Познаването на заплахите за сигурността на сайта е от основно значение за създаването на стабилна и ефективна защита. Ще можете да защитите сайта си и чувствителните данни, които той обработва, да реагирате на инциденти и да запазите доверието на потребителите си.
Като възприемате най-добрите практики, можете да намалите риска от пробиви в сигурността и свързаните с тях разходи и последствия.
Открояваме 10-те най-често срещани заплахи за сигурността на сайта. В тази първа част ще разгледаме първите 4 заплахи, които са най-разпространени. Вижте и Част 2.
Нашият експертен екип по Сигурността, който се грижи денонощно за безпроблемната работа на сайтовете, е подготвил списък с:
- Най-често срещаните заплахи;
- Съвети за превенция, предпазване;
- Защитата, с която СуперХостинг.БГ се грижи за сигурността на сайтовете;
- Както и интересни статистики от SH Protect.
1. Brute Force атака
Brute Force атаката (с груба сила) е вид кибератака, при която нападателят се опитва да получи неоторизиран достъп до система, уебсайт или онлайн акаунт, като систематично опитва множество различни комбинации от потребителски имена и пароли, докато не открие правилната.
Ето как обикновено работи Brute Force атаката:
- Злонамереното лице избира цел, например страница за вход в уебсайт, определя потребителското име или потребителските акаунти, които иска да компрометира.
- След това използва автоматизиран софтуер или скриптове, за да прави многократни и бързи опити за различни комбинации от потребителско име и парола, като започва с често срещани или лесно отгатваеми такива.
- Софтуерът продължава тези опити до успешно влизане в системата или до момента, в който нападателят реши да прекрати атаката.
- След като открие правилната комбинация от потребителско име и парола, нападателят получава достъп до целевия акаунт или система.
Пример
На сайта има страница за вход за администратори (административен панел). Злонамерено лице иска да получи неоторизиран достъп до административния панел. Той знае URL адреса на страницата за вход и е определил потребителското име, което обикновено е нещо като „admin“, обаче не знае паролата.
Хакерът използва автоматизирани инструменти или скриптове, за да отгатва систематично паролата, като опитва различни комбинации от символи, включително често срещани пароли, думи от речника и различни варианти. Тези опити продължават, докато не бъде отгатната правилната парола.
Нападателят използва Brute Force атака, като започва с прости пароли като „admin123“, „password“ и „123456“. Ако нито една от тях не сработи, скриптът преминава към по-сложни комбинации, като „aDm1nP@ssw0rd!“ и „SecureAdmin2023“. Атаката продължава, докато не отгатне успешно правилната парола за акаунта „admin“, и така получава достъп до административния панел на уебсайта.
Как да се предпазите?
За да защитят сайта от Brute Force атаки, уеб разработчикът и администраторът на сайта могат да предприемат различни предпазни мерки:
- Блокиране на акаунта. Може да се приложат политики за блокиране на акаунта, за да се деактивира временно след определен брой неуспешни опити за влизане.
- CAPTCHA код. Добавете код за сигурност като CAPTCHA или reCAPTCHA, за да разграничите човешките от автоматичните опити за влизане.
- Ограничаване на честотата. Ограничете броя на опитите за влизане от един IP адрес или в акаунт за определен период от време.
- Използвайте силни пароли. Прилагайте политики за силни пароли за потребителските акаунти, като изисквате сложни и уникални пароли.
- Избягвайте да използвате стандартни потребителски имена като „admin“, „admin123“, „administrator“ и др.
- Регистриране и наблюдение. Поддържайте логове за опитите за влизане в системата и следете за подозрителна дейност.
- Многофакторна автентификация (MFA). Насърчавайте или изисквайте от потребителите, особено от администраторите, да активират MFA за допълнително ниво на сигурност.
Специална защита на WordPress сайта:
- Защитете достъпа до административния панел по IP;
- Тази защита можете да приложите през WordPress Manager by SH » Проверки за сигурност.
Как защитаваме клиентските сайтове?
Brute Force атаките са най-често срещаната заплаха за сигурността на сайтовете.
