Veb-sayt xavfsizligi va himoyasi - veb-saytni qanday himoya qilish kerak?

Veb-sayt himoyasi — veb-saytingizni qanday himoya qilish va himoya qilish? Veb-sayt xavfsizligi doimiy o'zgaruvchan muhitda murakkab (yoki hatto chalkash) mavzu bo'lishi mumkin. Ushbu qo'llanma xavfni kamaytirishga va o'z veb-xususiyatlariga xavfsizlik tamoyillarini qo'llashga intilayotgan veb-sayt egalari uchun aniq asos yaratish uchun mo'ljallangan.

Ishni boshlashdan oldin shuni yodda tutish kerakki, xavfsizlik hech qachon “o'rnating va keting” yechimi emas. Buning o'rniga, men sizni umumiy xavfni kamaytirish uchun doimiy baholashni talab qiladigan doimiy jarayon deb o'ylashni taklif qilaman.

Murojaat qilinmoqda veb-sayt xavfsizligiga tizimli yondashuv, biz uni bir elementga birlashtirilgan ko'plab himoya qatlamlaridan tashkil topgan ramka sifatida tasavvur qilishimiz mumkin. Biz veb-sayt xavfsizligiga har tomonlama qarashimiz va unga chuqur mudofaa strategiyasi bilan yondashishimiz kerak.

Veb-sayt xavfsizligi nima?

Veb-sayt xavfsizligi - bu ko'rilgan choralar veb-saytlarni kiberhujumlardan himoya qilish. Shu ma'noda veb-sayt xavfsizligi doimiy jarayon va veb-sayt boshqaruvining ajralmas qismidir.

Nima uchun veb-sayt xavfsizligi muhim?

Misol uchun, agar veb-sayt buzilgan va qora ro'yxatga kiritilgan bo'lsa, u 98% trafikni yo'qotishi mumkin. Xavfsiz veb-saytga ega bo'lmaslik veb-saytning umuman yo'qligi yoki undan ham yomoni bo'lishi mumkin. Misol uchun, mijozlar ma'lumotlarining sizib chiqishi sud jarayonlariga, katta jarimaga olib kelishi va obro'siga putur etkazishi mumkin.

1. Chuqurlikdagi mudofaa strategiyasi

Veb-sayt xavfsizligi uchun chuqur mudofaa strategiyasi stekda ishlatiladigan vositalarni tahlil qilish uchun mudofaa chuqurligi va hujum yuzasining kengligini hisobga oladi. Ushbu yondashuv veb-sayt xavfsizligiga tahdid solayotgan bugungi manzaraning aniqroq tasvirini beradi.

Veb-mutaxassislar veb-sayt xavfsizligini qanday ko'rishadi

Veb-sayt xavfsizligini hajmidan qat'i nazar, har qanday onlayn biznes uchun jozibador mavzuga aylantiradigan statistikani unuta olmaymiz.
Veb-mutaxassislarning 1000 dan ortiq so'rovnomalarini tahlil qilgandan so'ng, xavfsizlik manzarasi haqida ba'zi xulosalar chiqarish mumkin:

Nima uchun saytlar buzilgan

2019 yilda Internetda 1,94 milliarddan ortiq veb-saytlar mavjud edi. Bu xakerlar uchun keng maydonchani ta'minlaydi. Ko'pincha veb-saytlar nima uchun buzilganligi haqida noto'g'ri tushuncha mavjud. Egalari va ma'murlari ko'pincha buzg'unchilikka duchor bo'lmasliklariga ishonishadi, chunki ularning saytlari kichikroq va shuning uchun xakerlar uchun kamroq jozibador. Xakerlar ma'lumotni o'g'irlashni yoki sabotaj qilishni xohlasalar, kattaroq saytlarni tanlashlari mumkin. Boshqa maqsadlar uchun (ular keng tarqalgan), har qanday kichik sayt katta ahamiyatga ega.
Veb-saytlarni buzishda turli maqsadlar ko'zlanadi, ammo asosiylari:

2. Veb-saytlarga avtomatik hujumlar

Afsuski, avtomatlashtirish qo'shimcha xarajatlarni kamaytiradi, ommaviy oshkor qilish imkonini beradi va trafik hajmidan yoki veb-saytning mashhurligidan qat'i nazar, muvaffaqiyatli murosaga erishish imkoniyatini oshiradi.
Aslida, avtomatlashtirish xakerlik olamida shohdir. Avtomatlashtirilgan hujumlar ko'pincha ma'lum zaifliklardan ko'p saytlarga ta'sir qilish uchun foydalanishni o'z ichiga oladi, ba'zan hatto sayt egasining xabarisiz ham.

Avtomatik hujumlar imkoniyatga asoslanadi. Ommabop e'tiqoddan farqli o'laroq, avtomatlashtirilgan hujumlar qo'llanilgan maqsadli hujumlarga qaraganda ancha keng tarqalgan bo'lib, ularning kirish imkoniyati va qulayligi tufayli. Deyarli 60% Internet CMS-da ishlaydi.

CMS xavfsizlik muammolari

O'rtacha veb-sayt egasi uchun WordPress, Magento, Joomla yoki Drupal va boshqalar kabi ochiq manbali kontentni boshqarish tizimi (CMS) yordamida tezda onlayn bo'lish osonroq.
Ushbu platformalar tez-tez xavfsizlik yangilanishlarini ta'minlasa-da, plaginlar yoki mavzular kabi uchinchi tomon kengaytiriladigan komponentlaridan foydalanish imkoniyatlar hujumlari uchun osongina ishlatilishi mumkin bo'lgan zaifliklarga olib keladi.

Axborot xavfsizligi standarti - maxfiylik, yaxlitlik va mavjudlik. Ushbu model tashkilotlar xavfsizligini ta'minlash siyosatini ishlab chiqish uchun ishlatiladi.

3. Maxfiylik, yaxlitlik va mavjudlik

Endi biz avtomatlashtirilgan va maqsadli hujumlar haqida ba'zi ma'lumotlarga ega bo'lganimizdan so'ng, biz veb-sayt xavfsizligiga nisbatan keng tarqalgan tahdidlarni ko'rib chiqishimiz mumkin.

