Безопасность сайта и откуда вирусы 10.02.2021 (01:35)

Безопасность сайта

Оглавление

  • 1. Что такое взлом сайта
  • 2. Для чего взламывают сайты
  • 3. Как именно происходит взлом сайтов
  • 4. Как повысить безопасность и снизить шансы взлома

Что такое взлом сайта?

Это инцидент, когда к веб-сайту, его файлам и (или) базе данных на сервере, был получен несанкционированный доступ неизвестными методами и неизвестными лицами, без вашего ведома и согласия.

Для чего взламывают сайты?

Взламывают чаще всего для того, чтобы заражать вирусами другие веб-сайты в сети, осуществлять атаки на другие веб-сайты, осуществлять спам-рассылки, заражать компьютеры посетителей, которые на них заходят, а так же для прочих злых намерений. На нашей практике, мы не помним чтобы чей-то веб-сайт взламывался из положительных и добрых намерений. Важно знать, что взломы эти осуществляются в большинстве случаев в автоматическом режиме в сети роботами-ботами от таких же заражённых серверов или сайтов. В редких случаях это ручной и таргетированный взлом, непосредственно каким-то злоумышленником, который делает это целенаправленно, для какой-либо личной выгоды.

Как именно происходит взлом?

Безопасность веб-сайтов, как бы это странно не звучало, зависит в первую очередь от самих владельцев сайтов.
Серверы хостинг-провайдеров крайне редко взламывают и на это есть свои причины. Системные администраторы хостинг-провайдеров проходят аутентификацию по SSH-ключам на серверы, а не по паролю, права у пользователей в Linux подобных ОС как правило ограничены, а версия программного обеспечения в операционной системе поддерживается в актуальном состоянии. Все возможные сетевые порты обычно закрыты на уровне firewall ПО сервера, а открыты только самые важные для работы необходимых служб, это обычно порты: веб-сервера, баз данных, ftp, ssh сервера и т.д. У опытных и более или менее известных хостинг-провайдеров, зачастую имеются системы защиты на периметре сети, а так же на серверах, которые противодействуют всевозможным распространённым и известным угрозам, возможным атакам. Серверы виртуального хостинга WebHOST1 находятся под защитой DDoS-Guard и Bitninja.

По статистике около 5% взломов веб-сайтов происходят через бэкдоры (англ. Back Door - чёрный вход), обычно такие бэкдоры могут находится в установленных сторонних дополнениях в CMS от недобросовестных разработчиков, 10% взломов приходится на те случаи, когда на админ-панель сайта, e-mail и другие пользовательские учётные данные, установлены очень лёгкие пароли, около 84% взломов приходится на заливку web-shell на сайтах через ошибки логики кода php в предыдущих уязвимых версиях CMS, а 1% взломов приходится на другие, редкие причины (передача данных доступа третьим лицам, безответственное отношение к базовым принципам безопасности в сети, установка не верных прав на папки и файлы сайтов, вирусы на компьютере и прочее).

Как повысить безопасность и снизить шансы взлома?

Обратите внимание! Описанные рекомендации несут рекомендательный характер и ни в коем случае не гарантируют 100% защиту веб-сайтов. Защита и безопасность сайтов - это комлекс мер и к этому комплексу мер следует пытаться стремиться каждому владельцу сайта.

  1. ✔️ Постарайтесь хранить секретные данные - логины и пароли данных доступа от e-mail, админ-панелей, панелей управления, базы данных и прочего в максимально надёжном месте. Не храните секретные данные в текстовом файле на компьютере, если для вас так удобнее, то хотя бы поместите такой файл в архив, а архив сделайте с паролем доступа. Если на вашем ПК каким-либо образом проникнет вирус, он может передать эти данные злоумышленникам по сети. Не храните данные доступа в письмах на email почтовых ящиков. При взломе такого ящика, злоумышленник может получить все доступы из таких писем.