Нашата система за сигурност успешно защитава всички WordPress сайтове от Brute Force атаки, които целят пробив в административния панел на системата.
Една разновидност на този тип атака е насочена и използва системния файл на WordPress – xmlrpc.php. Нападателите използват функциите на този файл, за да изпълняват Brute Force атаки за налучкването на потребителски имена и пароли за администрацията на сайта.
По подразбиране за всеки инсталиран нов WordPress сайт на нашите сървъри се активира автоматично защита за този файл. Тя деактивира достъпа до файла и функциите му.
За WordPress сайтовете, които се преместват при нас, защитата може да се активира през WordPress Manager by SH » Проверки за сигурност » Функции на XML-RPC.
Интересни данни
2. Прихващане на данните за достъп до админ панела
Злонамерените лица прихващат потребителски имена и пароли по различни начини, например чрез фишинг атаки, пробиви в базите данни на известни платформи, вируси и зловреден софтуер на потребителското устройство и други.
Кражбата на идентификационни данни се отнася до неразрешено придобиване на данни за логин (напр. потребителски имена и пароли), които позволяват на нападателя да получи достъп до потребителските акаунти на жертвите.
Пример
Представете си уебсайт, който има панел за администриране (например администрацията на WordPress), в който администраторите могат да управляват и актуализират съдържанието на сайта. Злонамерен хакер иска да получи неоторизиран достъп до този административен панел. Той ще използва различни техники, за да открадне данните за вход.
- Фишинг. Нападателят създава убедителна фишинг страница, която имитира страницата за вход в администрацията на сайта. Изпраща имейл до административния потребител, в който твърди, че е необходима спешна актуализация на сигурността. Имейлът съдържа връзка към фалшивата страница за вход в панела, която е проектирана да изглежда идентично с истинската. Когато потребителят въведе своето потребителско име и парола, данните се изпращат до сървъра на нападателя. След това нападателят може да използва тези данни за достъп до истинския административен панел на сайта.
- Keylogger. Атакуващият използва кийлогър – вид зловреден софтуер, работещ на устройството на потребителя, за да записва натискането на клавишите от клавиатурата. Когато потребителят влезе в админ панела на уебсайта, кийлогърът записва неговото потребителско име и парола. Нападателят получава тази информация и я използва, за да получи неоторизиран достъп.
- Атака тип „човек-по-средата“ (Man-in-the-Middle, MITM). При тази атака нападателят прихваща комуникацията между потребителя и сървъра на сайта. Когато потребителят влезе в акаунта си в сайта, нападателят прихваща идентификационните му данни. Това може да се извърши в незащитени или компрометирани мрежи.
Как да се предпазите?
За да се предпазите от кражба на данните Ви за достъп до административния панел (или който и да е акаунт/профил онлайн), е важно:
- Внимавайте за фишинг имейли. Научете се да разпознавате опитите за фишинг и бъдете предпазливи при кликване върху подозрителни връзки или въвеждане на идентификационни данни в непознати/съмнителни сайтове.
Вижте още: Фишинг – на лов, но не за риба, а за Вашите лични данни - Използвайте сигурна връзка. Уверете се, че уебсайтът използва HTTPS протокола, който криптира данните, предавани между браузъра и сървъра.
Вижте още: Използвайте сигурна връзка със сървъра (за сайта, пощата и хостинг акаунта) - Прилагайте силна автентификация. Използвайте силни и уникални пароли за администраторските акаунти и обмислете въвеждането на MFA, за да добавите допълнително ниво на сигурност.
Вижте още: Защо да НЕ избирате 123456, qwerty, test за парола - Редовно актуализирайте и обновявайте. Поддържайте софтуера на устройството си и плъгините на уебсайта в актуално състояние, за да се предпазите от известни уязвимости.
Вижте още: Обновявайте редовно вашите системи, теми и плъгини - Наблюдавайте логовете. Редовно преглеждайте логовете на сървъра за подозрителна активност, като например повтарящи се опити за влизане или неоторизиран достъп.
