Svetainės saugumas ir apsauga – kaip apsaugoti svetainę?

Svetainės apsauga — kaip apsaugoti savo svetainę? Svetainės saugumas gali būti sudėtinga (ar net paini) tema nuolat besikeičiančioje aplinkoje. Šis vadovas skirtas pateikti aiškią sistemą svetainių savininkams, siekiantiems sumažinti riziką ir taikyti saugumo principus savo žiniatinklio nuosavybėms.

Prieš pradėdami, svarbu nepamiršti, kad saugumas niekada nėra „nustatyti ir eik“ sprendimas. Vietoj to, aš raginu jus galvoti apie tai kaip apie nuolatinį procesą, kurį reikia nuolat vertinti, kad sumažintumėte bendrą riziką.

Taikymas sistemingas požiūris į svetainės saugumą, galime manyti, kad tai sistema, susidedanti iš daugelio apsaugos sluoksnių, sujungtų į vieną elementą. Turime visapusiškai žvelgti į svetainės saugumą ir žiūrėti į jį taikant nuodugnios gynybos strategiją.

Kas yra svetainės saugumas?

Svetainės saugumas – tai priemonės, kurių imamasi svetainės apsauga nuo kibernetinių atakų. Šia prasme svetainės saugumas yra nuolatinis procesas ir neatsiejama svetainės valdymo dalis.

Kodėl svetainės saugumas yra svarbus?

Pavyzdžiui, jei svetainė yra įsilaužta ir įtraukta į juodąjį sąrašą, ji gali prarasti iki 98% srauto. Neturėti saugios svetainės gali būti taip pat blogai, kaip išvis neturėti svetainės, arba dar blogiau. Pavyzdžiui, nutekėję klientų duomenys gali sukelti ieškinius, dideles baudas ir sugadinti reputaciją.

1. Giluminės gynybos strategija

Svetainės saugumo nuodugnioje gynybos strategijoje atsižvelgiama į gynybos gylį ir atakos paviršiaus plotį, kad būtų galima analizuoti krūvoje naudojamus įrankius. Šis metodas suteikia tikslesnį šiandienos svetainės saugumo grėsmės vaizdą.

Kaip žiniatinklio profesionalai mato svetainės saugumą

Negalime pamiršti statistikos, dėl kurios svetainių saugumas yra patraukli tema bet kokiam internetiniam verslui, nepaisant jo dydžio.
Išanalizavus daugiau nei 1000 žiniatinklio profesionalų apklausos atsakymų, galima padaryti keletą išvadų apie saugumo aplinką:

Kodėl į svetaines įsilaužiama

2019 m. internete buvo daugiau nei 1,94 milijardo svetainių. Tai suteikia didelę žaidimų aikštelę įsilaužėliams. Dažnai yra klaidinga nuomonė, kodėl į svetaines įsilaužiama. Savininkai ir administratoriai dažnai tiki, kad jie nebus nulaužti, nes jų svetainės yra mažesnės ir todėl mažiau patrauklios įsilaužėliams. Piratai gali pasirinkti didesnes svetaines, jei nori pavogti informaciją arba sabotuoti. Kitiems tikslams (kurie yra labiau paplitę) bet kokia nedidelė svetainė yra labai vertinga.
Įsilaužant į svetaines siekiama įvairių tikslų, tačiau pagrindinių:

2. Automatinės atakos prieš svetaines

Deja, automatizavimas sumažina pridėtines išlaidas, leidžia masiškai atskleisti informaciją ir padidina sėkmingo kompromiso tikimybę, nepaisant srauto ar svetainės populiarumo.
Tiesą sakant, automatizavimas yra įsilaužimo pasaulio karalius. Automatinės atakos dažnai apima žinomų pažeidžiamumų išnaudojimą, siekiant paveikti daugybę svetainių, kartais net be svetainės savininko žinios.

Automatinės atakos yra pagrįstos galimybe. Priešingai populiariems įsitikinimams, automatizuotos atakos yra daug dažnesnės nei specialiai parinktos tikslinės atakos dėl jų pasiekiamumo ir lengvos prieigos. Beveik 60% internetas veikia TVS.

TVS saugos problemos

Paprastam svetainės savininkui lengviau greitai prisijungti prie interneto naudojant atvirojo kodo turinio valdymo sistemą (TVS), pvz., WordPress, Magento, Joomla ar Drupal ir kt.
Nors šios platformos dažnai teikia saugos naujinimus, naudojant trečiųjų šalių išplečiamus komponentus, tokius kaip papildiniai ar temos, atsiranda pažeidžiamumų, kuriuos galima lengvai išnaudoti atakoms.

Informacijos saugumo standartas yra - Konfidencialumas, vientisumas ir prieinamumas. Šis modelis naudojamas kuriant organizacijų apsaugos politiką.

3. Konfidencialumas, vientisumas ir prieinamumas

Dabar, kai turime šiek tiek žinių apie automatizuotas ir tikslines atakas, galime pasinerti į kai kurias dažniausiai pasitaikančias svetainės saugumo grėsmes.