Veb-sayt zaifliklari va tahdidlari

Bu erda veb-sayt xavfsizligining eng keng tarqalgan zaifliklari va tahdidlari:

1. SQL in'ektsiyasi - Bunday SQL in'ektsiya hujumlari zaif SQL so'roviga zararli kodni kiritish orqali amalga oshiriladi. Ular veb-sayt ma'lumotlar bazasiga yuboradigan xabarga maxsus tayyorlangan so'rovni qo'shadigan tajovuzkorga tayanadi.
Muvaffaqiyatli hujum ma'lumotlar bazasi so'rovini veb-sayt kutgan ma'lumot o'rniga tajovuzkor xohlagan ma'lumotni qaytaradigan tarzda o'zgartiradi. SQL in'ektsiyalari hatto ma'lumotlar bazasiga zararli ma'lumotlarni o'zgartirishi yoki qo'shishi mumkin.
2. Saytlararo skript (XSS) Saytlararo skript hujumlari veb-saytga zararli mijoz skriptlarini kiritish va veb-saytni tarqatish usuli sifatida ishlatishdan iborat. XSS ning xavfli tomoni shundaki, u tajovuzkorga veb-saytga kontent kiritish va sahifa yuklanganda jabrlanuvchining brauzerini tajovuzkor tomonidan taqdim etilgan kodni bajarishga majburlash orqali uni ko'rsatish usulini o'zgartirish imkonini beradi. Agar tizimga kirgan sayt administratori kodni yuklasa, skript ularning imtiyozlar darajasida bajariladi va bu saytni egallashga olib kelishi mumkin.
3. Brute Force Credential Attacks Veb-saytning boshqaruv paneliga, boshqaruv paneliga yoki hatto SFTP serveriga kirish veb-saytlarni buzish uchun ishlatiladigan eng keng tarqalgan vektorlardan biridir. Jarayon juda oddiy:

4. Veb-sayt zararli dasturlari infektsiyasi va hujumlari Veb-saytga ruxsatsiz kirish vositasi sifatida oldingi xavfsizlik muammolaridan foydalanib, tajovuzkorlar:
5. DoS/DDoS hujumlari Taqsimlangan denial of Service (DDoS) hujumi nointrusiv Internet hujumidir. Bu tarmoq, server yoki dasturni soxta trafik bilan to'ldirish orqali maqsadli veb-saytni o'chirish yoki sekinlashtirish uchun amalga oshiriladi.

Elektron tijorat veb-sayt xavfsizligi va PCI muvofiqligi

Toʻlov kartalari sanoati maʼlumotlar xavfsizligi standartlari (PCI-DSS) onlayn-do'konlari bo'lgan veb-sayt egalari uchun talablarni aniqlang. Ushbu talablar siz onlayn-do'kon sifatida to'plagan karta egasi ma'lumotlari etarli darajada himoyalanganligini ta'minlashga yordam beradi. PCI DSS ostida, himoya qilinishi kerak bo'lgan karta egasi ma'lumotlari to'liq asosiy hisob raqamiga (PAN) ishora qiladi, lekin quyidagi shakllardan birida ham paydo bo'lishi mumkin:

PCI muvofiqlik qoidalari ma'lumotlarni raqamli, yozma ravishda uzatishingiz yoki ma'lumotlarga kirish huquqiga ega bo'lgan boshqa shaxs bilan muloqot qilishingizdan qat'i nazar qo'llaniladi.

E-tijorat veb-saytlari uchun karta egasi ma'lumotlari HTTPS orqali to'g'ri shifrlangan holda brauzerdan veb-serverga uzatilishini ta'minlash uchun qo'lingizdan kelganini qilish juda muhimdir. Shuningdek, u har qanday uchinchi tomon to'lovlarini qayta ishlash xizmatlariga uzatilganda serverda xavfsiz va shunga o'xshash shifrlangan holda saqlanishi kerak.

Xakerlar istalgan vaqtda karta egasining maʼlumotlarini oʻgʻirlashga yoki toʻxtatib qoʻyishga urinishlari mumkin, maʼlumotlar toʻxtab qolgan yoki tranzitda.

Veb-sayt xavfsizlik tizimi

Sizning biznesingiz hajmidan qat'i nazar, xavfsizlik tizimini ishlab chiqish sizning umumiy xavfingizni kamaytirishga yordam beradi. Xavfsizlik doimiy jarayon ekanligini tushunish, u veb-sayt xavfsizligi poydevorini yaratishdan boshlanishini anglatadi. Ushbu tuzilma rejali tekshiruvlar ishlarni sodda va o‘z vaqtida saqlashga yordam beradigan “xavfsizlik madaniyati”ni yaratishni o‘z ichiga oladi.
Beshta funktsiya: "Aniqlash", "Himoya qilish", "Aniqlash", "Reaksiya qilish" va "Qayta tiklash" qo'llanilishi kerak bo'lgan harakatlar bilan birga batafsil tavsiflanadi.
1. Aniqlash uchun - bu bosqichda barcha inventarizatsiya va aktivlarni boshqarish hujjatlashtiriladi va tekshiriladi. Inventarizatsiya va aktivlarni boshqarish quyidagi kichik toifalarda bir qadam oldinga siljishi mumkin:

Veb-saytingiz aktivlari ro'yxatiga ega bo'lganingizdan so'ng, har birini tekshirish va hujumlardan himoya qilish choralarini ko'rishingiz mumkin.
2. Himoya qilish Profilaktik veb-xavfsizlik choralariga ega bo'lish juda muhim bo'lgan ko'plab sabablar bor, ammo qaerdan boshlash kerak? Bular xavfsizlik texnologiyalari va xavfsizlik darajalari sifatida tanilgan. Ba'zan bu choralar PCI kabi muvofiqlik talablarini qondiradi yoki hujumlarga moyil bo'lgan muhitlarni deyarli tuzatish va qattiqlashtirishni osonlashtiradi. Xavfsizlik, shuningdek, xodimlarni o'qitish va kirishni boshqarish siyosatini o'z ichiga olishi mumkin.
3. Aniqlash (doimiy monitoring) veb-saytingizni (aktivlarini) kuzatish va har qanday muammolar haqida sizni xabardor qilish uchun vositalarni amalga oshirishga ishora qiluvchi tushunchadir. Xavfsizlik holatini tekshirish uchun monitoring o'rnatilishi kerak:
Murosa yoki zaiflik ko'rsatkichlarini qidirish uchun siz xavfsizlik skanerlari va vositalaridan (masalan, SiteCheck) foydalanishingiz mumkin.
4. Reaksiya qilish uchun — tahlil va yumshatish javob kategoriyasini yaratishga yordam beradi. Voqea sodir bo'lganda, javob rejasi bo'lishi kerak. Murosaga kelishdan oldin javob rejasiga ega bo'lish psixika uchun mo''jizalar yaratadi. To'g'ri hodisaga javob berish rejasi quyidagilarni o'z ichiga oladi:
Yamoqlash jarayonida biz qanday zararli dasturlarni topishimizni oldindan bilmaymiz. Ba'zi muammolar tez tarqalishi va umumiy server muhitida boshqa veb-saytlarni yuqtirishi mumkin (o'zaro infektsiya). NIST tomonidan aniqlangan hodisaga javob berish jarayoni to'rtta asosiy bosqichga bo'lingan:
Qattiq tayyorgarlik bosqichi va siz ishonishingiz mumkin bo'lgan veb-sayt xavfsizligi guruhi missiya muvaffaqiyati uchun juda muhimdir. Bu qanday ko'rinishi kerak:

Tayyorlash va rejalashtirish

Ushbu bosqichda biz voqea sodir bo'lishidan oldin barcha kerakli vositalar va resurslarga ega ekanligimizga ishonch hosil qilamiz. Bularning barchasi xavfsizlik tizimining oldingi bo'limlari bilan birga keladi.
Xosting kompaniyalari ushbu bosqichda tizimlar, serverlar va tarmoqlarning etarlicha xavfsiz bo'lishini ta'minlash orqali hal qiluvchi rol o'ynaydi. Sizning veb-ishlab chiquvchingiz yoki texnik guruhingiz xavfsizlik hodisasini hal qilishga tayyor ekanligiga ishonch hosil qilish ham muhimdir.

Kashfiyot va tahlil

Hujumning bir necha usullari mavjud bo'lsa-da, biz har qanday hodisa bilan kurashishga tayyor bo'lishimiz kerak. Ko'pgina infektsiyalar veb-saytda o'rnatilgan zaif komponentlar (asosan plaginlar), parolni buzish (zaif parol, qo'pol kuch) va boshqalar.
Muammo va niyatga qarab, kashfiyot bosqichi murakkab bo'lishi mumkin. Ba'zi tajovuzkorlar shon-shuhrat qidirmoqda, boshqalari resurslardan foydalanishni yoki nozik ma'lumotlarni ushlab olishni xohlashlari mumkin.
Ba'zi hollarda, tajovuzkor zararli harakatlar uchun unga kirishini kutadigan orqa eshik o'rnatilganligi haqida hech qanday ma'lumot yo'q. Shuning uchun fayl tizimingizning yaxlitligini ta'minlash mexanizmlarini amalga oshirish tavsiya etiladi.

Tugatish, yo'q qilish va tiklash

Himoya qilish, yo'q qilish va tiklash bosqichiga kelsak, jarayon veb-saytda topilgan muammo turiga va oldindan belgilangan hujumga asoslangan strategiyalarga moslashishi kerak. Misol uchun, kriptominer infektsiyasi odatda juda ko'p server (zuluk) resurslarini iste'mol qiladi va hodisaga javob berish guruhi tuzatish jarayonini boshlashdan oldin tahdidni o'z ichiga olishi kerak.

Ushbu hujumni o'z ichiga olish qo'shimcha resurslarning tugashi va qo'shimcha zararning oldini olish uchun muhim qadamdir. Ushbu qaror qabul qilish tizimi va strategiyalari ushbu bosqichning muhim qismidir. Misol uchun, agar biz ma'lum bir faylni 100% zararli deb aniqlasak, uni yo'q qilish uchun harakat bo'lishi kerak. Agar fayl qisman zararli kodga ega bo'lsa, faqat o'sha qismini olib tashlash kerak. Har bir skriptda belgilangan jarayon bo'lishi kerak.

Hodisadan keyingi harakatlar

Va nihoyat, voqeadan keyingi harakatni o'rganilgan darslar bosqichi deb ham atash mumkin. Shu nuqtada, hodisaga javob berish guruhi nima sodir bo'lganligi, qanday harakatlar qilinganligi va aralashuv qanchalik yaxshi ishlaganligi haqida hisobot taqdim etishi kerak. Biz voqea haqida fikr yuritib, undan saboq olishimiz va kelajakda shunga o'xshash muammolarni oldini olish uchun harakat qilishimiz kerak. Ushbu harakatlar komponentni yangilash, parollarni o'zgartirish yoki chekkadagi hujumlarning oldini olish uchun veb-sayt xavfsizlik devorini qo'shish kabi oddiy bo'lishi mumkin.

Xavfsizlikni yanada kuchaytirish uchun bo'limingiz amalga oshirishi kerak bo'lgan harakatlarni ko'rib chiqing. Keyin bu harakatlarni imkon qadar tezroq bajarishingizga ishonch hosil qiling. Siz barcha keyingi harakatlarni quyidagi maslahatlarga asoslashingiz mumkin:

Bundan tashqari, agar siz Web Application Firewall (WAF) dan faol foydalanayotgan bo'lsangiz, kiritilishi kerak bo'lgan o'zgarishlarni aniqlash uchun mavjud konfiguratsiyani ko'rib chiqing. Shuni yodda tutingki, WAFlar bir nechta to'lov kartalari sanoati ma'lumotlar xavfsizligi standartlariga (PCI DSS) javob berishga yordam beradi, ammo ular panatseya emas. Sizning biznesingizga, xususan, inson omiliga ta'sir qilishi mumkin bo'lgan boshqa omillar ham mavjud.
5. tiklanish — qayta tiklashni rejalashtirish voqea sodir bo'lgan taqdirda barcha bosqichlarning to'liq tahlili amalga oshirilganda sodir bo'ladi. Qayta tiklash, shuningdek, to'lov dasturi hujumlari kabi oldingi barcha qadamlar muvaffaqiyatsiz bo'lgan holatlar uchun zaxira rejasiga ega bo'lish bilan bog'liq.

Bu jarayon xavfsizlik sotuvchisi bilan zaif nuqtalarni qanday yaxshilash haqida suhbatlashish uchun vaqt ajratishni ham o'z ichiga olishi kerak. Ular nima qilish mumkinligini tushunish uchun yaxshiroq jihozlangan.

