Οι συμβουλές για την προστασία του site σου από hackers παρουσιάζονται συχνά ως μια μεγάλη λίστα ελέγχου. Το πρόβλημα είναι ότι δεν έχουν όλα τα σημεία της λίστας το ίδιο βάρος. Ένας μικρός αριθμός μέτρων καλύπτει την πλειονότητα των δρόμων επίθεσης που οδηγούν σε πραγματικές παραβιάσεις, και το να ξέρεις ποια να βάλεις σε προτεραιότητα κάνει τη διαφορά ανάμεσα σε αποτελεσματική ασφάλεια και σε μια ασφάλεια που απλώς φαίνεται.
Οι επιθέσεις σε site είναι σχεδόν εξ ολοκλήρου αυτοματοποιημένες. Σαρωτές ελέγχουν εκατομμύρια site ταυτόχρονα, ψάχνοντας για γνωστά κενά ασφαλείας σε εκδόσεις λογισμικού, συνηθισμένους κωδικούς και εκτεθειμένα αρχεία ρυθμίσεων. Ένα site δεν χρειάζεται να έχει μεγάλη επισκεψιμότητα ή να είναι γνωστό για να γίνει στόχος. Αρκεί να είναι online και να τρέχει κάτι με γνωστό κενό. Για να δεις τι διακυβεύεται όταν δεν υπάρχουν αυτά τα μέτρα, δες το άρθρο γιατί είναι σημαντική η ασφάλεια ιστοσελίδας.
Πώς προστατεύεις το site σου από hackers με ισχυρή ταυτοποίηση
Οι επιθέσεις σε στοιχεία σύνδεσης είναι από τους πιο συνηθισμένους τρόπους που αποκτούν πρόσβαση οι επιτιθέμενοι σε site. Ένας ισχυρός κωδικός από μόνος του δεν αρκεί. Αυτό που σταματά πραγματικά τα αυτοματοποιημένα εργαλεία brute force είναι ο συνδυασμός ισχυρού κωδικού, περιορισμού προσπαθειών και δεύτερου παράγοντα ταυτοποίησης.
Ισχυροί και μοναδικοί κωδικοί
- Οι κωδικοί των λογαριασμών διαχειριστή πρέπει να είναι μεγάλοι, τυχαίοι και μοναδικοί για το site. Να μην επαναχρησιμοποιούνται από καμία άλλη υπηρεσία
- Οι σύντομοι κωδικοί και οι κωδικοί που βασίζονται σε συνηθισμένες λέξεις ή μοτίβα δοκιμάζονται πρώτοι από τα αυτοματοποιημένα εργαλεία brute force, που μπορούν να δοκιμάσουν χιλιάδες συνδυασμούς το λεπτό
- Ένας διαχειριστής κωδικών δημιουργεί και αποθηκεύει ισχυρούς κωδικούς χωρίς να χρειάζεται να τους απομνημονεύσεις
Ταυτοποίηση δύο παραγόντων
- Η ταυτοποίηση δύο παραγόντων απαιτεί ένα δεύτερο βήμα επαλήθευσης πέρα από τον κωδικό όταν συνδέεσαι στον πίνακα διαχείρισης
- Ακόμα κι αν ένας κωδικός κλαπεί μέσω παραβίασης δεδομένων ή επίθεσης phishing, η ταυτοποίηση δύο παραγόντων εμποδίζει τον επιτιθέμενο να τον χρησιμοποιήσει αν δεν ελέγχει και τον δεύτερο παράγοντα
- Η ενεργοποίησή της σε κάθε λογαριασμό διαχειριστή είναι από τις πιο αποτελεσματικές μεμονωμένες αλλαγές για την ασφάλεια ενός site
Όρια στις προσπάθειες σύνδεσης
- Τα εργαλεία brute force δουλεύουν δοκιμάζοντας χιλιάδες κωδικούς σε γρήγορη ακολουθία. Ένα όριο στον αριθμό των αποτυχημένων προσπαθειών πριν κλειδωθεί μια διεύθυνση IP σταματά αυτή την προσέγγιση
- Πολλές πλατφόρμες site περιλαμβάνουν περιορισμό προσπαθειών σύνδεσης ως ενσωματωμένη ρύθμιση ή μέσω επέκτασης ασφαλείας
Αφαίρεση ανενεργών λογαριασμών
- Κάθε ενεργός λογαριασμός διαχειριστή με αδύναμο ή επαναχρησιμοποιημένο κωδικό είναι πιθανό σημείο εισόδου
- Οι λογαριασμοί που δημιουργήθηκαν για πρώην υπαλλήλους, συνεργάτες ή προγραμματιστές πρέπει να αφαιρούνται μόλις δεν χρειάζονται πια
Πώς προστατεύεις το site σου από hackers με καλή υγιεινή λογισμικού
Το ξεπερασμένο λογισμικό είναι η πιο εκμεταλλεύσιμη κατηγορία κενών ασφαλείας στα site. Όταν βρεθεί και διορθωθεί ένα κενό ασφαλείας, τα στοιχεία δημοσιεύονται συνήθως μαζί με τη διόρθωση. Τα site που τρέχουν ακόμα την παλιά έκδοση γίνονται τότε καταγεγραμμένος, γνωστός στόχος.