Svetainės pažeidžiamumas ir grėsmės

Čia pateikiami dažniausiai pasitaikantys svetainės saugumo spragos ir grėsmės:

1. SQL injekcija – Tokios SQL injekcijos atakos vykdomos į pažeidžiamą SQL užklausą įvedant kenkėjišką kodą. Jie pasikliauja tuo, kad užpuolikas prideda specialiai sukurtą užklausą prie pranešimo, kurį svetainė siunčia į duomenų bazę.
Sėkminga ataka pakeis duomenų bazės užklausą, kad ji pateiktų informaciją, kurios nori užpuolikas, o ne informaciją, kurios tikisi svetainė. SQL injekcijos netgi gali pakeisti arba įtraukti į duomenų bazę kenksmingos informacijos.
2. Cross Site Scripting (XSS) Kelių svetainių scenarijų atakas sudaro kenkėjiškų kliento scenarijų įvedimas į svetainę ir jos naudojimas kaip platinimo metodas. XSS pavojus yra tas, kad jis leidžia užpuolikui įterpti turinį į svetainę ir pakeisti jo rodymo būdą, nes aukos naršyklė paleidžia užpuoliko pateiktą kodą, kai puslapis įkeliamas. Jei prisijungęs svetainės administratorius įkelia kodą, scenarijus bus vykdomas jo privilegijų lygiu, todėl svetainė gali būti perimta.
3. Brute Force Credential atakos Prieiga prie svetainės administratoriaus skydelio, valdymo skydelio ar net SFTP serverio yra vienas iš labiausiai paplitusių vektorių, naudojamų norint pažeisti svetaines. Procesas labai paprastas:

4. Svetainės kenkėjiškų programų užkrėtimas ir atakos Naudodami kai kurias ankstesnes saugos problemas kaip priemonę neteisėtai prieigai prie svetainės, užpuolikai gali:
5. DoS/DDoS atakos Paskirstytoji paslaugų atsisakymo (DDoS) ataka yra neįkyri interneto ataka. Tai daroma siekiant išjungti arba sulėtinti tikslinę svetainę, užtvindant tinklą, serverį ar programą netikru srautu.

El. prekybos svetainių saugumas ir PCI atitiktis

Mokėjimo kortelių pramonės duomenų saugumo standartai (PCI-DSS) apibrėžia reikalavimus svetainių savininkams, turintiems internetines parduotuves. Šie reikalavimai padeda užtikrinti, kad kortelės turėtojo duomenys, kuriuos renkate kaip internetinė parduotuvė, būtų tinkamai apsaugoti. Pagal PCI DSS kortelės savininko duomenys, kurie turi būti apsaugoti, nurodo visą pirminį sąskaitos numerį (PAN), bet taip pat gali būti rodomi viena iš šių formų:

PCI atitikties taisyklės taikomos nesvarbu, ar perduodate duomenis skaitmeniniu būdu, raštu ar bendraujate su kitu asmeniu, turinčiu prieigą prie duomenų.

Labai svarbu, kad elektroninės prekybos svetainės padarytų viską, kas jūsų galioje, kad kortelės turėtojo duomenys būtų perduodami iš naršyklės į žiniatinklio serverį tinkamai šifruojant HTTPS. Ji taip pat turi būti saugiai saugoma ir panašiai užšifruota serveryje, kai perduodama bet kuriai trečiosios šalies mokėjimų apdorojimo paslaugoms.

Piratai gali bandyti pavogti arba perimti kortelės turėtojo duomenis bet kuriuo metu, nesvarbu, ar duomenys yra ramybės būsenoje, ar yra perduodami.

Svetainės saugumo sistema

Nepriklausomai nuo jūsų verslo dydžio, saugos sistemos kūrimas gali padėti sumažinti bendrą riziką. Supratimas, kad saugumas yra nuolatinis procesas, reiškia, kad jis prasideda nuo svetainės saugumo pagrindo kūrimo. Ši struktūra apims „saugos kultūros“ sukūrimą, kai suplanuoti patikrinimai padės viską atlikti paprastai ir laiku.
Penkios funkcijos: „Nustatyti“, „Apsaugoti“, „Aptikti“, „Reaguoti“ ir „Atkurti“ bus išsamiai aprašytos kartu su veiksmais, kuriuos reikia taikyti.
1. Identifikuoti - šiame etape visos atsargos ir turto valdymas yra dokumentuojamas ir patikrintas. Atsargų ir turto valdymas gali būti žengtas dar vienu žingsniu toliau nurodytose subkategorijose:

Kai turėsite savo svetainės išteklių sąrašą, galite imtis veiksmų, kad patikrintumėte ir apsaugotumėte kiekvieną iš jų nuo atakų.
2. Apsaugoti Yra daug priežasčių, kodėl labai svarbu taikyti prevencines žiniatinklio saugos priemones, bet nuo ko pradėti? Tai vadinama saugumo technologijomis ir saugumo lygiais. Kartais šios priemonės atitinka atitikties reikalavimus, pvz., PCI, arba leidžia lengviau praktiškai pataisyti ir sustiprinti aplinką, kuri yra pažeidžiama atakų. Saugumas taip pat gali apimti darbuotojų mokymą ir prieigos kontrolės politiką.
3. Aptikti (nuolatinis stebėjimas) yra sąvoka, nurodanti įrankius, skirtus stebėti jūsų svetainę (turtą) ir pranešti apie bet kokias problemas. Norint patikrinti saugos būseną, reikia įdiegti stebėjimą:
Taip pat galite naudoti saugos skaitytuvus ir įrankius (pvz., „SiteCheck“), kad ieškotumėte pavojaus ar pažeidžiamumo požymių.
4. Reaguoti — analizė ir švelninimas padeda sukurti atsako kategoriją. Įvykus incidentui, turi būti parengtas reagavimo planas. Reagavimo plano sudarymas prieš kompromisinį incidentą daro stebuklus psichikai. Tinkamas reagavimo į incidentą planas apima:
Pataisymo proceso metu niekada iš anksto nežinome, kokios kenkėjiškos programos rasime. Kai kurios problemos gali greitai išplisti ir užkrėsti kitas svetaines bendroje serverio aplinkoje (kryžminė infekcija). Reagavimo į incidentą procesas, kaip apibrėžta NIST, yra suskirstytas į keturis pagrindinius etapus:
Tvirtas parengiamasis etapas ir svetainės saugos komanda, kuria galite pasikliauti, yra labai svarbūs misijos sėkmei. Štai kaip jis turėtų atrodyti:

Pasiruošimas ir planavimas

Šiame etape mes įsitikiname, kad turime visus reikiamus įrankius ir išteklius prieš įvykstant incidentui. Visa tai vyksta kartu su ankstesniais saugumo sistemos skyriais.
Prieglobos įmonės šiame etape atlieka itin svarbų vaidmenį užtikrindamos, kad sistemos, serveriai ir tinklai būtų pakankamai saugūs. Taip pat svarbu įsitikinti, kad jūsų žiniatinklio kūrėjas arba technologijų komanda yra pasiruošę išspręsti saugumo incidentą.

Atradimas ir analizė

Nors yra keletas puolimo būdų, turime būti pasiruošę susidoroti su bet kokiu incidentu. Dauguma infekcijų yra pažeidžiami svetainėje įdiegti komponentai (daugiausia įskiepiai), slaptažodžių pažeidimai (silpnas slaptažodis, brutali jėga) ir kt.
Priklausomai nuo problemos ir ketinimo, atradimo etapas gali būti sudėtingas. Kai kurie užpuolikai ieško šlovės, kiti gali norėti išnaudoti išteklius arba perimti neskelbtiną informaciją.
Kai kuriais atvejais nėra jokių požymių, kad buvo įdiegtos užpakalinės durys, laukiančios, kol užpuolikas prieis prie jų dėl kenkėjiškos veiklos. Todėl labai rekomenduojama įdiegti mechanizmus, užtikrinančius failų sistemos vientisumą.

Sulaikymas, išnaikinimas ir atkūrimas

Kalbant apie sulaikymo, pašalinimo ir atkūrimo etapą, procesas turėtų prisitaikyti prie svetainėje rastos problemos tipo ir iš anksto nustatytų ataka pagrįstų strategijų. Pavyzdžiui, kriptominerio infekcija paprastai sunaudoja daug serverio (leecher) išteklių, o reagavimo į incidentą komanda turi pašalinti grėsmę prieš pradėdama taisymo procesą.

Šios atakos sulaikymas yra svarbus žingsnis siekiant išvengti papildomo išteklių išeikvojimo ir tolesnės žalos. Ši sprendimų priėmimo sistema ir strategijos yra svarbi šio etapo dalis. Pavyzdžiui, jei identifikuojame tam tikrą failą kaip 100% kenkėjišką, reikia imtis veiksmų jį sunaikinti. Jei faile yra iš dalies kenkėjiško kodo, reikia pašalinti tik tą dalį. Kiekvienas scenarijus turi turėti apibrėžtą procesą.

Veiksmai po įvykio

Paskutinis, bet ne mažiau svarbus dalykas, veiksmas po incidento taip pat gali būti vadinamas išmoktų pamokų etapu. Šiuo metu reagavimo į incidentą komanda turėtų pateikti ataskaitą, kurioje būtų išsamiai aprašyta, kas atsitiko, kokių veiksmų buvo imtasi ir kaip intervencija veikė. Turime apmąstyti įvykį, pasimokyti iš jo ir imtis veiksmų, kad panašių problemų išvengtume ateityje. Šie veiksmai gali būti tokie pat paprasti kaip komponento atnaujinimas, slaptažodžių keitimas arba svetainės ugniasienės pridėjimas, kad būtų išvengta atakų pakraštyje.

Peržiūrėkite veiksmus, kurių jūsų skyrius turi imtis, kad dar labiau sustiprintų saugumą. Tada būtinai atlikite šiuos veiksmus kuo greičiau. Visus tolesnius veiksmus galite pagrįsti šiais patarimais:

Be to, jei aktyviai naudojate žiniatinklio programų užkardą (WAF), peržiūrėkite esamą konfigūraciją, kad nustatytumėte, kokius pakeitimus reikia atlikti. Atminkite, kad nors WAF padeda atitikti kelis mokėjimo kortelių pramonės duomenų saugos standartus (PCI DSS), jie nėra panacėja. Yra ir kitų veiksnių, kurie gali turėti įtakos jūsų verslui, ypač žmogiškasis veiksnys.
5. atsigauti — atkūrimo planavimas bus atliktas, kai bus atlikta išsami visų etapų analizė incidento atveju. Atkūrimas taip pat susijęs su atsarginio plano turėjimu situacijoms, kai visi ankstesni veiksmai nepavyko, pvz., išpirkos reikalaujančių programų atakų.

Šis procesas taip pat turėtų apimti laiko susitarimą pasikalbėti su savo saugumo pardavėju apie tai, kaip pagerinti silpnąsias vietas. Jie yra geriau pasirengę pasiūlyti supratimą apie tai, ką galima padaryti.