Вижте още: 6 съвета за по-защитени данни в интернет
Специална защита на WordPress сайта:
- Защитете достъпа до админ панела чрез допълнително потребителско име и парола;
- Променете стандартното потребителското име за достъп до администрацията на всеки администратор;
- Използвайте силни пароли за административните акаунти;
- Тези защити можете да приложите през WordPress Manager by SH » Проверки за сигурност.
Като предприемете тези мерки, можете значително да намалите риска от неоторизиран достъп до панела за администриране и да защитите чувствителната информация и контрола върху Вашия уебсайт.
Как защитаваме клиентските сайтове?
Тази заплаха за сигурността на сайта е една от най-коварните и трудни за неутрализиране. Когато даден потребител се логне в акаунта си с потребителското име и парола, тоест по „естествен“ начин, то е много трудно да се установи дали този достъп е злонамерен, или не.
За да защитим сайтовете на нашите клиенти от този тип заплаха, в нашата система за сигурност добавяме и развиваме различните правила и техники, с които чрез последващите действия на потребителя в панела се разкрива дали достъпът е злонамерен. При засечени злонамерени действия уеб достъпът до администрацията на WordPress се ограничава. И своевременно уведомяваме нашия клиент за случая.
Интересни данни
3. Заразяване със зловреден код/скрипт
Заразяването със зловреден код/скрипт се отнася до наличието на зловреден софтуер (malware) в уебсайта. Зловредният софтуер може да бъде инжектиран или вмъкнат в кода или файловете от нападатели, често с намерението да компрометират сайта, да откраднат данни или да разпространят зловреден софтуер сред посетителите на сайта.
Заразяването със зловреден софтуер може да има тежки последици за сигурността на сайта, потребителите и собствениците му. Последиците могат да доведат до нарушаване на сигурността на данните, загуба на поверителна информация, увреждане на репутацията на бизнеса/сайта и потенциални правни и финансови задължения.
Пример
Някои от начините за заразяване на сайта:
- Остарели/необновени теми и плъгини. Неподдържането на темите и плъгините в актуално състояние с най-новите версии и поправки в сигурността може да изложи сайта на известни уязвимости, които нападателите могат да използват.
Вижте още: Необновените плъгини – риск за сигурността на сайта (и пречка за ускоряването му) | Blog - Пиратски теми/плъгини. Изтеглянето и използването на пиратски или нулирани (кракнати) теми и плъгини от ненадеждни източници може да доведе до появата на зловреден софтуер в сайта. Зловредният код може да е прикрит в инсталационните файлове.
Вижте повече: Пиратски теми и плъгини крият зловреден скрипт в WordPress, Joomla и Drupal | Blog - Незащитено качване на файлове. Позволяването на качване на файлове без подходящо валидиране и проверки за сигурност може да отвори вратички за атакуващите за качване на зловредни файлове.
- Слаби пароли. Използването на слаби, лесни за отгатване или стандартни потребителски имена и пароли за администраторските акаунти в сайта може да го направи уязвим за атаки тип Brute Force.
- Зловредни коментари и съдържание, генерирано от потребителите. Позволяването на немодерирани коментари или генерирано от потребителите съдържание в сайта може да го изложи на спам и зловредни връзки, особено ако не се прилага подходящо филтриране.
- Сайтът вече е заразен, когато се прехвърля към сървърите на СуперХостинг.БГ. Ако се опитвате да преместите сайт от друга инфраструктура към хостинг пространство при нас, е възможно сайтът да е бил вече заразен с вирус и файловете да са инжектирани със зловреден код.
Ето пример за заразяване със зловреден код чрез необновен плъгин в сайта:
Собственикът на сайта използва популярен плъгин за електронна търговия в сайта, за да управлява онлайн продажбите. Той обаче е пропуснал да поддържа този плъгин в актуално състояние, поради което плъгинът има известни уязвимости в сигурността.
Злонамереният хакер активно сканира интернет за сайтове, използващи този конкретен плъгин, и идентифицира целевия сайт. Тази остаряла версия на плъгина има известна уязвимост в сигурността.