Εφάρμοσε τις ενημερώσεις μόλις είναι διαθέσιμες
- Οι ενημερώσεις της πλατφόρμας του site, των πρόσθετων, των θεμάτων και των ενσωματώσεων πρέπει να εφαρμόζονται άμεσα. Συχνά περιλαμβάνουν διορθώσεις ασφαλείας, και η καθυστέρηση αφήνει ανοιχτά γνωστά κενά
- Αν ρυθμίσεις τις ενημερώσεις να εφαρμόζονται αυτόματα όπου γίνεται, εξαλείφεται ο κίνδυνος να χάσεις μια κρίσιμη διόρθωση
Αφαίρεσε τα πρόσθετα και τα θέματα που δεν χρησιμοποιείς
- Τα ανενεργά πρόσθετα και θέματα που δεν ενημερώνονται παραμένουν ευάλωτα ακόμα κι όταν δεν είναι ενεργά στο site
- Αν τα αφαιρέσεις, μειώνεις την επιφάνεια επίθεσης χωρίς να επηρεάσεις τίποτα στο ζωντανό site
Χρησιμοποίησε λογισμικό μόνο από αξιόπιστες πηγές
- Τα πρόσθετα, τα θέματα και οι επεκτάσεις από ανεπίσημες πηγές είναι συχνό όχημα για τη διάδοση malware
- Αν χρησιμοποιείς μόνο λογισμικό από το επίσημο marketplace της πλατφόρμας ή από αξιόπιστους, καθιερωμένους προγραμματιστές, μειώνεις τον κίνδυνο να εγκαταστήσεις κώδικα που είναι ήδη μολυσμένος
Πώς προστατεύει το HTTPS το site σου;
Ένα πιστοποιητικό SSL και το HTTPS είναι βασικές απαιτήσεις. Προστατεύουν τα δεδομένα κατά τη μετάδοση και δείχνουν στις μηχανές αναζήτησης ότι το site πληροί τα ελάχιστα πρότυπα ασφαλείας. Για τις λεπτομέρειες του πώς το στήνεις, δες το άρθρο τι είναι ένα πιστοποιητικό SSL και πώς λειτουργεί.
Τι κάνει το HTTPS
- Το HTTPS κρυπτογραφεί τα δεδομένα που στέλνουν οι επισκέπτες μέσω φορμών, σελίδων σύνδεσης και διαδικασιών πληρωμής, εμποδίζοντας να διαβαστούν αν υποκλαπούν κατά τη μετάδοση
- Το πιστοποιητικό SSL επαληθεύει επίσης την ταυτότητα του site, προστατεύοντας από κάποιες μορφές υποκλοπής κίνησης και πλαστοπροσωπίας
Τι δεν κάνει το HTTPS
- Το HTTPS δεν εμποδίζει επιθέσεις στο ίδιο το site. Οι επιθέσεις SQL injection, cross-site scripting, οι προσπάθειες σύνδεσης με brute force και η έγχυση malware δεν σταματούν με το HTTPS
- Είναι ένα επίπεδο προστασίας, όχι υποκατάστατο των υπολοίπων
Πώς βοηθά ένα web application firewall;
Τι κάνει
- Ένα web application firewall βρίσκεται ανάμεσα στην εισερχόμενη κίνηση και στο site και ελέγχει τα αιτήματα πριν φτάσουν στον server
- Φιλτράρει αιτήματα που ταιριάζουν με γνωστά μοτίβα επίθεσης, όπως προσπάθειες SQL injection, φορτία cross-site scripting και κίνηση από γνωστές κακόβουλες πηγές
- Οι επιθέσεις που δεν φτάνουν ποτέ στον server δεν μπορούν να εκμεταλλευτούν κενά στον κώδικα του site
Firewall επιπέδου δικτύου και firewall επιπέδου εφαρμογής
- Τα firewall επιπέδου δικτύου φιλτράρουν την κίνηση στο επίπεδο της υποδομής πριν φτάσει στον server. Συνήθως τα παρέχουν εταιρείες φιλοξενίας και πάροχοι CDN
- Τα firewall επιπέδου εφαρμογής λειτουργούν στο επίπεδο του site και μπορούν να είναι πιο συγκεκριμένα για το ποια αιτήματα θα επιτρέψουν, με βάση το περιεχόμενο και τη συμπεριφορά του site
- Οι δύο τύποι εξυπηρετούν διαφορετικούς σκοπούς και μπορούν να χρησιμοποιούνται μαζί
Γιατί τα αντίγραφα ασφαλείας είναι μέρος της προστασίας του site σου από hackers
Κανένα μέτρο ασφαλείας δεν εξαλείφει κάθε κίνδυνο. Όταν κάτι περάσει, ένα καθαρό αντίγραφο ασφαλείας καθορίζει πόσο γρήγορα ανακάμπτεις και πόσα χάνεις.