Turėkite komunikacijos strategiją

Jei bet kokiems duomenims kyla pavojus, praneškite apie tai savo klientams. Tai ypač svarbu, jei vykdote verslą ES, kur organizacija turi pranešti apie duomenų saugumo pažeidimą per 72 valandas pagal Bendrojo duomenų apsaugos reglamento (BDAR) 33 straipsnį.

Naudokite automatinę atsarginę kopiją

Kad ir ką darytumėte norėdami apsaugoti savo svetainę, rizika niekada nebus lygi nuliui. Jei jūsų svetainės funkcionalumas yra pažeistas, jums reikia būdo greitai atkurti duomenis – ne vieną, o bent du. Labai svarbu turėti vietinę visos programos atsarginę kopiją ir išorinę atsarginę kopiją, kuri nėra tiesiogiai susieta su programa aparatinės įrangos gedimo ar atakos atveju.

Kaip apsaugoti savo svetainę ir užtikrinti saugumą?

Negalima nuvertinti svetainės saugumo svarbos. Šiame skyriuje apžvelgsime, kaip užtikrinti, kad jūsų svetainė būtų saugi ir apsaugota. Tai nėra nuoseklus vadovas, tačiau jame bus pateiktos svetainės saugumo rekomendacijos, kaip rasti tinkamas paslaugas pagal jūsų poreikius.
1. Atnaujinkite viską – Dėl pasenusios ir nesaugios programinės įrangos kasdien kyla pavojus daugybei svetainių. Svarbu atnaujinti svetainę, kai tik bus pasiekiamas naujas TVS papildinys arba versija. Šiuose naujinimuose gali būti tiesiog saugos patobulinimų arba pataisytų pažeidžiamumų.
Dauguma atakų prieš svetaines yra automatizuotos. Robotai nuolat naršo kiekvieną svetainę, kad galėtų išnaudoti galimybes. Nebeužtenka atnaujinti kartą per mėnesį ar net kartą per savaitę, nes robotai greičiausiai suras pažeidžiamumą prieš ją ištaisydami.
Štai kodėl turėtumėte naudoti svetainės užkardą, kuri praktiškai užvers saugumo spragą, kai tik bus išleisti naujinimai. Jei turite „WordPress“ svetainę, vienas papildinys, į kurį turėtumėte atkreipti dėmesį, yra „WP Updates Notifier“. Jis siunčia jums el. laišką, kad praneštų, kai pasiekiamas papildinys arba pagrindinis „WordPress“ naujinys.
2. Turėkite stiprius slaptažodžius Saugios svetainės turėjimas labai priklauso nuo jūsų saugumo. Ar kada nors pagalvojote, kaip jūsų naudojami slaptažodžiai gali kelti grėsmę jūsų svetainės saugumui?
Norėdami išvalyti užkrėstas svetaines, taikytojai turi prisijungti prie kliento svetainės arba serverio naudodami savo administratoriaus vartotojo kredencialus. Jie gali būti nustebinti pamatę, kokie nesaugūs gali būti root slaptažodžiai. Naudodami tokius prisijungimus kaip admin / admin, slaptažodžio galite neturėti iš viso.
Piratai sujungs duomenis iš tinklo su žodyno žodžių sąrašais, kad sukurtų dar didesnius galimų slaptažodžių sąrašus. Jei jūsų naudojami slaptažodžiai yra viename iš šių sąrašų, tik laiko klausimas, kada jūsų svetainė bus pažeista.

Stiprios slaptažodžio rekomendacijos

Rekomendacijos, kaip sukurti stiprų slaptažodį:

• Nenaudokite slaptažodžių pakartotinai: kiekvienas slaptažodis turi būti unikalus. Slaptažodžių tvarkyklė gali palengvinti šią užduotį.
• Naudokite ilgus slaptažodžius. Pabandykite naudoti daugiau nei 12 simbolių. Kuo ilgesnis slaptažodis, tuo ilgiau užtruks, kol kompiuterinė programa jį nulaužs.
• Naudokite atsitiktinius slaptažodžius. Slaptažodžių nulaužimo programos per kelias minutes gali atspėti milijonus slaptažodžių, jei juose yra žodžių, rastų internete ar žodynuose. Jei jūsų slaptažodis turi tikrus žodžius, jis nėra atsitiktinis. Jei galite lengvai ištarti slaptažodį, tai reiškia, kad jis nėra pakankamai stiprus. Net simbolių pakeitimo (t. y. raidės O pakeitimo skaičiumi 0) neužtenka. Yra keletas naudingų slaptažodžių tvarkytuvų, tokių kaip LastPass (internete) ir KeePass 2 (neprisijungus). Šie įrankiai saugo visus jūsų slaptažodžius šifruotu formatu ir gali lengvai sugeneruoti atsitiktinius slaptažodžius vienu mygtuko paspaudimu. Slaptažodžių tvarkytuvės leidžia naudoti stiprius slaptažodžius, nereikia atsiminti silpnesnių ar jų neužsirašyti.

