Zabezpečenie webu
pred útokmi
Skontrolujem, kde je váš web zraniteľný, a nájdené chyby opravím. Ak už bol napadnutý, pomôžem ho vyčistiť a obnoviť zo zálohy. Potom nastavím pravidelné bezpečnostné kontroly.
Kde môže byť váš web zraniteľný
Väčšina napadnutých webov nebola cieľom. Automatické skripty skúšajú známe diery na každom webe, ktorý nájdu. Preto začínam bezpečnostným auditom webu, ktorý ukáže, čo opraviť ako prvé.
Potom nájdené diery zavriem. Aktualizujem systém a rozšírenia, obmedzím prístupy, zapnem dvojfaktorové prihlásenie a nastavím bezpečnostné hlavičky na serveri.
Keď sa na webe zmení súbor alebo niekto skúša hádať heslá, dostanem upozornenie. Nečakáte, kým vám zákazník napíše, že web presmerúva inam. Priebežný dohľad potom kryje správa webu.
Poslednou poistkou je záloha, ktorej obnovu overujem vopred. Dáta klientov sa doteraz nikdy nestratili. Pri tvorbe nového webu tieto opatrenia nastavím od začiatku.
Viete, kde je web zraniteľný
Audit prejde verzie systému, nastavenia servera, prístupy aj kód. Nálezy zoradím podľa závažnosti.
Nálezy opravím podľa závažnosti
Aktualizácie, užšie prístupové práva, dvojfaktorové prihlásenie a hlavičky servera. Najprv to, čo hrozí najviac.
O zmene na webe viem hneď
Sledujem zmeny v súboroch a podozrivé správanie. Keď niečo nesedí, príde upozornenie.
Čo sa zmenilo po zabezpečení webu
Modelový web, ktorý bol predtým viackrát napadnutý: pol roka pred zabezpečením a pol roka po ňom.
Úspešné napadnutia za pol roka. Po opravách, kontrole prístupov a nastavení dohľadu neprešiel ani jeden pokus.
Modelový príklad, nejde o výsledky konkrétneho klienta
Najčastejšie cesty útočníka do webu
Modelové rozdelenie napadnutí podľa toho, kadiaľ útočník prišiel. Kliknite na riadok a uvidíte, čím sa tá cesta zatvára.
Plugin so známou zraniteľnosťou, ktorý nikto pol roka neaktualizoval. Útočník nemusí nič vymýšľať, postup nájde na internete.
Heslo použité aj inde, kde došlo k úniku. Alebo prístup pre externistu, ktorý pred dvomi rokmi skončil.
Bezpečnostné hlavičky chýbajú a šifrovanie pripúšťa staré verzie. Útoky, ktoré by hlavička zastavila, prejdú.
Každý má administrátora, pretože to bolo jednoduchšie. Jeden napadnutý účet potom znamená napadnutý celý web.
Formulár, ktorý nekontroluje vstup, alebo nahrávanie súborov bez overenia typu. Napísané raz, nikdy nekontrolované.
Čo zahŕňa bezpečnostný audit webovej stránky a opravy
Rozsah závisí od platformy a rizika. Firemný web s kontaktným formulárom chránim inak než e-shop s údajmi zákazníkov.
Bezpečnostný audit
Skontrolujem zraniteľnosti, nastavenia servera, prístupy a kód. Nálezy dostanete zoradené podľa závažnosti.
Oprava nálezov
Aktualizujem systém, odstránim nepoužívané rozšírenia, zúžim práva a nastavím bezpečnostné hlavičky.
Dohľad nad zmenami
Sledujem zmeny v súboroch a podozrivé správanie. Pri odchýlke dostanem upozornenie.
Pomoc pri napadnutí
Napadnutý web vyčistím, obnovím a zistím, kadiaľ sa útočník dostal dnu. Bez toho by sa útok zopakoval.
Záloha ako posledná poistka
Overím, že sa zo zálohy dá web naozaj obnoviť. Samotná existencia zálohy nestačí.