Τι κάνουν τα αντίγραφα ασφαλείας που δεν μπορούν να κάνουν τα μέτρα πρόληψης
- Οι επιθέσεις ransomware που κρυπτογραφούν τα αρχεία του site κάνουν πολύ λιγότερη ζημιά όταν υπάρχει πρόσφατο καθαρό αντίγραφο. Η επαναφορά από αντίγραφο αφαιρεί εντελώς το πλεονέκτημα του επιτιθέμενου
- Ένα καθαρό αντίγραφο δίνει επίσης ένα επαληθευμένο σημείο αναφοράς για σύγκριση, όταν προσπαθείς να βρεις τι άλλαξε ο επιτιθέμενος
Τι κάνει ένα αντίγραφο χρήσιμο
- Τα αντίγραφα πρέπει να φυλάσσονται χωριστά από τον server του site. Ένα αντίγραφο στον ίδιο server παραβιάζεται ή κρυπτογραφείται μαζί με όλα τα άλλα σε μια επίθεση
- Η συχνότητα των αντιγράφων πρέπει να ταιριάζει με το πόσο συχνά αλλάζει το site. Ένα site που ενημερώνεται καθημερινά χρειάζεται καθημερινά αντίγραφα
- Το να δοκιμάζεις ότι ένα αντίγραφο μπορεί πραγματικά να επαναφερθεί είναι εξίσου σημαντικό με το να το έχεις. Ένα αντίγραφο που αποτυγχάνει στην επαναφορά δεν είναι αντίγραφο
Για έναν πλήρη οδηγό για το πώς στήνεις και διαχειρίζεσαι αντίγραφα ασφαλείας, δες το άρθρο πώς κάνεις αντίγραφα ασφαλείας του site σου. Για το τι κάνεις αν υπάρχει ήδη malware στο site σου, δες το άρθρο τι είναι το malware σε ένα site και πώς το αφαιρείς.
Πώς χειρίζεται το WEMASY την προστασία του site
Η υποδομή φιλοξενίας του WEMASY περιλαμβάνει προστασία firewall και περιορισμό επιθέσεων DDoS σε επίπεδο δικτύου. Τα πιστοποιητικά SSL περιλαμβάνονται σε κάθε πακέτο και εφαρμόζονται αυτόματα, οπότε όλα τα site σερβίρονται από προεπιλογή με HTTPS. Οι ενημερώσεις λογισμικού διαχειρίζονται σε επίπεδο πλατφόρμας, και έτσι αφαιρείται από τον ιδιοκτήτη του site η ευθύνη να εφαρμόζει διορθώσεις.
Κράτα δικό σου αντίγραφο ασφαλείας του σημαντικού περιεχομένου και ενεργοποίησε ταυτοποίηση δύο παραγόντων όπου είναι διαθέσιμη.
Δες τι περιλαμβάνεται στον δημιουργό ιστοσελίδων WEMASY ή δες τις επιλογές πακέτων στη σελίδα τιμών.
Συχνές ερωτήσεις
Πώς μπαίνουν οι hackers σε site;
Η πλειονότητα των παραβιάσεων site γίνεται από τρεις δρόμους: την εκμετάλλευση γνωστών κενών ασφαλείας σε ξεπερασμένο λογισμικό, την πρόσβαση μέσω αδύναμων ή κλεμμένων κωδικών διαχειριστή και την έγχυση κακόβουλου κώδικα μέσω ευάλωτων πρόσθετων ή scripts τρίτων. Αυτοματοποιημένα εργαλεία σαρώνουν συνεχώς μεγάλο αριθμό site για αυτά τα κενά και τα εκμεταλλεύονται χωρίς να στοχεύει κανείς συγκεκριμένα το site. Αν κρατάς το λογισμικό ενημερωμένο και τους κωδικούς διαχειριστή ισχυρούς και μοναδικούς, καλύπτεις τα πιο συνηθισμένα σημεία εισόδου. Με τον δημιουργό ιστοσελίδων του WEMASY μπορείς να το στήσεις κατευθείαν στο site σου.