3. Viena svetainė = viena saugykla Daugelio svetainių talpinimas viename serveryje gali atrodyti idealus, ypač jei turite „neribotą“ žiniatinklio prieglobos planą. Deja, tai yra viena iš blogiausių saugos praktikų, kurias galite naudoti. Įdėjus kelias svetaines vienoje vietoje sukuriamas labai didelis atakos paviršius. Turėtumėte žinoti, kad kryžminė tarša yra labai dažna. Tai yra tada, kai svetainę neigiamai veikia tame pačiame serveryje esančios kaimyninės svetainės dėl prastos serverio izoliacijos arba paskyros konfigūracijos.
Pavyzdžiui, serveryje, kuriame yra viena svetainė, gali būti vienas „WordPress“ diegimas su tema ir 10 papildinių, į kuriuos gali būti nukreiptas užpuolikas. Jei viename serveryje priglobiate penkias svetaines, užpuolikas gali turėti tris „WordPress“ diegimus, du „Joomla“ diegimus, penkias temas ir 50 papildinių, kurie gali būti potencialūs taikiniai. Dar blogiau, kai užpuolikas vienoje svetainėje aptinka išnaudojimą, infekcija gali lengvai išplisti į kitas to paties serverio svetaines.

Dėl to ne tik vienu metu gali būti įsilaužta į visas jūsų svetaines, bet ir valymo procesas užtruks daug daugiau laiko ir bus sudėtingesnis. Užkrėstos svetainės gali pakartotinai užkrėsti viena kitą, sukeldamos nesibaigiančią kilpą.

Kai išvalymas buvo sėkmingas, dabar turėsite daug sunkesnę užduotį, kai reikia iš naujo nustatyti slaptažodžius. Vietoj vienos svetainės turite kelias. Kiekvienas slaptažodis, susietas su kiekviena serverio svetaine, turi būti pakeistas, kai infekcija išnyko. Tai apima visas TVS duomenų bazes ir failų perdavimo protokolo (FTP) vartotojus kiekvienoje iš šių svetainių. Jei praleisite šį veiksmą, visos svetainės gali būti iš naujo užkrėstos ir turėsite iš naujo pradėti procesą.
4. Naudotojų prieigos ir leidimų ribojimas Jūsų svetainės kodas gali būti ne užpuoliko taikinys, bet jūsų vartotojai bus. IP adresų ir visos veiklos istorijos įrašymas bus naudingas vėliau atliekant teismo ekspertizę.
Pavyzdžiui, reikšmingas registruotų vartotojų skaičiaus padidėjimas gali reikšti registracijos proceso gedimą ir leisti šiukšlių siuntėjams užtvindyti jūsų svetainę netikru turiniu.

Mažiausios privilegijos principas

Mažiausios privilegijos principas grindžiamas principu, kuriuo siekiama dviejų tikslų:

Privilegijų suteikimas tam tikriems vaidmenims lems, ką jie gali ir ko negali daryti. Idealioje sistemoje vaidmuo neleistų niekam bandyti atlikti veiksmo, kuris nėra numatytas.
Pavyzdžiui, tarkime, kad administratorius gali įterpti nefiltruotą HTML į įrašus arba paleisti komandas, kad įdiegtų papildinius. Ar tai pažeidžiamumas? Ne, tai funkcija, pagrįsta vienu labai svarbiu elementu – pasitikėjimu. Tačiau ar autorius turėtų turėti tas pačias privilegijas ir prieigą? Apsvarstykite galimybę atskirti vaidmenis remiantis pasitikėjimu ir užrakinti visas paskyras.
Tai taikoma tik svetainėms, turinčioms kelis naudotojus arba prisijungimus. Svarbu, kad kiekvienas vartotojas turėtų atitinkamus leidimus, reikalingus savo darbui atlikti. Jei šiuo metu jums reikia išplėstinių leidimų, suteikite juos. Tada sumažinkite jo mastelį, kai darbas bus atliktas.

Pavyzdžiui, jei kas nors nori parašyti svečio tinklaraščio įrašą, įsitikinkite, kad jo paskyra neturi visų administratoriaus teisių. Paskyroje turėtų būti galima tik kurti naujus įrašus ir redaguoti savo įrašus, nes jiems nereikia keisti svetainės nustatymų. Kruopščiai apibrėžti vartotojo vaidmenys ir prieigos taisyklės apribos galimas klaidas. Tai taip pat sumažina pažeistų paskyrų skaičių ir gali apsaugoti nuo nesąžiningų vartotojų daromos žalos.
Tai dažnai nepastebima vartotojų valdymo dalis: atskaitomybė ir stebėjimas. Jei keli žmonės naudojasi ta pačia vartotojo paskyra ir tas vartotojas atlieka nepageidaujamus pakeitimus, kaip žinoti, kas iš jūsų komandos yra atsakingas?
Jei kiekvienam vartotojui turite atskiras paskyras, galite stebėti jo elgesį žiūrėdami žurnalus ir žinodami įprastas tendencijas, pvz., kada ir kur jie dažniausiai lankosi svetainėje. Taigi, jei vartotojas prisijungia nelyginiu laiku arba iš įtartinos vietos, galite ištirti. Audito žurnalų tvarkymas yra labai svarbus norint sekti bet kokius įtartinus svetainės pakeitimus.

Žinoma, kai kuriems vartotojams gali būti sunku registruoti auditą rankiniu būdu. Jei turite „WordPress“ svetainę, galite naudoti nemokamą „Sucuri“ saugos papildinį, kurį galite atsisiųsti iš oficialios „WordPress“ saugyklos.