Poriadok v prístupoch
Nastavím, kto má do webu aký prístup, ako často sa aktualizuje a kto dostane upozornenie.
Komu sa zabezpečenie webu oplatí najviac
Firmám, pre ktoré by napadnutý web znamenal výpadok tržieb alebo únik údajov zákazníkov.
E-shopy s platbami
Web pracuje s objednávkami a údajmi zákazníkov. Únik alebo podvrhnutá platobná stránka poškodí dôveru na roky.
Aplikácie s údajmi používateľov
Klientske zóny a aplikácie, do ktorých sa ľudia prihlasujú a ukladajú v nich citlivé údaje.
Financie a verejný sektor
Projekty, kde treba vedieť doložiť, kto mal k čomu prístup, a kde hrozia aj cielené útoky.
Firmy po napadnutí
Web už raz napadli. Treba ho vyčistiť a zistiť, kadiaľ sa útočník dostal, aby sa to nezopakovalo.
Weby postavené na pluginoch
WordPress stojí na rozšíreniach od cudzích autorov. Zraniteľnosť sa objaví skôr, než príde na rad aktualizácia.
Agentúry so správou viacerých webov
Máte na starosti desiatky klientskych webov a chcete vidieť stav všetkých na jednom prehľade.
Ako prebieha zabezpečenie webu
Po oprave zraniteľností nastavím pravidelné kontroly a upozornenia. Ak sa objaví nový problém, dozviete sa o ňom a môžeme ho riešiť.
-
Čo je zraniteľné a čo z toho hrozí
Skontrolujem verzie systému a rozšírení, nastavenia servera, prístupy a zálohy. Nálezy zoradím podľa závažnosti, nie podľa poradia, v akom ich vypísal nástroj.
- Známe zraniteľnosti podľa CVE
- Prístupy a druhý faktor
- Zálohy a skúška obnovy
-
Najprv opravím to najnebezpečnejšie
Začnem tým, čo sa dá zneužiť hneď. Aktualizujem systém a obmedzím pokusy o prihlásenie. Nastavím bezpečnostné hlavičky a práva k súborom a odstránim, čo web nepoužíva.
- Aktualizácie a odstránenie nepoužívaného
- Bezpečnostné hlavičky a práva
- Zálohy s overenou obnovou
-
O probléme sa dozviete hneď
Sledujem zmeny v súboroch, pokusy o prihlásenie a dostupnosť webu. Keď sa niečo zmení bez vášho vedomia, upozornenie príde hneď. Nečakáte týždeň, kým vás upozorní Google.
- Zmena súboru → upozornenie
- Blokovanie opakovaných pokusov
- Kontrola certifikátu a domény
-
Keď sa už niečo stalo
Web odstavím, vyčistím a obnovím z overenej zálohy. Potom zistím, kade sa útočník dostal dnu, inak by sa útok zopakoval.
- Obnova z overenej zálohy
- Vyčistenie a kontrola
- Zistenie vstupného bodu
Od auditu po dohľad nad webom
Audit ukáže, ktoré zraniteľnosti treba opraviť. Po oprave nastavím kontroly, ktoré upozornia na nové problémy.
Urobím audit
Prejdem zraniteľnosti, kód, nastavenia servera a prístupy. Vy mi dáte prístup k hostingu a administrácii.
výstup: nálezy podľa závažnostiOpravím nálezy
Nálezy opravím v poradí podľa závažnosti, obmedzím prístupové práva a nastavím hlavičky servera.
výstup: opravený web a zoznam zmienNastavím dohľad
Zapnem sledovanie zmien a upozornenia. Dohodneme sa, čo sa stane, keď upozornenie príde.
výstup: dohľad a plán reakcieČasté otázky k bezpečnosti webu
Nenašli ste odpoveď? Napíšte mi, odpoviem do 24 hodín v pracovné dni.
Opýtať saZistite, kde je váš web zraniteľný
Pošlite adresu webu a napíšte, na čom beží. Ozvem sa do 24 hodín v pracovné dni s návrhom, čo opraviť hneď.