Muloqot strategiyasiga ega bo'ling

Agar biron bir ma'lumot xavf ostida bo'lsa, mijozlaringizga xabar bering. Agar siz Yevropa Ittifoqida biznes bilan shug'ullanayotgan bo'lsangiz, bu ayniqsa muhim ahamiyatga ega, bu erda tashkilot Ma'lumotlarni himoya qilish bo'yicha Umumiy Nizomning (GDPR) 33-moddasiga muvofiq 72 soat ichida ma'lumotlar buzilishi haqida xabar berishi kerak.

Avtomatik zaxiradan foydalaning

Veb-saytingizni himoya qilish uchun nima qilsangiz ham, xavf hech qachon nolga teng bo'lmaydi. Agar veb-saytingizning funksionalligi buzilgan bo'lsa, sizga ma'lumotlarni tezda tiklash usuli kerak - bitta emas, balki kamida ikkitasi. Uskuna xatosi yoki hujumi sodir bo'lgan taqdirda butun dasturning mahalliy zaxira nusxasi va ilova bilan bevosita bog'lanmagan tashqi zaxiraga ega bo'lish juda muhimdir.

Saytingizni qanday himoya qilish va xavfsizlikni ta'minlash kerak?

Veb-sayt xavfsizligining ahamiyatini e'tiborsiz qoldirib bo'lmaydi. Ushbu bo'limda biz veb-saytingizni qanday qilib xavfsiz va himoyalangan saqlashni ko'rib chiqamiz. Bu bosqichma-bosqich qo'llanma emas, lekin u sizning ehtiyojlaringiz uchun to'g'ri xizmatlarni topish uchun veb-sayt xavfsizligi bo'yicha tavsiyalar beradi.
1. Hamma narsani yangilang - Sanoqsiz veb-saytlar har kuni eskirgan va xavfli dasturiy ta'minot tufayli xavf ostida. Yangi plagin yoki CMS versiyasi paydo bo'lishi bilanoq saytingizni yangilash muhimdir. Ushbu yangilanishlar faqat xavfsizlik yaxshilanishlarini o'z ichiga olishi yoki zaifliklarni tuzatishi mumkin.
Veb-saytlarga hujumlarning aksariyati avtomatlashtirilgan. Botlar doimiy ravishda har bir saytni ekspluatatsiya qilish imkoniyatlarini izlaydilar. Endi oyda bir marta yoki hatto haftada bir marta yangilanishning o'zi etarli emas, chunki botlar uni tuzatishdan oldin zaiflikni topadi.
Shuning uchun siz yangilanishlar chiqarilishi bilan xavfsizlik teshigini amalda yopadigan veb-sayt xavfsizlik devoridan foydalanishingiz kerak. Agar sizda WordPress veb-saytingiz bo'lsa, siz hisobga olishingiz kerak bo'lgan plaginlardan biri WP Updates Notifier. U sizga plagin yoki WordPress asosiy yangilanishi qachon mavjudligi haqida xabar berish uchun elektron pochta xabarini yuboradi.
2. Kuchli parollarga ega bo'ling Xavfsiz veb-saytga ega bo'lish ko'p jihatdan sizning xavfsizligingizga bog'liq. Siz foydalanadigan parollar veb-saytingiz xavfsizligiga qanday tahdid solishi haqida hech o'ylab ko'rganmisiz?
Infektsiyalangan veb-saytlarni tozalash uchun remediatorlar o'zlarining administrator foydalanuvchi hisob ma'lumotlari yordamida mijoz saytiga yoki serveriga kirishlari kerak. Ular ildiz parollari qanchalik xavfsiz bo'lishi mumkinligini ko'rib hayron bo'lishlari mumkin. Admin/admin kabi loginlar bilan sizda umuman parol bo'lmasligi mumkin.
Xakerlar potentsial parollarning yanada katta ro'yxatini yaratish uchun tarmoqdagi ma'lumotlarni lug'at so'zlari ro'yxati bilan birlashtiradi. Agar siz foydalanadigan parollar ushbu ro'yxatlardan birida bo'lsa, saytingiz buzilgan bo'lishi faqat vaqt masalasidir.

Kuchli parol tavsiyalari

Kuchli parol yaratish bo'yicha tavsiyalar:

• Parollarni qayta ishlatmang: har bir parolingiz noyob bo'lishi kerak. Parol menejeri bu vazifani osonlashtirishi mumkin.
• Uzoq parollardan foydalaning. 12 dan ortiq belgidan foydalanishga harakat qiling. Parol qancha uzun bo'lsa, kompyuter dasturi uni buzish uchun shuncha ko'p vaqt talab etadi.
• Tasodifiy parollardan foydalaning. Parolni buzish dasturlari, agar ular Internetda yoki lug'atlarda topilgan so'zlarni o'z ichiga olgan bo'lsa, bir necha daqiqada millionlab parollarni taxmin qilishlari mumkin. Agar parolingizda haqiqiy so'zlar bo'lsa, bu tasodifiy emas. Agar siz parolingizni osongina talaffuz qila olsangiz, bu uning etarlicha kuchli emasligini anglatadi. Hatto belgilarni almashtirish (ya'ni, O harfini 0 raqami bilan almashtirish) etarli emas. LastPass (onlayn) va KeePass 2 (oflayn) kabi bir nechta foydali parol menejerlari mavjud. Ushbu vositalar barcha parollaringizni shifrlangan formatda saqlaydi va bir tugmani bosish orqali osongina tasodifiy parollarni yaratishi mumkin. Parol menejerlari kuchli parollardan zaifroqlarini eslab qolmasdan yoki ularni yozib olmasdan ishlatishga imkon beradi.

