támadó ne férhessen hozzá bizalmas információkhoz. A webalkalmazás biztonsági rése lehetővé teheti a támadók számára, hogy elfogják a forgalmat, hamis webhelyekre küldjék a látogatókat, hamis információkat jelenítsenek meg, túszul tartsanak egy webhelyet (ransomware), vagy töröljék az összes adatát.
Egy támadó még teljesen javított alkalmazás esetén is megtámadhatja az Ön szerverét vagy hálózatát DDoS-támadások segítségével, hogy lelassítson vagy letiltson egy webhelyet. A Web Application Firewall (WAF) célja, hogy megakadályozza a webhelyek elleni ilyen támadásokat, és lehetővé teszi, hogy Ön az üzletére összpontosítson.

További intézkedések webhely nélkül

Webhelyei védelméhez és az internet biztonságosabbá tételéhez használja ezeket az ingyenes forrásokat és eszközöket.
1. Webhelyvédelmi eszközök - Íme néhány ingyenes webhelybiztonsági eszköz:

1.1 A SiteCheck egy ingyenes, webhely nélküli ellenőrző és rosszindulatú programkereső.
1.2 Sucuri Load Time Tester - ellenőrizze és hasonlítsa össze a webhely sebességét.
1.3 Sucuri WordPress biztonsági beépülő modul – Audit, rosszindulatú program-ellenőrző és biztonsági szigorítás a WordPress webhelyekhez.
1.4 Google Search Console – biztonsági figyelmeztetések és eszközök a keresési forgalom és a webhely teljesítményének mérésére.
1.5 Bing Webmestereszközök – Keresőmotor-diagnosztika és biztonsági jelentések.
1.6 Yandex Webmaster – Webes keresés és biztonsági incidens értesítések.
1.6 Élősködők feltárása – az oldalak rejtett illegális tartalom ellenőrzése.
1.7 Legjobb WAF – a legjobb tűzfalak összehasonlítása felhőalapú webalkalmazásokhoz.

2. További források Íme néhány oktatási forrás a webhely biztonságáról:

2.2 Sucuri Labs – Fenyegetéskutatás, rosszindulatú programok aláírási adatbázisa és statisztikák.
2.3 Az OWASP egy nyílt forráskódú webalkalmazás-biztonsági projekt.
2.4 PCI megfelelőségi ellenőrzőlista – PCI megfelelőségi ellenőrzőlista.
2.5 SANS Institute – képzés, tanúsítás és kutatás az információbiztonság területén.
2.6 NIST – Nemzeti Szabványügyi és Technológiai Intézet.

Gyakran ismételt kérdések a webhelybiztonsággal kapcsolatban

Miért fontos a weboldal biztonsága?

A webhely biztonsága létfontosságú ahhoz, hogy egy webhely online és biztonságos legyen a látogatók számára. A webhely biztonságára való megfelelő figyelem nélkül a hackerek kihasználhatják webhelye előnyeit, letilthatják azt, és befolyásolhatják online jelenlétét. A webhely feltörésének következményei lehetnek pénzügyi veszteségek, a márka hírnevével kapcsolatos problémák és a keresőmotorok alacsony helyezése.

Milyen biztonsági kockázatokkal jár egy webhely?

A webhely fő biztonsági kockázatai a következők: sebezhető kód, rossz hozzáférés-szabályozás és szerver erőforrás-használat. A DDoS-támadások például percek alatt elérhetetlenné tehetik a webhelyet a látogatók számára. Számos oka van annak, hogy a webhelyeket feltörik; egy gyenge jelszó vagy egy elavult beépülő modul egy webhely feltöréséhez vezethet.

Mitől biztonságos egy webhely?

A webalkalmazások tűzfala aktiválva van egy biztonságos webhelyen a támadások és feltörések megelőzése érdekében. Ezenkívül követi a webhelybiztonsági bevált gyakorlatokat, és nincsenek konfigurációs problémái vagy ismert sebezhetőségei. A SiteCheck segítségével megtudhatja, hogy egy webhelyen van-e tűzfal, van-e biztonsági rendellenesség, rosszindulatú program, vagy szerepel-e a tiltólistán. A SiteCheck segítségével megtudhatja, hogy egy webhelyen van-e tűzfal, van-e biztonsági rendellenesség, rosszindulatú program, vagy szerepel-e a tiltólistán.

Biztonságra van szükségem a webhelyemhez?

Igen, persze. A legtöbb webtárhely-csomag nem tartalmazza a webhely biztonságát. A webhely biztonsága a webhely tulajdonosának felelőssége. A webhely létrehozásakor és a folyamatban lévő ellenőrzési folyamat során a biztonság az egyik első szempont. Ha egy webhely nem biztonságos, könnyű prédájává válhat a kiberbűnözők számára.

Hogyan tehetem biztonságossá a webhelyemet?

Megvédheti webhelyét a webhelybiztonsági bevált gyakorlatok követésével, például:

• Használjon webhely tűzfalát.
• Mindig használja a webhely CMS-jének, bővítményeinek, témáinak és harmadik féltől származó szolgáltatásainak legújabb verzióját.
• Tartson fenn és használjon erős jelszavakat.
• Csak olyan típusú hozzáférést biztosítson, amelyre valakinek szüksége van egy feladat elvégzéséhez.
• Telepítsen beolvasó és megfigyelő eszközöket, hogy biztosítsa webhelye integritását.
• Telepítsen SSL-tanúsítványokat az adattitkosításhoz.
• Készítsen biztonsági másolatot a webhelyekről.

Köszönjük, hogy elolvasta Nicola Topot