Failų leidimai

Failo leidimai nustato, kas ką gali daryti su failu. Kiekvienas failas turi tris galimus leidimus ir kiekvienas leidimas žymimas skaičiumi:

Jei norite leisti kelis leidimus, tiesiog sudėkite skaičius, pavyzdžiui, norėdami leisti skaityti (4) ir rašyti (2), nustatote vartotojo leidimą į 6. Jei norite leisti vartotojui skaityti (4), parašykite (2) ir atlikite (1), tada nustatykite vartotojo leidimą į 7.

Vartotojų tipai

Taip pat yra trijų tipų vartotojai:

Taigi, jei norite, kad savininkas turėtų skaitymo ir rašymo prieigą, grupė – tik skaitymo prieigą, o visuomenė – ne, failo leidimo nustatymai turėtų būti:
5. Pakeiskite numatytuosius TVS nustatymus Šiuolaikinės TVS programos (nors ir paprastos naudoti) gali būti sudėtingos galutinių vartotojų saugumo požiūriu. Iki šiol dažniausiai pasitaikančios atakos prieš svetaines yra visiškai automatizuotos. Daugelis šių atakų priklauso nuo to, kad vartotojai turi tik numatytuosius nustatymus. Tai reiškia, kad jūs galite išvengti daugybės atakų tiesiog pakeisdami numatytuosius nustatymus diegdami pasirinktą TVS.
Pavyzdžiui, kai kurias TVS programas vartotojas gali rašyti, todėl vartotojas gali įdiegti bet kokius norimus plėtinius.
Yra nustatymų, kuriuos galite koreguoti norėdami valdyti komentarus, naudotojus ir naudotojo informacijos matomumą. Failų leidimai yra dar vienas numatytojo nustatymo, kurį galima patobulinti, pavyzdys.
Galite pakeisti šiuos numatytuosius nustatymus, kai įdiegiate TVS arba naujesnę, bet nepamirškite to padaryti.
6. Plėtinio pasirinkimas (įskiepiai) Žiniatinklio valdytojams paprastai patinka TVS programų išplečiamumas, tačiau tai taip pat gali būti vienas didžiausių trūkumų. Yra papildinių, priedų ir plėtinių, kurie suteikia beveik visas funkcijas, kurias galite įsivaizduoti. Bet kaip žinoti, kurį iš jų saugu įdiegti?

Saugių plėtinių (įskiepių) pasirinkimas – pagrindinis svetainės saugumas

Štai į ką reikia atkreipti dėmesį renkantis plėtinius:

7. Turėkite savo svetainių atsargines kopijas – įsilaužimo atveju svetainės atsarginės kopijos yra labai svarbios norint atkurti svetainę po didelio saugumo pažeidimo. Nors tai neturėtų būti laikoma svetainės saugos sprendimo pakaitalu, atsarginė kopija gali padėti atkurti sugadintus failus.

Geriausio svetainės atsarginio kopijavimo sprendimo pasirinkimas

Geras atsarginės kopijos sprendimas turi atitikti šiuos reikalavimus:
— Pirma, jie turi būti ne vietoje. Jei jūsų atsarginės kopijos saugomos jūsų svetainės serveryje, jos yra taip pat pažeidžiamos atakoms, kaip ir bet kas kitas. Turėtumėte saugoti atsargines kopijas ne svetainėje, nes norite, kad atsarginės duomenų kopijos būtų apsaugotos nuo įsilaužėlių ir aparatinės įrangos gedimų. Atsarginių kopijų saugojimas žiniatinklio serveryje taip pat yra didelė saugumo rizika. Šiose atsarginėse kopijose visada yra nepataisytos TVS ir plėtinių versijos, todėl įsilaužėliai gali lengvai pasiekti jūsų serverį.
- Antra, jūsų atsarginės kopijos turėtų būti automatinės. Kasdien darote tiek daug dalykų, kad gali būti neįsivaizduojama, kad reikia nepamiršti sukurti atsarginės svetainės kopijos. Naudokite atsarginį sprendimą, kurį galima suplanuoti pagal jūsų svetainės poreikius.
Norėdami baigti, patikimai atsigaukite. Tai reiškia, kad turite turėti atsargines atsargines kopijas ir jas išbandyti, kad įsitikintumėte, jog jos iš tikrųjų veikia. Norėdami atleisti iš darbo, jums reikės kelių atsarginių kopijų. Tai darydami galite atkurti failus prieš įsilaužimą.
8. Serverio konfigūracijos failai – patikrinkite savo žiniatinklio serverio konfigūracijos failus: Apache žiniatinklio serveriai naudoja .htaccess failą, Nginx serveriai naudoja nginx.conf, Microsoft IIS serveriai naudoja web.config.
Serverio konfigūracijos failai, kurie dažniausiai yra žiniatinklio šakniniame kataloge, yra labai galingi. Jie leidžia įgyvendinti serverio taisykles, įskaitant direktyvas, didinančias jūsų svetainės saugumą. Jei nesate tikri, kurį žiniatinklio serverį naudojate, paleiskite svetainę naudodami „Sitecheck“ ir eikite į skirtuką „Išsami svetainės informacija“.