3. Bitta sayt = bitta xotira Bir serverda ko'plab veb-saytlarni joylashtirish ideal ko'rinishi mumkin, ayniqsa sizda "cheksiz" veb-xosting rejangiz bo'lsa. Afsuski, bu siz foydalanishingiz mumkin bo'lgan eng yomon xavfsizlik usullaridan biridir. Bir joyda bir nechta saytlarni joylashtirish juda katta hujum yuzasini yaratadi. O'zaro kontaminatsiya juda keng tarqalganligini bilishingiz kerak. Bu serverning yomon izolyatsiyasi yoki hisob konfiguratsiyasi tufayli saytga bir xil serverdagi qo'shni saytlar tomonidan salbiy ta'sir ko'rsatishi.
Masalan, bitta saytga ega bo'lgan serverda tajovuzkor tomonidan nishonga olinishi mumkin bo'lgan mavzu va 10 ta plagin bilan bitta WordPress o'rnatilishi bo'lishi mumkin. Agar siz bitta serverda beshta saytni joylashtirsangiz, tajovuzkor uchta WordPress o'rnatishi, ikkita Joomla o'rnatishi, beshta mavzu va 50 ta plaginga ega bo'lishi mumkin. Bundan ham yomoni, tajovuzkor bitta saytda ekspluatatsiyani topgach, infektsiya bir xil serverdagi boshqa saytlarga osongina tarqalishi mumkin.

Bu nafaqat sizning barcha saytlaringizni bir vaqtning o'zida buzib kirishiga olib kelishi mumkin, balki tozalash jarayonini ancha vaqt talab qiladigan va qiyinlashtiradi. Infektsiyalangan saytlar bir-birini qayta yuqtirishda davom etishi mumkin, bu esa cheksiz tsiklni keltirib chiqarishi mumkin.

Tozalash muvaffaqiyatli bo'lgandan so'ng, parollaringizni qayta o'rnatish haqida gap ketganda, sizda ancha qiyin vazifa turibdi. Bitta sayt o'rniga sizda bir nechta sayt mavjud. Serverdagi har bir veb-sayt bilan bog'langan har bir parol infektsiya yo'qolganidan keyin o'zgartirilishi kerak. Bunga ushbu veb-saytlarning har biri uchun barcha CMS ma'lumotlar bazalari va Fayl uzatish protokoli (FTP) foydalanuvchilari kiradi. Agar siz ushbu bosqichni o'tkazib yuborsangiz, barcha veb-saytlar qayta infektsiyalanishi mumkin va jarayonni qayta boshlashingiz kerak bo'ladi.
4. Foydalanuvchiga kirish va ruxsatlarni cheklash Sizning veb-saytingiz kodi tajovuzkorning nishoni bo'lmasligi mumkin, ammo sizning foydalanuvchilaringiz bo'ladi. IP manzillarini va barcha faoliyat tarixini yozib olish keyinchalik sud-tibbiyot tahlili uchun foydali bo'ladi.
Masalan, ro'yxatdan o'tgan foydalanuvchilar sonining sezilarli darajada o'sishi ro'yxatdan o'tish jarayonidagi muvaffaqiyatsizlikni ko'rsatishi va spamerlarga saytingizni soxta kontent bilan to'ldirishiga imkon berishi mumkin.

Eng kam imtiyozlar printsipi

Eng kam imtiyoz printsipi ikkita maqsadga erishishga qaratilgan printsipga asoslanadi:

Muayyan rollarga imtiyozlar berish ular nima qila olishini va qila olmasligini belgilaydi. Ideal tizimda rol o'z maqsadiga erishmagan harakatni amalga oshirishga urinishlarini to'xtatadi.
Misol uchun, administrator filtrlanmagan HTMLni postlarga joylashtirishi yoki plaginlarni o'rnatish uchun buyruqlarni bajarishi mumkin deylik. Bu zaiflikmi? Yo'q, bu juda muhim elementga asoslangan xususiyat - ishonch. Biroq, muallif bir xil imtiyoz va kirish huquqiga ega bo'lishi kerakmi? Ishonch asosida rollarni ajratishni ko'rib chiqing va barcha hisoblarni blokirovka qiling.
Bu faqat bir nechta foydalanuvchi yoki loginga ega saytlar uchun amal qiladi. Har bir foydalanuvchi o'z ishini bajarish uchun zarur bo'lgan tegishli ruxsatga ega bo'lishi muhimdir. Agar sizga hozirda kengaytirilgan ruxsatlar kerak bo'lsa, ularni bering. Keyin ish tugagach, uni kichraytiring.

Misol uchun, agar kimdir siz uchun mehmon blogi postini yozmoqchi bo'lsa, uning hisobi to'liq administrator huquqlariga ega emasligiga ishonch hosil qiling. Hisob faqat yangi xabarlar yaratishi va o'z postlarini tahrirlashi mumkin, chunki ular veb-sayt sozlamalarini o'zgartirishga hojat yo'q. Ehtiyotkorlik bilan belgilangan foydalanuvchi rollari va kirish qoidalari har qanday mumkin bo'lgan xatolarni cheklaydi. Shuningdek, u buzilgan hisoblar sonini kamaytiradi va firibgar foydalanuvchilar tomonidan etkazilgan zarardan himoya qiladi.
Bu foydalanuvchi boshqaruvining ko'pincha e'tibordan chetda qoladigan qismidir: javobgarlik va monitoring. Agar bir nechta odam bir xil foydalanuvchi hisobidan foydalansa va u foydalanuvchi istalmagan o'zgarishlarni amalga oshirsa, jamoangizda kim javobgar ekanligini qanday bilasiz?
Agar sizda har bir foydalanuvchi uchun alohida hisob qaydnomangiz boʻlsa, ularning xatti-harakatlarini jurnallarga qarab kuzatishingiz va ularning odatiy tendentsiyalarini, masalan, qachon va qayerda veb-saytga tashrif buyurishini bilishingiz mumkin. Shunday qilib, agar foydalanuvchi g'alati vaqtda yoki shubhali joydan kirsa, siz tekshirishingiz mumkin. Audit jurnallarini yuritish veb-saytingizdagi har qanday shubhali o'zgarishlarni kuzatib borish uchun juda muhimdir.

Albatta, ba'zi foydalanuvchilar uchun qo'lda audit jurnalini yozish qiyin bo'lishi mumkin. Agar sizda WordPress veb-saytingiz bo'lsa, rasmiy WordPress omboridan yuklab olishingiz mumkin bo'lgan bepul Sucuri xavfsizlik plaginidan foydalanishingiz mumkin.

