Как обезопасить сайт после создания?
Немного о сайтах. Сайт может представлять для злоумышленников разную ценность. Любой сайт с любым контентом может подвергнуться хакерской атаке и от этого, увы, не застрахован никто.
Мотивы нападения могут быть разные: начиная от коммерческого шпионажа и заканчивая созданием сети ботов, которые, в свою очередь, атакуют чужие компьютеры.
Взлом легче предотвратить, чем исправлять последствия, и гораздо эффективнее соблюдать отдельные правила, которые помогут защититься от несанкционированного доступа.
О CMS
Для создания сайта часто используют развернутую систему CMS (Content management system — система управления содержимым). Ее можно быстро развернуть на своем хостинге, установить шаблон, и сайт готов. Осталось наполнить содержимым.
Из минусов — CMS может являться легко взламываемой системой, и необходимо правильно подбирать будущий движок, ориентируясь на частоту упоминании о взломе, статистику взломов, частоту обновлений движка, закрытию уязвимостей и наличию гидов для защиты системы.
Чуть больше безопасность будет, если заказывать сайт в профессиональной компании, например https://artweb.ua/ru где специалисты уделяют должное внимание этому вопросу. Новички часто при работе с CMS не знают всех ее тонкостей и как можно улучшить ее защиту.
Выбираем безопасную CMS
На данный момент самой безопасной системой управления сайта является Drupal, который отличают бесплатная и быстрая техподдержка, большое русскоязычное сообщество, малое количество найденных критических уязвимостей при большой популярности, открытый исходный код и множество плагинов.
Не менее популярный, но обладающий большим количество уязвимостей в плагинах — это wordpress. Большое количество скачиваний, множество плагинов, документированных возможностей и хорошее seo-ядро позволяют CMS эффективно и безопасно работать.
Joomla считается самой уязвимой системой из-за тяжелого документированного кода, множества модулей и наибольшего количества обнаруженных уязвимостей.
Что необходимо сделать после установки CMS?
Данные рекомендации имеют общее значение и не привязаны к какой-то конкретной системе, будь она построена на публичной CMS (joomla, drupal, wordpress) или написана самостоятельно.
- Не использовать сборки, модули из неофициальных источников.
- Ограничить выводимую информацию, скрыть ошибки сайта.
- Проверять пользовательский ввод из браузера для предотвращения sql, php injections (взломов).
- Разграничить права файлов и папок Linux.
- Ограничить загружаемые файлы по формату. Допустить загрузку только “.png, gif, jpg”.
- Скрыть структуру CMS, её файлов и папок.
- Регулярно создавать бэкапы версий для восстановления.
- Также важно отключить неиспользуемые компоненты.
Чем больше установленных модулей, тем выше вероятность быть взломанным.
От ошибок в программном коде никто не застрахован, и для их избежания следует четко решить, что требуется от сайта: будет ли там модульная система комментариев, будет ли там возможность писать пользовательские сообщения, и есть ли смысл позволять людям загружать файлы (документы, аватарки, фотографии). Необходимо убрать все лишнее, оставив самое нужное.
Следите за обновлением и новостными лентами
Хакерские сайты часто публикуют уязвимости систем, найденные самостоятельно. Их используют для массовых взломов, и тогда уже официальный ресурс CMS выпускает патч, закрывающий уязвимость. Чтобы быть в курсе всех последних событий, рекомендуется подписаться на новостную ленту, которая оповещает о найденных уязвимостях, и на несколько security-порталов — это значительно поднимет квалификацию в защите информации.
В процессе работы сайта может появляться новая информация (новости, материалы). При взломе сайта будет трудно определить, какая часть подверглась нападению, что было взломано и какие “черные ходы” остались для злоумышленника в случае потери основного доступа.
Рекомендуется узнать способ взлома (по логам), откатиться до рабочей версии, закрыть уязвимости и поменять пароли.
Взломать можно все. Все, что придумано человеком, подвержено уязвимостям. Нужно постоянно помнить о безопасности, следить за новостями, регулярно менять пароли, и тогда будет все хорошо.