Нападателят използва автоматизиран инструмент, за да се възползва от уязвимостта в сигурността на плъгина. Той инжектира зловреден код в базата данни или файловете на уебсайта, често с цел да открадне чувствителна информация за клиентите, като например данни за кредитни карти.
Вмъкнатият зловреден код поема контрола над сайта и компрометира неговата сигурност. Нападателят може да го използва, за да разпространи зловреден софтуер сред посетителите на сайта, да го обезличи (deface) или да открадне данни на клиенти.
Нападателят може да използва компрометирания сайт, за да достави зловреден софтуер на посетителите му. Например може да инжектира зловреден JavaScript код в страниците на сайта, който, когато бъде зареден от браузъра на посетителя, да задейства изтегляне на зловреден софтуер на устройството му.
В случай че сайтът е онлайн магазин, нападателят може активно да следи и събира данни за клиентите, включително номера на кредитни карти, имена и адреси, които след това се изпращат на отдалечен сървър, контролиран от злонамереното лице.
Как да се предпазите?
Важно е да бъдете бдителни и да предприемете стъпки за намаляване на тези рискове, за да запазите сигурността на Вашия сайт. Това включва редовно актуализиране на темите и плъгините, използване на силни пароли, провеждане на одити на сигурността и избягване на пиратски софтуер. Освен това обмислете използването на плъгини за сигурност и инструменти за наблюдение, за да защитите сайта си от заразяване със зловреден софтуер.
За предотвратяване или намаляване на риска от заразяване със зловреден код/скриптове, управляващият сайта трябва:
- Редовно обновяване на приложението и компонентите му. Поддържайте целия софтуер на сайта, включително CMS платформата, плъгини, теми и скриптове, актуализирани, за да отстраните известните уязвимости в сигурността им.
- Активиране на плъгини за сигурност. Използвайте плъгини за сигурност, които могат да помогнат за откриване и намаляване на зловредния код.
- Защитете качването на файлове. Прилагайте строг контрол върху качването на файлове и валидирайте потребителските данни, за да предотвратите злонамерено качване на файлове.
- Създайте резервно копие на данните. Редовно създавайте резервни копия на данните и файловете на уебсайта, за да го възстановите в случай на заразяване.
- Използвайте силна автентификация. Прилагайте силни пароли и активирайте многофакторна автентикация за административен достъп.
- Наблюдавайте трафика на уебсайта. Непрекъснато следете трафика за подозрителна активност.
- Обучавайте потребителите. Обучавайте потребителите и администраторите за най-добрите практики, за да се избегне кликането върху злонамерени връзки или изтеглянето на подозрителни файлове.
Специална защита на WordPress сайта:
- Деактивирайте функционалността за редакция на файлове през администрацията, така че да не може да се добавя код в тях;
- Деактивирайте изпълнението на PHP файлове, които не са към WordPress системата, през някои директории на сайта (wp-content/uploads, wp-includes, wp-content);
- Тези защити можете да активирате през WordPress Manager by SH » Проверки за сигурност.
Как защитаваме клиентските сайтове?
Един от компонентите на системата ни за сигурност, с кодово име „антивирус“, се грижи за засичането и неутрализирането на зловредни файлове в хостинг акаунта.
Този компонент следи за зловредни файлове, които вече са качени в хостинг акаунта, както и за такива, при опит за качването им. Например през администрацията на сайта, при инсталиране на плъгин/тема, чрез заявка към сървъра или през FTP достъп.
В случай че бъде засечен опасен код в сайта, нашият екип го почиства. След като сме установили причината и сме обезопасили акаунта, ние се свързваме с клиента, като на контактния имейл адрес изпращаме информация относно това какво трябва да направи, за да повиши сигурността на своя сайт.
Интересни данни
4. Незащитена чувствителна информация
Излагането на данни се отнася до ситуации, при които чувствителна или поверителна информация е неволно разкрита на неупълномощени страни.