Fayl ruxsatnomalari

Fayl ruxsatnomalari fayl bilan kim nima qilishi mumkinligini aniqlaydi. Har bir fayl uchta mavjud ruxsatga ega va har bir ruxsat raqam bilan ifodalanadi:

Agar siz bir nechta ruxsatlarga ruxsat bermoqchi bo'lsangiz, raqamlarni bir-biriga qo'shing, masalan, o'qish (4) va yozishga (2) ruxsat berish uchun siz foydalanuvchi ruxsatini 6 ga o'rnatasiz. Agar foydalanuvchiga o'qishga ruxsat bermoqchi bo'lsangiz (4), (2) yozing va (1) bajaring, so'ngra foydalanuvchi ruxsatini 7 ga o'rnating.

Foydalanuvchi turlari

Shuningdek, foydalanuvchilarning uch turi mavjud:

Shunday qilib, agar siz egasi o'qish-yozish huquqiga ega bo'lishini, guruh faqat o'qish uchun ruxsatga ega bo'lishini va ommaviy kirish huquqiga ega bo'lishini istasangiz, fayl ruxsati sozlamalari quyidagicha bo'lishi kerak:
5. Standart CMS sozlamalarini o'zgartiring Zamonaviy CMS ilovalari (foydalanish oson bo'lsa ham) oxirgi foydalanuvchilar uchun xavfsizlik nuqtai nazaridan qiyin bo'lishi mumkin. Hozirgacha veb-saytlarga eng ko'p uchraydigan hujumlar to'liq avtomatlashtirilgan. Ushbu hujumlarning aksariyati faqat standart sozlamalarga ega foydalanuvchilarga tayanadi. Bu siz tanlagan CMS-ni o'rnatishda standart sozlamalarni o'zgartirish orqali ko'plab hujumlardan qochishingiz mumkinligini anglatadi.
Masalan, ba'zi CMS ilovalari foydalanuvchi tomonidan yozilishi mumkin bo'lib, foydalanuvchi xohlagan kengaytmalarni o'rnatishga imkon beradi.
Sharhlar, foydalanuvchilar va foydalanuvchi ma'lumotlarining ko'rinishini boshqarish uchun sozlashingiz mumkin bo'lgan sozlamalar mavjud. Fayl ruxsatnomalari yaxshilanishi mumkin bo'lgan standart sozlamalarning yana bir misolidir.
Siz ushbu standart sozlamalarni CMS yoki undan keyingi versiyalarni o'rnatganingizda o'zgartirishingiz mumkin, lekin buni unutmang.
6. Kengaytmani tanlash (plaginlar) Veb-ustalar odatda CMS ilovalarining kengaytirilishini yoqtirishadi, lekin u ham eng katta kamchiliklardan biri bo'lishi mumkin. Siz tasavvur qilishingiz mumkin bo'lgan deyarli barcha funktsiyalarni ta'minlaydigan plaginlar, qo'shimchalar va kengaytmalar mavjud. Ammo qaysi birini o'rnatish xavfsiz ekanligini qanday bilasiz?

Xavfsiz kengaytmalarni (plaginlarni) tanlash - saytning asosiy xavfsizligi

Kengaytmalarni tanlashda quyidagilarga e'tibor berish kerak:

7. Veb-saytlaringizning zaxira nusxalarini oling - buzg'unchilik sodir bo'lgan taqdirda, veb-saytning zaxira nusxalari veb-saytingizni katta xavfsizlik buzilishidan tiklash uchun juda muhimdir. Bu veb-sayt xavfsizligi yechimining o'rnini bosuvchi deb hisoblanmasligi kerak, zahira nusxasi buzilgan fayllarni tiklashga yordam beradi.

Eng yaxshi veb-sayt zahiraviy yechimini tanlash

Yaxshi zaxira yechimi quyidagi talablarga javob berishi kerak:
- Birinchidan, ular saytdan tashqarida bo'lishi kerak. Agar sizning zahira nusxalaringiz veb-saytingiz serverida saqlangan bo'lsa, ular boshqa narsalar kabi hujumga qarshi himoyasizdir. Zaxira nusxalaringizni saytdan tashqarida saqlashingiz kerak, chunki siz zaxiralangan ma'lumotlaringiz xakerlar va apparatdagi nosozliklardan xavfsiz bo'lishini xohlaysiz. Zaxira nusxalarini veb-serveringizda saqlash ham katta xavfsizlik xavfi hisoblanadi. Ushbu zahira nusxalari har doim CMS va kengaytmalaringizning tuzatilmagan versiyalarini o'z ichiga oladi, bu esa xakerlarga serveringizga oson kirish imkonini beradi.
- Ikkinchidan, zaxiralaringiz avtomatik bo'lishi kerak. Siz har kuni shunchalik ko'p narsalarni qilasizki, veb-saytingizning zaxira nusxasini yaratishni eslab qolish aqlga sig'maydigan bo'lishi mumkin. Veb-saytingiz ehtiyojlariga ko'ra rejalashtirilishi mumkin bo'lgan zaxira echimidan foydalaning.
Tugatish uchun ishonchli tiklanishga ega bo'ling. Bu sizning zaxirangizning zaxira nusxalariga ega bo'lishni va ular haqiqatda ishlayotganiga ishonch hosil qilish uchun ularni sinab ko'rishni anglatadi. Ortiqchalanish uchun sizga bir nechta zaxira nusxalari kerak bo'ladi. Shunday qilib, siz hackdan oldingi fayllarni tiklashingiz mumkin.
8. Server konfiguratsiya fayllari - Veb-server konfiguratsiya fayllarini tekshiring: Apache veb-serverlari .htaccess faylidan, Nginx serverlari nginx.conf faylidan, Microsoft IIS serverlari web.config faylidan foydalanadi.
Ko'pincha veb-ildiz katalogida joylashgan server konfiguratsiya fayllari juda kuchli. Ular sizga server qoidalarini, shu jumladan saytingiz xavfsizligini oshiradigan direktivalarni bajarishga imkon beradi. Agar qaysi veb-serverdan foydalanayotganingizga ishonchingiz komil bo'lmasa, veb-saytingizni Sitecheck orqali boshqaring va "Veb-sayt tafsilotlari" yorlig'iga o'ting.

