Jak chronić stronę przed włamaniem

Każdy serwis internetowy dostępny publicznie staje się potencjalnym celem napastników. Powodów włamania na stronę może być kilka — od zaszkodzenia reputacji Twojej firmy czy zysku finansowego po zwykłe chuligaństwo. Ale w każdym przypadku włamanie zaszkodzi stronie, więc warto z wyprzedzeniem poznać i sposoby, których używają napastnicy, i metody, którymi można się im przeciwstawić.

Sposoby włamań na strony

Przy włamaniu na stronę cele bywają różne: 

• Całkowite albo częściowe przejęcie kontroli nad serwisem, z możliwością kopiowania danych i baz danych, usuwania, edytowania czy publikowania informacji na podstronach.

• Całkowite albo częściowe zatrzymanie pracy — strona albo po prostu „pada”, albo działa z przerwami (spadek szybkości, niedziałające pojedyncze funkcje).

• Wykorzystanie zasobów hostingu do celów napastnika — na przykład do uruchomienia koparki kryptowalut, umieszczenia stron phishingowych, rozsyłania spamu i tak dalej.

• Nierzadko napastnicy włamują się na strony bez wyraźnego celu, dla rozrywki albo żeby doskonalić określone umiejętności. 

Zależnie od celu, jaki postawili sobie napastnicy, włamanie może przebiegać różnie. Najczęstsze sposoby:

• wstrzyknięcia SQL, shelle, ataki XSS;

• włamanie przez SSH albo FTP w celu uzyskania dostępu do panelu administracyjnego strony;

• brute force panelu administracyjnego z odgadywaniem haseł i loginów;

• wykorzystanie podatności w skryptach CMS-a i wtyczkach, które pozwalają wpisać złośliwy kod;

• ataki DDoS, przy których na serwer trafia ogromna liczba żądań, co unieruchamia serwis.

Warto mieć na uwadze, że w wielu przypadkach włamanie odbywa się pośrednio, przez słabiej chronione strony znajdujące się na tym samym hostingu co cel. Napastnik najpierw uzyskuje dostęp do słabiej chronionego serwisu na hostingu, a potem cierpią stojące obok strony o zabezpieczeniach (na pierwszy rzut oka) zadowalających. 

Zaznaczmy tu, że u nas taka sytuacja jest niemożliwa, bo dane różnych klientów są solidnie odizolowane. Ale w obrębie jednego konta hostingowego wszystkie strony mają dostęp do wszystkich danych, dlatego zalecamy klientom rejestrowanie osobnego konta dla każdej ważnej strony. 

Czym grozi włamanie: możliwe skutki

Włamanie na stronę to samo w sobie nieprzyjemne zdarzenie, bo wszelkie zakłócenia w jej pracy odbijają się i na reputacji firmy, i na skuteczności procesów biznesowych. Ale różne rodzaje włamań mogą prowadzić do różnych skutków:

• Przy utracie haseł albo ich zmianie przez napastnika właściciel całkowicie traci kontrolę nad serwisem i informacjami przechowywanymi na serwerach.

• Atak DDoS unieruchamia stronę, co jest krytyczne dla portali informacyjnych, serwisów z newsami i sklepów internetowych (straty wizerunkowe i finansowe bywają kolosalne).

• Przy kradzieży baz danych wszystko zależy od charakteru wykradzionych informacji. Baza klientów zwykle używana jest do wysyłek spamu, a dane płatnicze klientów mogą posłużyć do oszustw finansowych.

• Sama strona po włamaniu może być wykorzystywana jako miejsce wyświetlania reklam albo do przekierowywania użytkowników na podstrony ze złośliwymi skryptami. W tym drugim przypadku każdy odwiedzający Twoją stronę ryzykuje, że na jego komputer czy telefon trafi kilka wirusów — większość z nich nastawiona jest na uzyskanie dostępu do urządzenia albo kradzież danych osobowych.

Nawet jeśli uda się uniknąć bezpośrednich strat finansowych i utraty kontroli, szkody będą odczuwalne. Spadek ruchu z powodu problemów technicznych i nadszarpniętej reputacji jest praktycznie pewny. Poza tym włamanie na stronę to powód do sankcji ze strony wyszukiwarek, więc zaniedbanie bezpieczeństwa zniweczy wszystkie nakłady sił i środków włożone w promocję i optymalizację SEO. 

Sposoby ochrony

Żeby nie dopuścić do włamania, a przy próbach nieautoryzowanego wejścia skutecznie się im przeciwstawić, trzeba podjąć cały zestaw działań. Ochrona serwisu przed włamaniem to przypadek, w którym „złota pigułka” nie istnieje: trzeba zamykać wszystkie możliwe drogi dostania się złośliwego oprogramowania i stale pracować nad podnoszeniem poziomu bezpieczeństwa.

Warto wyodrębnić tu kilka kierunków pracy. Pierwszy to ochrona komputera administratora. Najprostszy sposób na uzyskanie dostępu do serwisu to kontrola nad komputerem, z którego się nim zarządza. Dlatego skuteczny antywirus staje się nie tyle pożądany, co konieczny. 

Ważne! Nie zapominaj o czynniku ludzkim. Administrator sam może używać skompromitowanych haseł dostępu — bardzo często napastnicy korzystają właśnie z tego. Problem rozwiązuje się działaniami organizacyjnymi i sprawnym systemem kontroli. No i oczywiście doborem administratora o wystarczających kwalifikacjach!