Svetainės sauga – žiniatinklio serverio geriausia praktika

Štai keletas gairių, kurias galite pridėti konkrečiam žiniatinklio serveriui:

• Uždrausti prieigą prie katalogų: tai neleidžia užpuolikams peržiūrėti kiekvieno svetainės katalogo turinio. Užpuolikams prieinamos informacijos ribojimas visada yra naudinga saugumo priemonė.
• Vaizdo karštųjų nuorodų prevencija: nors tai nėra griežtai saugumo patobulinimas, jis neleidžia kitoms svetainėms rodyti jūsų žiniatinklio serveryje esančių vaizdų. Jei žmonės pradeda teikti karštąsias nuorodas iš jūsų serverio, jūsų prieglobos plano leistinas pralaidumas gali būti greitai naudojamas kažkieno svetainės vaizdams rodyti.
• Konfidenciali failų apsauga: galite nustatyti taisykles, skirtas apsaugoti konkrečius failus ir aplankus. TVS konfigūracijos failai yra vieni iš svarbiausių failų, saugomų žiniatinklio serveryje, nes juose yra duomenų bazės prisijungimo informacija paprastu tekstu. Kitos vietos, pvz., administracinės zonos, gali būti užblokuotos. Taip pat galite apriboti PHP vykdymą iki katalogų, kuriuose yra vaizdų arba leidžiančių įkelti.

9. Įdiekite SSL sertifikatą — SSL sertifikatai naudojamas šifruoti duomenis, perduodamus tarp pagrindinio kompiuterio (žiniatinklio serverio arba ugniasienės) ir kliento (žiniatinklio naršyklės). Tai padeda užtikrinti, kad jūsų informacija būtų siunčiama į tinkamą serverį ir nebūtų perimama.
Kai kurie SSL sertifikatų tipai, pvz., organizacijos SSL sertifikatas arba išplėstinio patvirtinimo SSL sertifikatas, suteikia papildomo pasitikėjimo, nes lankytojas gali matyti jūsų organizacijos informaciją ir žinoti, kad esate teisėtas asmuo.
Kaip svetainių saugos įmonė, turime šviesti žiniatinklio valdytojus ir informuoti, kad SSL sertifikatai neapsaugo svetainių nuo atakų ir įsilaužimų. SSL sertifikatai užšifruoja perduodamus duomenis, bet neprideda pačios svetainės saugumo sluoksnio.
10. Įdiekite nuskaitymo ir stebėjimo įrankius - Kontroliuokite kiekvieną veiksmą, kad užtikrintumėte programos vientisumą. Įspėjimo mechanizmai gali sumažinti reakcijos laiką ir sumažinti žalą pažeidimo atveju. Be patikrinimų ir nuskaitymų, kaip sužinoti, ar jūsų svetainė buvo pažeista?
Mažiausiai mėnesio žurnalai gali būti labai naudingi nustatant programų gedimus. Jie taip pat parodys, ar serveryje yra DDoS ataka, ar jis yra be reikalo apkraunamas. Įrašykite ir reguliariai peržiūrėkite visą veiklą, kuri vyksta svarbiose programos dalyse, ypač (bet ne tik) administravimo srityse. Užpuolikas gali bandyti naudoti ne tokią svarbią svetainės dalį, kad vėliau pasiektų aukštesnį lygį.
Būtinai sukurkite aktyviklius, kad praneštų apie žiaurios jėgos ataką arba bandymą naudoti bet kurią iš svetainės funkcijų, įskaitant tas, kurios nesusijusios su autentifikavimo sistemomis. Svarbu reguliariai tikrinti, ar nėra naujinimų, ir juos taikyti, kad įsitikintumėte, jog įdiegėte naujausias saugos pataisas. Tai ypač aktualu, jei neįjungiate žiniatinklio programos ugniasienės, kad ji blokuotų bandymus išnaudoti pažeidžiamumą.
11. Laikykitės asmeninių saugos nurodymų - apsaugoti asmeninį kompiuterį yra svarbi svetainių savininkų užduotis. Jūsų įrenginiai gali tapti infekcijos pernešėju ir dėl to jūsų svetainė gali būti įsilaužta.
Gerame svetainės saugos vadove minimas kompiuterio nuskaitymas, ar nėra kenkėjiškų programų, jei į svetainę buvo įsilaužta. Yra žinoma, kad kenkėjiškos programos prasiskverbia iš užkrėsto vartotojo kompiuterio per teksto redaktorius ir FTP klientus.
Jūs turite pašalinti visas nenaudojamas programas iš savo kompiuterio. Šis veiksmas svarbus, nes šios programos taip pat gali turėti privatumo problemų, kaip ir nenaudojami papildiniai ir temos jūsų svetainėje.
Jei kažkas neįdiegta, tai negali tapti atakos vektoriumi, užkrėstu jūsų kompiuterį, ypač naršyklės plėtinį. Jie turi visišką prieigą prie svetainių, kai žiniatinklio valdytojai yra prisijungę prie savo administratoriaus sąsajų. Kuo mažiau įdiegsite savo kompiuteryje, tuo geriau.
Jei nesate tikri dėl konkrečios programos tikslo, šiek tiek paieškokite internete, kad sužinotumėte, ar jos reikia, ar ką nors galite pašalinti. Jei neketinate jo naudoti, išimkite.
12. Naudokite svetainės užkardą - Nepakanka naudoti tik SSL sertifikatus, kad užpuolikas negalėtų pasiekti konfidencialios informacijos. Dėl jūsų žiniatinklio programos pažeidžiamumo užpuolikas gali perimti srautą, nukreipti lankytojus į netikras svetaines, pateikti melagingą informaciją, laikyti svetainę įkaite (išpirkos reikalaujančią programinę įrangą) arba ištrinti visus jos duomenis.
Net ir visiškai pataisyta programa, užpuolikas taip pat gali užpulti jūsų serverį arba tinklą naudodamas DDoS atakas, kad sulėtintų arba išjungtų svetainę. Web Application Firewall (WAF) skirta užkirsti kelią tokioms atakoms prieš svetaines ir leidžia sutelkti dėmesį į savo verslą.