Sayt xavfsizligi - Veb-serverning eng yaxshi amaliyotlari

Muayyan veb-server uchun qo'shishingiz mumkin bo'lgan ba'zi ko'rsatmalar:

• Kataloglarga kirishni taqiqlash: Bu tajovuzkorlarning veb-saytdagi har bir katalog tarkibini ko'rishiga yo'l qo'ymaydi. Buzg'unchilar uchun mavjud bo'lgan ma'lumotlarni cheklash har doim foydali xavfsizlik chorasidir.
• Rasm Hotlinkning oldini olish: Garchi bu xavfsizlikni yaxshilash bo'lmasa-da, u boshqa veb-saytlarning veb-serveringizda joylashtirilgan tasvirlarni ko'rsatishiga to'sqinlik qiladi. Agar odamlar sizning serveringizdan rasmlarni tez havola qila boshlasa, hosting rejangizning ruxsat etilgan tarmoqli kengligi tezda boshqa birovning sayti uchun rasmlarni ko'rsatish uchun ishlatilishi mumkin.
• Maxfiy fayllarni himoya qilish: Siz muayyan fayl va papkalarni himoya qilish qoidalarini o'rnatishingiz mumkin. CMS konfiguratsiya fayllari veb-serverda saqlanadigan eng muhim fayllardan biridir, chunki ular oddiy matnda ma'lumotlar bazasiga kirish ma'lumotlarini o'z ichiga oladi. Boshqa joylar, masalan, ma'muriy hududlar bloklanishi mumkin. Shuningdek, siz PHP ijrosini rasmlarni o'z ichiga olgan yoki yuklashga ruxsat beruvchi kataloglar bilan cheklashingiz mumkin.

9. SSL sertifikatini o'rnating — SSL sertifikatlari xost (veb-server yoki xavfsizlik devori) va mijoz (veb-brauzer) o'rtasida tranzitda ma'lumotlarni shifrlash uchun ishlatiladi. Bu sizning ma'lumotlaringiz to'g'ri serverga yuborilishiga va tutib olinmasligiga yordam beradi.
Tashkilot SSL sertifikati yoki kengaytirilgan tekshirish SSL sertifikati kabi ba'zi turdagi SSL sertifikatlari ishonchning qo'shimcha qatlamini qo'shadi, chunki tashrif buyuruvchi tashkilotingiz tafsilotlarini ko'rishi va sizning qonuniy shaxs ekanligingizni bilishi mumkin.
Veb-sayt xavfsizligi kompaniyasi sifatida biz webmasterlarni o'qitishimiz va ularga SSL sertifikatlari veb-saytlarni hujumlar va xakerliklardan himoya qilmasligidan xabardor qilishimiz kerak. SSL sertifikatlari tranzit paytida ma'lumotlarni shifrlaydi, lekin veb-saytning o'ziga xavfsizlik qatlamini qo'shmaydi.
10. Skanerlash va monitoring vositalarini o'rnating - ilovaning yaxlitligini ta'minlash uchun har bir qadamni nazorat qilish. Ogohlantirish mexanizmlari javob vaqtini qisqartirishi va buzilish holatlarida zararni kamaytirishi mumkin. Tekshiruvlar va skanerlarsiz saytingiz buzilganligini qanday bilasiz?
Kamida bir oylik jurnallar ilovalarning ishdan chiqishini aniqlashda juda foydali bo'lishi mumkin. Shuningdek, ular server DDoS hujumi ostida yoki keraksiz yuk ostida ekanligini ko'rsatadi. Ilovaning muhim qismlarida, ayniqsa (lekin faqat) boshqaruv sohalarida sodir bo'lgan barcha harakatlarni yozib oling va muntazam ravishda ko'rib chiqing. Buzg'unchi keyinchalik yuqori darajadagi kirish uchun saytning unchalik muhim bo'lmagan qismidan foydalanishga harakat qilishi mumkin.
Shafqatsiz kuch hujumi yoki saytning har qanday funksiyalaridan, shu jumladan autentifikatsiya tizimlari bilan bog'liq bo'lmaganidan foydalanishga urinish holatlarida sizni xabardor qilish uchun triggerlarni yaratganingizga ishonch hosil qiling. Yangilanishlarni muntazam tekshirib turish va eng so'nggi xavfsizlik yamoqlari o'rnatilganligiga ishonch hosil qilish uchun ularni qo'llash muhimdir. Bu, ayniqsa, zaiflikdan foydalanishga urinishlarni bloklash uchun veb-ilovaning xavfsizlik devorini yoqmasangiz, to'g'ri keladi.
11. Shaxsiy xavfsizlik qoidalariga rioya qiling - shaxsiy kompyuteringizni himoya qilish veb-sayt egalari uchun muhim vazifadir. Sizning qurilmalaringiz infektsiya vektoriga aylanishi va saytingizga xakerlik hujumiga olib kelishi mumkin.
Yaxshi veb-sayt xavfsizligi bo'yicha qo'llanma, agar veb-saytingiz buzilgan bo'lsa, kompyuteringizni zararli dasturlarga skanerlash haqida gapiradi. Zararli dastur zararlangan foydalanuvchining kompyuteridan matn muharrirlari va FTP mijozlari orqali kirib borishi maʼlum.
Barcha foydalanilmagan dasturlarni kompyuteringizdan olib tashlashingiz kerak. Ushbu qadam juda muhim, chunki ushbu dasturlarda ham veb-saytingizda foydalanilmagan plaginlar va mavzular kabi maxfiylik muammolari bo'lishi mumkin.
Agar biror narsa o'rnatilmagan bo'lsa, u kompyuteringizni, ayniqsa brauzer kengaytmasini yuqtirish uchun hujum vektoriga aylana olmaydi. Veb-ustalar administrator interfeyslariga kirganlarida, ular veb-saytlarga to'liq kirish huquqiga ega. Kompyuteringizga qanchalik kam o'rnatgan bo'lsangiz, shuncha yaxshi.
Agar ma'lum bir ilovaning maqsadiga ishonchingiz komil bo'lmasa, u kerak yoki yo'qligini yoki o'chirib tashlashingiz mumkin bo'lgan biror narsani bilish uchun internetda biroz tadqiqot qiling. Agar siz uni ishlatmoqchi bo'lmasangiz, uni olib tashlang.
12. Veb-sayt xavfsizlik devoridan foydalaning - Buzg'unchining maxfiy ma'lumotlarga kirishini oldini olish uchun faqat SSL sertifikatlaridan foydalanish etarli emas. Sizning veb-ilovangizdagi zaiflik tajovuzkorga trafikni to'xtatish, soxta veb-saytlarga tashrif buyuruvchilarni yuborish, noto'g'ri ma'lumotlarni ko'rsatish, veb-saytni garovga olish (to'lov dasturi) yoki uning barcha ma'lumotlarini o'chirish imkonini berishi mumkin.
To'liq yamalgan ilova bo'lsa ham, tajovuzkor veb-saytni sekinlashtirish yoki o'chirish uchun DDoS hujumlari yordamida serveringizga yoki tarmog'ingizga hujum qilishi mumkin. Veb-ilovalar himoya devori (WAF) veb-saytlarga bunday hujumlarning oldini olish uchun mo'ljallangan va sizning biznesingizga e'tiboringizni qaratish imkonini beradi.