  2. ✔️ Устанавливайте максимально сложные пароли из случайных от 9 - 12 символов и более. Пример самых простых и наиболее часто легко взламываемых паролей доступен по ссылке - top100password.txt. Регулярно меняйте ВСЕ пароли хотя бы 1 или 2 раза в год.

  3. ✔️ Регулярно, хотя бы 1 или 2 раза в месяц, проверяйте наличие всех доступных обновлений в CMS вашего сайта - это относится и к установленным дополнениям, плагинам, темам оформления. Устанавливайте обновления если они имеются. Если это CMS Wordpress, активируйте в настройках автоматическое обновление, но по прежнему не забывайте периодически самостоятельно проверять и устанавливать обновления CMS.

  4. ✔️ Постарайтесь свести к минимуму установку плагинов, дополнений и тем из сторонних, ненадёжных и неизвестных источников. Вы не можете быть на 100% уверены в том, что такие дополнения безопасны.

  5. ✔️ Проверяйте и всегда устанавливайте корректные права на файлы и папки на сервере хостинга. В большинстве случаев на папки достаточно прав chmod 755, а на файлы chmod 644. Никогда не ставьте права 777, даже если это говорит вам ваш разработчик, программист или другой "специалист". Права 777 разрешат абсолютно любому пользователю на сервере хостинга получить доступ к вашим файлам, а это вполне себе открытый путь к взлому.

  6. ✔️ Периодически, хотя бы раз в месяц, создавайте бэкап файлов и баз данных ваших веб-сайтов и сохраняйте на какое-либо локальное устройство - USB-флешку или какой-либо внешний диск.

  1. ✔️ Если CMS имеет возможность установки плагинов - дополнений, попробуйте найти надёжный плагин, у которого есть положительные отзывы в сообществе, который помог бы защитить файлы CMS, дополнительно. Не переусердствуйте с этим и не ставьте 10+ штук плагинов такого типа. Это не увеличит защиту, а вовсе может замедлить или нарушить работу сайта.

  2. ✔️ Если ранее у вас уже были инциденты со взломом сайта, простое удаление посторонних файлов с сайта в 99% не решит проблему. Вирус снова вернется через некоторые время. Уязвимость может скрываться в так называемых бэкдорах либо файлы web-shell могут быть размещены в тех папках, где Вы не смогли их заметить и найти ранее. В этом случае важно понимать, что если восстановление из ранних резервных копий с последующим обновлением CMS и её компонентов не помогает, лучшим решением будет полностью удаление сайта и новая его установка из чистого дистрибутива CMS. Перед этим, сам контент Вы можете как-либо экспортировать инструментами CMS или её дополнениями чтобы после установки чистого дистрибутива, его можно было импортировать.

  3. ✔️ Избегайте открытых форм на вашем сайте. Уже через несколько дней, через такие формы гарантировано начнёт рассылаться спам ботами. Если с вашего сайта будет осуществляться отправка спама, хостинг-провайдер имеет полное право заблокировать услуги хостинга. Что за формы? Это все типы форм, которые при взаимодействии с ними, осуществляют отправку письма, к примеру: форма регистрации, форма восстановления пароля, форма обратной связи, форма добавления комментариев и т.д. Все такие формы должны быть обязательно защищены надёжной captcha (защитным кодом) от ботов. Либо такие формы лучше отключать. Совсем.

Данные рекомандации - это многолетний накопленный опыт за всё время. Этим же опытом деляться и многие другие веб-мастера и хостинг-провайдеры. Ваше право - следовать этим рекомендациям, либо надеятся, что «авось пронесёт». Популярные CMS: Wordpress, Joomla, Drupal, Modx, Opencart и др, всегда будут иметь повышенный интерес у хакеров и повышенные риски взлома, а отсутствие установленных обновлений и НЕ следование базовым принципам безопасности - это лишь вопрос времени до момента заражения вирусами. Не рискуйте и старайтесь отвесттвенно следить за жизненным цилком своих сайтов.

Мы используем файлы cookie. Продолжая использовать сайт, вы соглашаетесь с политикой использования cookie файлов. Принять