Как защитить сайт от взлома

Виды угроз безопасности с учетом специфики сайта

Для начала нужно определиться, что именно мы собираемся защищать. Если говорить очень грубо и условно, то все интернет-ресурсы можно разделить на парочку видов:

• Информационные сайты. Это и лендинги компаний, и развлекательные порталы, и образовательные площадки. Также сюда относятся форумы и блоги. Самая большая опасность таких сайтов, пожалуй, — спам и риски того, что площадку уведут для рекламы сомнительных тематик (например, гемблинга). Это же актуально и для соц.сетей.
• E-commerce. Сайт электронной коммерции, то есть онлайн-магазины, имеют доступ к личной (конфиденциальной) информации пользователей. Поэтому здесь есть опасность того, что мошенники могут похитить платежные данные людей. Потеря или утечка чревата серьезными последствиями как для пользователей, так и для владельцев сайта.

Это лишь некоторые популярные типы сайтов. Каждый из них может иметь множество подкатегорий и вариаций в зависимости от специфики контента и целей создания сайта. Соответственно, меры по защите площадки тоже будут каждый раз индивидуальные. Однако в любом случае работа над безопасностью распространяется на все виды данных, хранящихся непосредственно на сайте и в базе данных.

Как вы уже могли понять, взлом сайта может быть организован:

• с целью получить над ним контроль,
• ради персональных данных, 
• для редиректа и распространения вредоносных программ.

При этом признаки взлома почти всегда одинаковы, как и исход ситуации: страницы долго грузятся, меняется их содержимое, появляются новые ссылки. Из-за этого позиции и посещаемость падают, сайт оказывается под фильтрами поисковиков, поведенческие факторы ухудшаются. Иными словами, защита сайта от взлома является важнейшим аспектом поддержания безопасности интернет-пользователей и информации. Она также поможет вам не потратить впустую время и силы, выделенные на SEO-продвижение.

При разработке сайта и в процессе его технической поддержки мы советуем прибегать к нескольким простым шагам. Как минимум, они осложнят злоумышленникам процесс взлома, а как максимум — обеспечат стабильную работу сайта даже в случае хакерской атаки.

Как защитититься от взлома: меры безопасности сайта

Обновление ПО

Прежде всего, убедитесь, что всё используемое вами программное обеспечение, включая операционную систему, веб-сервер (при использовании выделенного сервера), базы данных и платформу управления содержимым (CMS), обновлено до последних версий. Это поможет закрыть уязвимости, которые могут быть использованы злоумышленниками. Если обновление только предстоит, перед ним обязательно нужно сделать бекап всего сайта, так как в некоторых случаях могут возникнуть критические ошибки, из-за которых площадка полностью выйдет из строя.

Надежные пароли

Прозвучит как очевидная истина, но тем не менее: используйте качественные пароли. Убедитесь, что пароли, используемые для доступа к сайту и административным панелям, являются сложными и уникальными. На помощь придут длинные комбинации из букв, цифр и специальных символов. Также важно не ставить одинаковые пароли для разных сервисов. Если ваша фантазия ограничена (или просто лень придумывать), смело пользуйтесь специальными сервисами, которые помогают генерировать пароли максимальной сложности. Например, вот этим. Но вне зависимости от надежности паролей для профилактики раз в полгода желательно всё равно менять доступы к сайту.

Доступ по IP-адресам

Защитите административные панели вашего сайта. Для этого ограничьте к ним доступ, разрешив его только с определенных IP-адресов. Это можно сделать, настроив файлы конфигурации сервера или используя дополнительные плагины/модули безопасности. Для предотвращения случайных вмешательств в работу сайта желательно делить пользователей и модераторов на группы, которые будут иметь различный уровень доступа к админке.

Защита от основных угроз безопасности сайта

Можно выделить три типа часто встречающихся атак:

• XSS или “межсайтовый скрининг” — это отправка через формы сайта вредоносного кода, а затем выполнение программы на стороне другого пользователя. Чтобы предотвратить такую атаку мы в LZ.Media используем метод ролей у пользователей: только некоторые из них могут вносить в базу HTML-разметку, а у остальных сохранение происходит в кодированном виде.
• SQL-инъекции — запросы с подменой параметров, чтобы редактировать, удалять или читать данные из базы. Для решения данной проблемы существуют дополнительные плагины безопасности, а также готовые методы защиты у отдельных CMS. Например, у “Битрикса” существуют модули “Веб-антивирус” и “Проактивная защита”, а для WordPress мы советуем установить WPScan.
• DoS-атака — это множество одновременных запросов, из-за чего сайт или сервер может выйти из строя. Для защиты обычно устанавливают брандмауэры на уровне сервера, чтобы блокировать подозрительные IP-адреса или ограничить доступ к нежелательным портам. Всё это настраивается уже на стороне хостера. Также можно использовать брандмауэры веб-приложений (Web Application Firewall, WAF), которые помогут обнаружить и заблокировать попытки атак.