Veb-saytsiz qo'shimcha choralar

Veb-saytlaringizni himoya qilish va Internetni xavfsizroq qilish uchun ushbu bepul manbalar va vositalardan foydalaning.
1. Veb-saytlarni himoya qilish vositalari - Mana bir nechta bepul veb-sayt xavfsizligi vositalari:

1.1 SiteCheck - bu saytdan xoli bepul tekshirish va zararli dasturlarni skaneri.
1.2 Sucuri Load Time Tester - veb-sayt tezligini tekshiring va solishtiring.
1.3 Sucuri WordPress xavfsizlik plagini - Audit, zararli dasturlarni skaneri va WordPress veb-saytlari uchun xavfsizlikni kuchaytirish.
1.4 Google Search Console - qidiruv trafigini va veb-sayt samaradorligini o'lchash uchun xavfsizlik ogohlantirishlari va vositalari.
1.5 Bing Webmaster Tools - Qidiruv mexanizmi diagnostikasi va xavfsizlik hisoboti.
1.6 Yandex Webmaster - Veb-qidiruv va xavfsizlik buzilishi haqida bildirishnomalar.
1.6 Unmaskparasites - sahifalarda yashirin noqonuniy kontent mavjudligini tekshirish.
1.7 Eng yaxshi WAF - bulutli veb-ilovalar uchun eng yaxshi xavfsizlik devorlarini taqqoslash.

2. Qo'shimcha manbalar Veb-sayt xavfsizligi bo'yicha ba'zi ta'lim manbalari:

2.2 Sucuri Labs - Tahdidlarni o'rganish, zararli dastur imzosi ma'lumotlar bazasi va statistika.
2.3 OWASP ochiq manbali veb-ilovalar xavfsizligi loyihasidir.
2.4 PCI muvofiqligini tekshirish ro'yxati - PCI muvofiqligini tekshirish ro'yxati.
2.5 SANS instituti - axborot xavfsizligi sohasida kadrlar tayyorlash, sertifikatlashtirish va tadqiqotlar.
2.6 NIST - Milliy standartlar va texnologiyalar instituti.

Veb-sayt xavfsizligi haqida tez-tez so'raladigan savollar

Nima uchun veb-sayt xavfsizligi muhim?

Veb-sayt xavfsizligi veb-saytni onlayn va tashrif buyuruvchilar uchun xavfsiz saqlash uchun juda muhimdir. Veb-sayt xavfsizligiga to'g'ri e'tibor bermasdan, xakerlar veb-saytingizdan foydalanishi, uni o'chirib qo'yishi va onlayn mavjudligingizga ta'sir qilishi mumkin. Veb-saytni buzish oqibatlari moliyaviy yo'qotish, brend obro'si muammolari va qidiruv tizimining past reytinglarini o'z ichiga olishi mumkin.

Veb-sayt xavfsizligi uchun qanday xavflar bor?

Veb-sayt xavfsizligining asosiy xavflari quyidagilardan iborat: zaif kod, zaif kirish nazorati va server resurslaridan foydalanish. Misol uchun, DDoS hujumlari bir necha daqiqada saytni tashrif buyuruvchilarga kirishi mumkin emas. Veb-saytlar buzib kirishining ko'p sabablari bor; zaif parol yoki eskirgan plagin saytni buzishga olib kelishi mumkin.

Saytni nima xavfsiz qiladi?

Hujumlar va xakerliklarning oldini olish uchun xavfsiz veb-saytda veb-ilovaning xavfsizlik devori faollashtirilgan. Shuningdek, u veb-sayt xavfsizligi bo'yicha eng yaxshi amaliyotlarga amal qiladi va konfiguratsiya muammolari yoki ma'lum zaifliklarga ega emas. Veb-saytda xavfsizlik devori, har qanday xavfsizlik anomaliyalari, zararli dasturlar yoki qora ro'yxatga kiritilganligini bilish uchun SiteCheck-dan foydalanishingiz mumkin. Veb-saytda xavfsizlik devori, har qanday xavfsizlik anomaliyalari, zararli dasturlar yoki qora ro'yxatga kiritilganligini tekshirish uchun SiteCheck.

Menga saytim xavfsizligi kerakmi?

Ha albatta. Veb-sayt xavfsizligi ko'pgina veb-xosting paketlariga kiritilmagan. Veb-sayt xavfsizligi veb-sayt egasining javobgarligi. Xavfsizlik veb-saytni o'rnatish va davom etayotgan tekshirish jarayonida birinchi e'tiborlardan biri bo'lishi kerak. Agar veb-sayt xavfsiz bo'lmasa, u kiberjinoyatchilar uchun oson o'ljaga aylanishi mumkin.

Qanday qilib saytimni xavfsiz qilishim mumkin?

Veb-sayt xavfsizligini eng yaxshi amaliyotlariga rioya qilish orqali veb-saytingizni himoya qilishingiz mumkin, masalan:

• Veb-sayt xavfsizlik devoridan foydalaning.
• Har doim sayt CMS, plaginlar, mavzular va uchinchi tomon xizmatlarining eng so'nggi versiyasidan foydalaning.
• Kuchli parollarni saqlang va foydalaning.
• Kimdir vazifani bajarishi kerak bo'lgan faqat kirish turini taqdim eting.
• Saytingizning yaxlitligini ta'minlash uchun skanerlash va monitoring vositalarini o'rnating.
• Ma'lumotlarni shifrlash uchun SSL sertifikatlarini o'rnating.
• Veb-saytlarning zaxira nusxalarini saqlang.

Nikola Topni o'qiganingiz uchun tashakkur