Papildomos priemonės be svetainės

Norėdami apsaugoti savo svetaines ir padaryti internetą saugesnį, naudokite šiuos nemokamus išteklius ir įrankius.
1. Svetainės apsaugos įrankiai – Štai keletas nemokamų svetainių saugos įrankių:

1.1 „SiteCheck“ yra nemokamas svetainės tikrinimo ir kenkėjiškų programų skaitytuvas.
1.2 Sucuri Load Time Tester – patikrinkite ir palyginkite svetainės greitį.
1.3 „Sucuri WordPress“ saugos papildinys – „WordPress“ svetainių auditas, kenkėjiškų programų skaitytuvas ir saugumo stiprinimas.
1.4 Google Search Console – saugos įspėjimai ir įrankiai paieškos srautui ir svetainės našumui įvertinti.
1.5 „Bing Webmaster Tools“ – paieškos variklio diagnostika ir saugos ataskaitų teikimas.
1.6 „Yandex Webmaster“ – žiniatinklio paieška ir pranešimai apie saugos pažeidimus.
1.6 Demaskparasites – tikrina, ar puslapiuose nėra paslėpto nelegalaus turinio.
1.7 Geriausias WAF – geriausių debesies žiniatinklio programų ugniasienės palyginimas.

2. Papildomi resursai Štai keletas mokomųjų išteklių apie svetainės saugumą:

2.2 Sucuri Labs – grėsmių tyrimas, kenkėjiškų programų parašų duomenų bazė ir statistika.
2.3 OWASP yra atvirojo kodo žiniatinklio programų saugos projektas.
2.4 PCI atitikties kontrolinis sąrašas – PCI atitikties kontrolinis sąrašas.
2.5 SANS institutas – mokymas, sertifikavimas ir tyrimai informacijos saugumo srityje.
2.6 NIST – Nacionalinis standartų ir technologijos institutas.

Dažnai užduodami klausimai apie svetainės saugumą

Kodėl svetainės saugumas yra svarbus?

Svetainės saugumas yra gyvybiškai svarbus norint, kad svetainė būtų prisijungusi ir saugi lankytojams. Nekreipiant dėmesio į svetainės saugumą, įsilaužėliai gali pasinaudoti jūsų svetaine, ją išjungti ir paveikti jūsų buvimą internete. Įsilaužimo į svetainę pasekmės gali būti finansiniai nuostoliai, prekės ženklo reputacijos problemos ir žemas reitingas paieškos sistemose.

Kokia yra svetainės saugumo rizika?

Pagrindinės svetainės saugumo rizikos yra: pažeidžiamas kodas, prasta prieigos kontrolė ir serverio išteklių naudojimas. Pavyzdžiui, DDoS atakos gali padaryti svetainę nepasiekiamą lankytojams per kelias minutes. Yra daug priežasčių, kodėl į svetaines įsilaužiama; dėl silpno slaptažodžio arba pasenusio papildinio gali būti įsilaužta į svetainę.

Kas daro svetainę saugią?

Saugioje svetainėje suaktyvinama žiniatinklio programų ugniasienė, kad būtų išvengta atakų ir įsilaužimų. Jame taip pat laikomasi geriausios svetainės saugumo praktikos ir nėra konfigūracijos problemų ar žinomų pažeidžiamumų. Galite naudoti „SiteCheck“, kad sužinotumėte, ar svetainėje yra ugniasienė, ar nėra saugos nukrypimų, kenkėjiškų programų arba ar ji įtraukta į juodąjį sąrašą. SiteCheck, kad sužinotumėte, ar svetainėje yra ugniasienė, ar nėra saugos nukrypimų, kenkėjiškų programų arba ar ji įtraukta į juodąjį sąrašą.

Ar man reikia svetainės saugumo?

Taip, žinoma. Svetainės sauga neįtraukta į daugumą žiniatinklio prieglobos paketų. Svetainės saugumas yra svetainės savininko atsakomybė. Saugumas turėtų būti vienas iš pirmųjų aspektų kuriant svetainę ir atliekant nuolatinį patvirtinimo procesą. Jei svetainė nėra saugi, ji gali tapti lengvu kibernetinių nusikaltėlių grobiu.

Kaip padaryti svetainę saugią?

Galite apsaugoti savo svetainę vadovaudamiesi geriausios svetainės saugos praktikos pavyzdžiais, pavyzdžiui:

• Naudokite svetainės užkardą.
• Visada naudokite naujausią svetainės TVS versiją, papildinius, temas ir trečiųjų šalių paslaugas.
• Išlaikykite ir naudokite stiprius slaptažodžius.
• Suteikite tik tokio tipo prieigą, kurios kam nors reikia užduočiai atlikti.
• Įdiekite nuskaitymo ir stebėjimo įrankius, kad užtikrintumėte svetainės vientisumą.
• Įdiekite SSL sertifikatus duomenų šifravimui.
• Turėkite atsargines svetainių kopijas.

Dėkojame, kad skaitėte Nicola Top