Пример
Незащитени чувствителни данни в хостинг акаунта, кода на сайта, базата данни и др:
- Резервни копия в публичната директория (public_html). Бекъпи, съхранявани в публично достъпна директория, което позволява на всеки да ги изтегли. Например, „https://example.com/wp-content/backups/backup.zip“ е достъпна за всеки. Или други архиви и файлове, които съдържат чувствителни данни (например данни за достъп по FTP, за връзка с базата данни или на администратора на сайта).
- Листване на съдържанието в директориите. Когато опцията за Directory Indexing не е деактивирана, съдържанието на директориите се показва при зареждане в браузъра, включително чувствителни файлове. Например, „https://example.com/wp-content/uploads/“ показва списък на файловете.
- Конфигурационни файлове. Например файлът wp-config.php съдържа чувствителни данни за базата данни. Ако не е адекватно защитен, нападателят може да получи достъп до базата данни.
- Логове. Незащитени по подходящ начин сървърни логове, които могат да съдържат чувствителни данни, като IP адреси, потребителски имена или съобщения за грешки, които могат да бъдат достъпни за нападатели, ако не са защитени.
- Незащитено прехвърляне на файлове. Прехвърляне на чувствителни данни между локалното устройство и хостинг акаунта без използване на защитени протоколи като SFTP или SSH, което може да изложи на риск данните по време на предаването им.
- Разкриване на версията на WordPress. Неуспешно скриване на версията на WordPress, което може да направи сайта уязвим към атаки, насочени към известни уязвимости в тази конкретна версия. Тази информация може да е видима в изходния HTML код на сайта.
- Активиран режим за отстраняване на грешки (debug). Оставянето на уебсайта в режим за отстраняване на грешки, което може да разкрие чувствителна информация в съобщенията за грешки, включително данни за базата данни и пътища до файлове.
Тези ситуации могат да доведат до разкриване на чувствителни данни, което улеснява злонамерените лица да използват уязвимости и потенциално да компрометират сигурността и целостта на уебсайта. Собствениците и администраторите на сайтове трябва да предприемат стъпки за защита на чувствителните данни, да прилагат най-добрите практики за сигурност и редовно да оценяват и защитават своя уебсайт, за да намалят рисковете.
Как да се предпазите?
Сигурността на данните е споделена отговорност и различните страни (потребител, разработчик, хостинг) могат да предприемат действия за защита срещу различни заплахи.
Ето насоки за намаляване на риска от разкриване на чувствителни данни.
Потребителят, използващ сайта:
- Използвайте силни пароли. Създайте силни, уникални пароли за своите акаунти и активирайте двуфакторното удостоверяване (2FA), когато е възможно. Вижте повече: Няколко съвета при избора на подходяща парола | Help
- Бъдете предпазливи с личната информация. Избягвайте да споделяте чувствителна лична информация в публични форуми или съмнителни сайтове.
- Наблюдавайте онлайн активността. Редовно следете онлайн акаунтите си и извлеченията от кредитни карти за необичайни или неоторизирани дейности.
- Защитете пощата си от хакване. Вижте повече: Как да защитим имейла си от хакване? | Blog
- Защитете имейл комуникацията. Избягвайте да изпращате поверителни данни, като например пароли, по некриптирана електронна поща. Използвайте сигурни методи за съхранението или споделянето на идентификационни данни, като мениджъри на пароли или приложения, които криптират съобщенията.
- Бъдете информирани. Информирайте се за често срещаните заплахи за сигурността на данните, като фишинг атаките, за да разпознавате потенциалните рискове.
Администраторът на сайта:
- Поддържане на приложенията актуализирани. Редовно обновявайте системата за управление на съдържанието (напр. WordPress), плъгините и темите, за да отстраните уязвимостите в сигурността им.
- Активиране на плъгини за сигурност. Инсталирайте плъгини за сигурност или услуги за защита на уебсайта, включително защитни стени, скенери за зловреден софтуер и системи за засичане на проникване.
- Криптиране на чувствителни данни. Използвайте протоколи за криптиране (напр. HTTPS), за да защитите данните, особено за потребителските входове и чувствителните транзакции. Инсталирайте TLS/SSL сертификат за сайта.
