Zabezpečenie webu pre firmy

„Kto by útočil na náš web, veď sme malá firma." Táto veta stojí za väčšinou napadnutých stránok, ktoré som videl. Vychádza z predstavy, že útok je osobný — že si niekto vyberie obeť a venuje sa jej. Tak to nefunguje.

Drvivá väčšina útokov je automatická. Skript prechádza internet, skúša známe zraniteľnosti a slabé heslá a hlási, čo sa podarilo. Nezaujíma ho, či predávate čerpadlá alebo kurzy jogy. Zaujíma ho, či máte komponent, ktorý mesiac nikto neaktualizoval. Malý web nie je cieľ — je to príležitosť.

Čo útočník s vaším webom chce

Málokedy ide o zmazanie. Napadnutá stránka je hodnotnejšia, keď funguje ďalej: rozposiela spam z vašej domény (a s ňou zomiera doručovanie vašich faktúr a ponúk), nesie odkazy na cudzie weby, presmerúva návštevníkov z mobilu na podvodné stránky alebo hostí súbory, ktoré niekto ďalej šíri.

Preto sa napadnutie zistí neskoro. Web vyzerá normálne. Prvým signálom býva varovanie v prehliadači, prepad návštevnosti alebo hovor od hostingu.

Pri úniku osobných údajov navyše beží lehota: GDPR ukladá ohlásiť porušenie ochrany osobných údajov dozornému orgánu do 72 hodín od zistenia (článok 33), a ak hrozí vysoké riziko, informovať aj dotknuté osoby. Sedemdesiatdva hodín je krátko, keď zisťujete, čo sa vlastne stalo — a to je ďalší dôvod, prečo mať logy a monitoring skôr, než sa niečo stane.

Checklist: desať opatrení, pri každom kritérium hotového

Formulácia „hotové znamená" je dôležitá. Bez nej má každá položka podobu dobrého úmyslu.

• 1. Inventúra prístupov. Hotové znamená: zoznam všetkých účtov s menom konkrétneho človeka pri každom a nula účtov, ktoré neviete priradiť. Bývalý zamestnanec, agentúra spred troch rokov, „dočasný" účet pre grafika — preč.
• 2. Dvojfaktorové overenie. Hotové znamená: zapnuté na administrácii webu, hostingu a e-maile, u všetkých účtov s právami na zmeny.
• 3. Aktualizácie v cykle. Hotové znamená: napísaný interval (napríklad raz mesačne), záloha pred zásahom a kontrolný zoznam stránok po ňom.
• 4. Odstránené nepoužívané komponenty. Hotové znamená: deaktivované pluginy a témy sú zmazané, nie vypnuté. Súbory na serveri sú stále zneužiteľné.
• 5. Zálohy podľa pravidla 3-2-1. Tri kópie dát, na dvoch rôznych typoch úložiska, jedna mimo lokality. Hotové znamená: viete povedať, kde sú všetky tri.
• 6. Overená obnova. Hotové znamená: raz za štvrťrok obnovíte zálohu na testovacie miesto a viete, koľko to trvalo. Neoverená záloha nie je záloha, je to nádej.
• 7. HTTPS a sledovanie certifikátu. Hotové znamená: celý web beží na HTTPS, staré adresy sa presmerúvajú a expirácia je strážená s upozornením vopred.
• 8. Obmedzené prihlasovanie. Hotové znamená: limit pokusov, blokovanie po sérii neúspechov, prípadne prístup k administrácii len z vybraných adries.
• 9. Bezpečnostné hlavičky. Minimum: Strict-Transport-Security, X-Content-Type-Options: nosniff, Referrer-Policy a rozumné Content-Security-Policy. Hotové znamená: overené v prehliadači, nie „vraj sú tam".
• 10. Zoznam externých skriptov. Hotové znamená: každý skript, ktorý sa na webe načítava, viete pomenovať a vysvetliť. Podstrčený skript je najbežnejší spôsob, ako sa z napadnutého webu ťaží.

Prečo jednorazová kontrola nestačí

Bezpečnosť nie je stav, ktorý raz dosiahnete. Zajtra vyjde zraniteľnosť v komponente, ktorý používate roky. Pribudne plugin. Niekomu unikne heslo v úplne inej službe, kde ho má rovnaké ako u vás. GDPR to mimochodom formuluje rovnako: článok 32 hovorí o primeraných technických a organizačných opatreniach vrátane pravidelného testovania a hodnotenia ich účinnosti — teda o procese, nie o jednorazovom nákupe.

Preto má zmysel opakovaný sken a dohľad. SecureShield kontroluje web priebežne, sleduje známe zraniteľnosti, hlavičky, certifikáty a zmeny na stránkach a nález prevedie na zrozumiteľné riziko. Keď treba zasiahnuť do kódu a konfigurácie, na to je zabezpečenie webu ako služba. Ak prevádzkujete aj vlastné servery, to isté o úroveň nižšie rieši Sentrix.

Runbook: prvá hodina po napadnutí

V poradí, v akom to má ísť. Odchýlka od poradia je dôvod, prečo sa napadnutie o týždeň zopakuje.

0–10 min   Zamedziť škode: web do režimu údržby alebo odstaviť.
           Odpojiť napadnutý komponent, nie celý server, ak sa dá.
10–20 min  Zaistiť dôkazy: kópia súborov a logov PRED čistením.
           Bez nich sa vstupný bod už nikdy nenájde.
20–40 min  Zmeniť heslá: administrácia, hosting, FTP/SSH, databáza,
           e-mail. Zrušiť aktívne relácie a API kľúče.
40–60 min  Obnoviť zo zálohy spred napadnutia, doplniť aktualizácie,
           až potom vrátiť web online.
Do 72 hod  Ak mohli uniknúť osobné údaje: posúdiť ohlasovaciu
           povinnosť (GDPR čl. 33).
Do týždňa  Nájsť vstupný bod z uložených logov a zavrieť ho.

Bod „nájsť vstupný bod" vynecháva skoro každý, lebo web už predsa funguje. Bez neho je obnova len odklad.

Ak máte čas len na tri veci

Zrušte nepoužívané prístupy, zapnite dvojfaktorové overenie a raz skúste obnoviť zálohu. Pokrýva to väčšinu reálnych scenárov. Zvyšok patrí do priebežnej správy — čo do nej má patriť, rozoberá článok o paušále. A ak web práve preberáte po niekom inom, začnite checklistom prevzatia: cudzí web s neznámou históriou je najrizikovejší mesiac v živote každej stránky. Sadzby na jednorazový bezpečnostný audit nájdete v cenníku.