Ποιο είναι το πιο σημαντικό βήμα για να προστατέψω ένα site από hackers;
Το να κρατάς όλο το λογισμικό ενημερωμένο και να χρησιμοποιείς ισχυρούς, μοναδικούς κωδικούς με ταυτοποίηση δύο παραγόντων στους λογαριασμούς διαχειριστή καλύπτουν μαζί την πλειονότητα των επιτυχημένων επιθέσεων. Οι ενημερώσεις λογισμικού κλείνουν γνωστά κενά πριν προλάβουν να τα εκμεταλλευτούν οι επιτιθέμενοι. Η ισχυρή ταυτοποίηση εμποδίζει την πρόσβαση μέσω επιθέσεων σε στοιχεία σύνδεσης ακόμα κι όταν ένας κωδικός έχει παραβιαστεί αλλού. Τα αντίγραφα ασφαλείας δεν εμποδίζουν τις επιθέσεις, αλλά περιορίζουν τη ζημιά όταν μια επίθεση πετύχει, και γι' αυτό είναι απαραίτητο μέρος κάθε ολοκληρωμένης στρατηγικής προστασίας.
Επηρεάζει το μέγεθος του site τον κίνδυνο να χακαριστεί;
Όχι. Οι επιθέσεις σε site είναι σχεδόν εξ ολοκλήρου αυτοματοποιημένες. Οι σαρωτές ελέγχουν εκατομμύρια site ψάχνοντας γνωστά κενά ασφαλείας και αδύναμα στοιχεία σύνδεσης, ανεξάρτητα από το μέγεθος, την επισκεψιμότητα ή τον κλάδο του site. Ένα μικρό site portfolio που τρέχει ξεπερασμένο λογισμικό είναι εξίσου εκτεθειμένο με μια μεγάλη πλατφόρμα με το ίδιο κενό. Τα μέτρα που προστατεύουν ένα site είναι τα ίδια ανεξάρτητα από το μέγεθός του.
Τι είναι το web application firewall και το χρειάζομαι;
Ένα web application firewall φιλτράρει την εισερχόμενη κίνηση προς το site και μπλοκάρει αιτήματα που ταιριάζουν με γνωστά μοτίβα επίθεσης πριν φτάσουν στον server. Μπορεί να μπλοκάρει αυτόματα προσπάθειες SQL injection, φορτία cross-site scripting και κίνηση από γνωστές κακόβουλες πηγές. Το αν χρειάζεσαι ξεχωριστό web application firewall εξαρτάται από τη φιλοξενία σου. Πολλοί πάροχοι φιλοξενίας περιλαμβάνουν προστασία firewall σε επίπεδο δικτύου, που αντιμετωπίζει σημαντικό μέρος των αυτοματοποιημένων επιθέσεων χωρίς καμία ρύθμιση από τον ιδιοκτήτη του site.
Κάθε πότε πρέπει να κάνω αντίγραφο ασφαλείας του site μου;
Η σωστή συχνότητα εξαρτάται από το πόσο συχνά αλλάζει το περιεχόμενο του site. Ένα site που ενημερώνεται καθημερινά με νέο περιεχόμενο, παραγγελίες ή υποβολές χρειάζεται καθημερινά αντίγραφα. Ένα site που αλλάζει σπάνια μπορεί να έχει αντίγραφα πιο αραιά, αλλά πρέπει πάντα να γίνεται αντίγραφο πριν από κάθε σημαντική ενημέρωση ή αλλαγή πλατφόρμας. Τα αντίγραφα πρέπει να φυλάσσονται χωριστά από τον server του site και να δοκιμάζονται κατά διαστήματα, για να επιβεβαιώνεται ότι μπορούν πραγματικά να επαναφερθούν.
Μπορώ να προστατέψω το site μου από hackers χωρίς τεχνικές γνώσεις;
Ναι. Τα πιο αποτελεσματικά μέτρα προστασίας δεν απαιτούν τεχνικές γνώσεις. Ένας ισχυρός, μοναδικός κωδικός στους λογαριασμούς διαχειριστή, η ενεργοποίηση ταυτοποίησης δύο παραγόντων και η εφαρμογή ενημερώσεων μέσω των ενσωματωμένων εργαλείων της πλατφόρμας καλύπτουν την πλειονότητα των συνηθισμένων δρόμων επίθεσης. Αν διαλέξεις πάροχο φιλοξενίας ή πλατφόρμα ιστοσελίδων που περιλαμβάνει προστασία firewall, SSL και αυτόματα αντίγραφα ασφαλείας σε επίπεδο πλατφόρμας, η ασφάλεια σε επίπεδο υποδομής καλύπτεται χωρίς καμία ρύθμιση από εσένα.