Poza tym trzeba podejmować i inne działania — a największą skuteczność pokazują one właśnie wtedy, gdy wdraża się je kompleksowo.

Ochrona serwera

Nieautoryzowanemu dostępowi do informacji na serwerze można zapobiec na kilka sposobów:

• rozgraniczenie poziomów dostępu do baz danych i innych ważnych informacji;

• śledzenie działań użytkowników, przede wszystkim tego, co wpisują na stronie;

• systematyczna zmiana haseł z użyciem maksymalnie bezpiecznych (czyli złożonych i odpornych na brute force) kombinacji; 

• regularne tworzenie kopii zapasowych.

Poza tym skutecznym działaniem będzie zmiana nazw folderów i plików (napastnicy liczą na standardowe nazwy), a także zamknięcie dostępu do hostingu albo wieloskładnikowa weryfikacja logowania (na przykład z potwierdzeniem SMS-em).

Niezawodny hosting

Wyżej mówiliśmy, że bardzo często włamanie odbywa się pośrednio — jako „platforma startowa” służą sąsiedzi z hostingu, którzy nie mają wystarczającej ochrony. Ale to tylko jeden z powodów, dla których do wyboru hostingu trzeba podejść maksymalnie odpowiedzialnie.

W rzeczywistości roli hostingu w ochronie przed włamaniem trudno przecenić. Firmy świadczące takie usługi dbają o reputację, więc dobry hosting sam robi wszystko, co możliwe, żeby zablokować dostęp z zewnątrz. Plusem będzie i możliwość tworzenia kopii zapasowych, i bogaty zestaw narzędzi do rozgraniczania poziomów dostępu, i nawet sensowne wsparcie techniczne (jeśli naprawdę działa, to przy próbach włamania pomoc specjalisty będzie bezcenna).

Zalecamy też korzystanie z narzędzi, które oferuje dostawca hostingu. Na przykład strony naszych klientów są regularnie i automatycznie skanowane pod kątem rozpowszechnionych podatności i możliwych włamań. Jeśli dostałeś takie ostrzeżenie od hostingodawcy, warto zareagować jak najszybciej.

Solidny CMS ze wszystkimi świeżymi aktualizacjami

System zarządzania treścią — CMS — również potrzebuje ochrony. Podstawowym zadaniem jest tu nie tylko wybór CMS-a o dobrych wynikach w odporności na włamania, ale i regularna aktualizacja silnika serwisu.

Z reguły im nowsza zainstalowana wersja, tym mniej w niej błędów i potencjalnie podatnych miejsc. Oczywiście z czasem pojawiają się nowe dziury w zabezpieczeniach — ale twórcy łatają je dość skutecznie. 

CMS-a można aktualizować automatycznie albo ręcznie. Korzystanie z zaktualizowanej wersji znacznie obniża ryzyko udanych wstrzyknięć SQL oraz ataków z użyciem shelli czy XSS.

Certyfikat SSL

Certyfikat SSL to cyfrowy podpis Twojego serwisu, w którym zawarte są nazwa domeny, dane właściciela (przedsiębiorca albo osoba prawna), adres właściciela i tak dalej. Poza tym certyfikat SSL zawiera informacje o tym, jaka firma go wydała i jak długo jest ważny. 

Stosowanie certyfikatów SSL pozwala skutecznie chronić stronę przed phishingiem (kradzieżą danych osobowych i finansowych), prowadzonym przez włamania na sąsiednie strony na hostingu, uzyskanie dostępu do phpMyAdmina czy wstrzyknięcia SQL.

Żeby uzyskać certyfikat SSL, trzeba zwrócić się do wyspecjalizowanej firmy wydającej podpisy cyfrowe (procedura certyfikacji jest płatna). Niektóre hostingi udostępniają certyfikaty SSL bezpłatnie — jeśli taka możliwość istnieje, warto z niej skorzystać i dla oszczędności, i dla podniesienia poziomu ochrony przed włamaniem. 

Sprawdzone skrypty

Przy pobieraniu dodatkowych programów i skryptów korzystaj wyłącznie z licencjonowanego oprogramowania. Dane pobieraj tylko z oficjalnych źródeł — inaczej ryzykujesz, że własnoręcznie „wniesiesz” na stronę wirusa, shella albo backdoora, a wtedy ryzyko włamania znacznie wzrośnie.

Wtyczki ochronne

Możliwości CMS-a w zakresie ochrony strony przed włamaniem można rozszerzyć, instalując dodatkowe wtyczki. Wybór jest dość szeroki, a funkcje różnorodne — można więc znaleźć rozwiązania i do ochrony „w tle” przed wirusami, i do systematycznego skutecznego skanowania, i do tworzenia kopii zapasowych ważnych informacji.

Przykłady takich wtyczek:

• Wordfence

• iThemes Security

• Sucuri Security

Niektóre wtyczki są uniwersalne, niektóre zgodne tylko z konkretnymi CMS-ami.

Zakończenie

Jakakolwiek technologia zostałaby użyta do włamania na stronę, nieautoryzowany dostęp do serwisu może wyrządzić znaczne szkody — i finansowe, i wizerunkowe. Przed włamaniem trzeba się przy tym bronić kompleksowo, od wyboru hostingu i doboru dostatecznie bezpiecznego CMS-a po regularną zmianę haseł. Tylko wtedy wszystkie prawdopodobne kierunki ataku zostaną zamknięte, a ryzyko włamania będzie minimalne.