Валидация форм

Современные сайты невозможно представить без форм обратной связи. Однако обработка ввода пользователей является одной из основных точек входа для атак. Для устранения уязвимостей применяйте фильтрацию ввода данных. Убедитесь, что сайт применяет надежную фильтрацию и валидацию данных, поступающих от пользователей, чтобы предотвратить атаки вроде инъекций SQL или скриптов. Для валидации полей формы следует использовать готовые библиотеки, такие как validator.js или ApproveJs.

SSL-сертификаты

Установите SSL-сертификаты на сайте, чтобы обеспечить безопасное соединение между сервером и пользователями. Это позволит шифровать передаваемые данные и защитить личную информацию пользователей. В текущей момент на всех хостингах существуют удобные разделы для настройки бесплатного SSL-сертификата Let’s Encrypt, чего вполне достаточно. Без сертификата данные пользователей могут быть перехвачены: телефоны, пароли, номера банковских карт и т.д. Но основным недостатком отсутствия сертификата является возможность злоумышленников создавать поддельный сайт, имитирующий оригинал. Это может привести к фишинговым атакам и ущербу владельцев сайта.

Резервные копии

Даже если по основным направлениям у сайта все под защитой, не стоит пренебрегать защитой разделов и файлов сайта. Взлом может прийти и со стороны хостинга, где хранился ваш сайт, не говоря уже о полной остановке его работы. Поэтому регулярно создавайте резервные копии сайта и базы данных как на самом хостинге, так и локально. В случае взлома или сбоя резервные копии помогут в кратчайшие сроки восстановить работоспособность сайта.

Мониторинг и журналирование

Осуществляйте регулярный мониторинг сайта и ведите детальные журналы событий. Это поможет обнаружить аномалии, внедрения или необычную активность, которая может указывать на попытки взлома.

Советы по повышению безопасности сайта

• Человеческий фактор — самый недооцененный элемент в области защиты информации. Как бы мы ни защищали сайт от взлома, наши усилия будут тщетными, если пользователь или владелец сам передаст пароль либо секретный ключ не в те руки. Напоминайте о безопасности регулярно: повышайте экспертность своей администрирующей команды в рамках обучающих тренингов и семинаров, чтобы все были в курсе актуальных мер защиты. Также присылайте пользователям сайта письма или уведомления: рассказывайте, какими должны быть пароли, почему нельзя открывать подозрительные ссылки, как отличить реальный процесс оплаты на вашей площадке от мошеннических схем.

• Чтобы понять, где ваш сайт стоит “укрепить”, подумайте о мотивации злоумышленников. В любом действии есть своя выгода. В большинстве случаев со взломом сайта преступники имеют конкретную цель. Если от взлома нет какой-либо выгоды, скорее всего, сайт не будет подвергаться атакам. Не считая, конечно, самые простые, в виде спама, от которых никто не застрахован. Поэтому не нужно разом брать всевозможные методы защиты сайта и применять их без предварительного анализа. В лучшем случае вы просто потратите время и деньги, а в худшем — сломаете сайт. Вам нужно обнаружить и закрыть самое слабейшее звено в защите веб-ресурса. Закрыли? Переходите к следующему звену.

• Мотивация — не единственное, что нужно знать о преступниках. Злоумышленники всегда кем-то являются и откуда-то приходят. Для успешного отброса атак на сайт необходимо постараться определить, кто пытается взломать площадку. Нужно определить, какие данные пытаются забрать или стереть. Одно дело бороться с идейными хакерами и совсем другое — с нечистыми на руку конкурентами. Когда вы смогли понять, с кем имеете дело и что является целью взлома вашего сайта, переходите к началу нашей статьи. Теперь вы можете выбрать конкретную меру защиты. Ту, которая больше всего отвечает текущему запросу в области безопасности сайта и устранит его нынешние слабые места. Выстраивайте защиту поэтапно и по необходимости, принимая во внимание более вероятные и опасные угрозы.

Как показывает практика, в вопросах интернет-защиты лучше учиться не на своих ошибках, поскольку завоевать доверие пользователей и поисковых систем после взлома будет тяжело. Так что не пренебрегайте обеспечением безопасности сайтов. Помните: предупрежден — значит вооружен.