- Въведете строг контрол на достъпа. Създайте подходящи потребителски роли и контрол на достъпа, като ограничите достъпа до чувствителни зони на уебсайта само за оторизирани потребители.
- Сигурни резервни копия. Съхранявайте резервните копия на сайта и данните му по сигурен начин. Уверете се, че бекъпите не са достъпни публично през уеб.
- Одитиране на генерираното от потребителите съдържание. Извършвайте автоматични и ръчни проверки на генерираното от потребителите съдържание за потенциални зловредни или чувствителни данни. Модерирайте коментарите и публикациите в сайта, за да предотвратите разкриването на данни.
- Сигурност на базите данни. Защитете данните (за връзка с) базата данни и се уверете, че те се съхраняват сигурно, криптирани са и не са изложени в кода на уебсайта.
Специална защита на WordPress сайта:
- Защитете данните в конфигурационния файл на системата (wp-config.php) от неоторизиран достъп и промяна;
- Деактивирайте видимостта на съдържанието в директориите на сайта;
- Скрийте версията на WordPress от кода в страниците;
- Премахнете бекъпите/архивите от публичната директория;
- Тези защити можете да приложите през WordPress Manager by SH » Проверки за сигурност.
Как защитаваме клиентските сайтове?
Нашата система за сигурност SH Protect защитава чувствителната информация в хостинг акаунтите в различни аспекти. Някои от които са:
- Сигурност на центъра за данни. Поддържаме физическа сигурност в центъра ни за данни, за да защитим сървърите и хардуера от физически атаки.
- Защитни стени и засичане на проникване. Внедрили сме защитни стени и системи за наблюдение и филтриране на мрежовия трафик и блокиране на подозрителни дейности.
- Редовни одити и сканирания. Извършваме периодична профилактика и сканиране на клиентските сайтове за качен зловреден код и файлове.
- Архивиране и възстановяване на данни. Осигуряваме автоматизирано и сигурно архивиране на данните, както и възможности за възстановяване в случай на излагане на риск или загуба на данни.
- Листването (показването) на съдържанието в директориите е деактивирано по подразбиране.
- Инструменти за повишаване на сигурността на сайтовете. В cPanel през WordPress Manager by SH може да се активират допълнителни защити за сайта.
- Отдалеченият (външният) достъп до базите данни е ограничен.
- Обучение по сигурността. Обучение на потребителите и администраторите на сайтове относно най-добрите практики за сигурност и рисковете, свързани с излагането на данни – чрез помощно и полезно съдържание в Помощната ни страница и тук, в Блога.
Като работим заедно (потребителите, администраторите на сайтове и доставчиците на хостинг услуги) и следваме насоките и съветите за сигурност и защита, можем колективно да допринесем за по-сигурна онлайн среда, намалявайки риска от излагане на данни и свързаните с него последици.
Ние от СуперХостинг.БГ полагаме огромни усилия, за да предпазим нашите клиенти от голям набор атаки и заплахи за сигурността, защото за нас сигурността на нашите клиенти е неразделна част от услугата. Нашата гаранция за това, че защитаваме Вашите сайтове, е поетата отговорност да премахнем зловреден код от Вашия сайт, ако поради някаква причина той бъде компрометиран.
Вижте още: 10 най-често срещани заплахи за сигурността на сайта (Част 2) | Blog
Независимо дали имате нов сайт, или вече разработен – сигурността е важен аспект от професионализма на Вашия бизнес. Не всеки обаче има възможност да отделя време или експертизата, за да поддържа сигурността на сайта си на професионално ниво. Поради това сме се погрижили със специална услуга, която предлагаме – Професионална WordPress поддръжка. При нея нашите WordPress експерти активират необходимите настройки за сигурност и правят проверка дали са приложени и се спазват най-новите мерки за сигурността на сайта.
Абонирайте се за СуперБлога, за да получавате навреме новини и помощна информация, свързана със защитата и сигурността на Вашите сайтове и пощи.
