Как защитить сайт: виды угроз безопасности и способы их избежать
Андрей Батурин,
Андрей Батурин
Если вы не хотите, чтобы с вашего сайта украли данные пользователей и продали их конкурентам, удалили важные материалы или добавили свои, заразили вирусами или просто скопировали тексты до индексации в поисковиках, важно позаботиться о безопасности. Разобрали возможные угрозы для сайта и способы их предотвращения.
Возможные угрозы безопасности сайта
Итак, чтобы понять, как защитить свой сайт, для начала важно разобраться, в каких сферах можно ожидать проблем. Их можно разделить на три категории:
- Конфиденциальность — когда злоумышленники получают несанкционированный доступ к закрытым для них данным.
- Целостность — когда удаляют или меняют информацию.
- Доступность — когда обычные пользователи теряют доступ к разделам, которые должны быть для них открыты.
Обычно такие проблемы создают внешние нарушители, которые пытаются извлечь из этого прямую или косвенную выгоду: продать базу данных ваших клиентов, нанести вред репутации, заблокировать сайт, чтобы клиенты пошли к конкурентам и т.д.
Давайте подробнее разберем виды угроз безопасности для сайта.
Атака на веб-приложения и их компоненты
Если в веб-приложении есть уязвимости, злоумышленник может воспользоваться ими, чтобы изменить выполняемые на сервере команды. Благодаря этому он может похитить важную информацию, нарушить бизнес-логику (процесс оплаты заказов и пр.) или взломать корпоративную сеть. Самый распространенный вид атак на веб-приложения — это SQL-injection.
Проверка идентификации
Этот вид атаки направлен на механизмы проверки идентификации на сайте, то есть, на программы, которые определяют, есть ли у пользователя или приложения права на совершение тех или иных действий. Сюда можно отнести bruteforce (взлом с помощью перебора всех возможных комбинаций), махинации с процессом восстановления паролей и авторизацией.
Атаки на пользователей
Когда пользователь заходит на веб-ресурс, он, вероятно, доверяет ему, поэтому не опасается нажимать на кнопки, открывать ссылки и просматривать содержимое. Однако в этот момент, если сайт не защищен, мошенники могут заразить его вредоносными программами или внедрить код, который позволит похитить пароли, просматривать содержимое компьютера, письма и сообщения.
Логические атаки
В этом случае мошенники пытаются нарушить логику выполнения функций веб-приложения. То есть, на сайте есть привычные всем пользователям процессы: регистрация, восстановление пароля, оформление заказа, проведение платежей, заполнение профиля и т.д. Злоумышленник эти процессы нарушает или обходит установленные в них правила. К логическим атакам относят DoS.
Также при анализе возможных угроз безопасности, все виды атак можно разделить на целевые и нецелевые.
Целевые
Эти атаки направлены специально на конкретный сайт. Обычно они носят заказной характер, так как злоумышленник точно знает, что именно и где ему нужно. Цели у них могут быть разные:
- получить нужную информацию, чтобы использовать ее против компании или для получения прибыли;
- “обвалить” портал, чтобы снизить продажи;
- выложить в открытый доступ данные клиентов, чтобы нанести репутационный удар.
Случайные
Такие атаки проводят по большой “площади”, они не нацелены на конкретный портал, пытаются дотянуться, до чего получится. Попасть под раздачу могут сразу тысячи и десятки тысяч сайтов, объединенные по какому-то параметру: используемой cms, категории (интернет-магазины, форумы и пр.), используемому плагину. Такие атаки запускаются на удачу, а потом, если что-то получится, хакер уже думает, как это использовать: скопировать конфиденциальные данные, разместить свой скрипт и т.д.
Под случайную атаку может попасть любой веб-ресурс, независимо от его посещаемости, популярности и сферы деятельности.
Угроза копирования контента
Еще одна угроза касается не технической безопасности, а авторских прав на контент. Так, некоторые копируют готовые тексты и размещают у себя на страницах, не тратя времени и сил на самостоятельное написание. Несколько лет назад это было реальной проблемой, так как поисковики не сразу разбирали, где оригинальный контент, а где — скопированный, поэтому в поисковой выдаче можно было встретить несколько сайтов подряд с одинаковой статьей.
Сейчас поисковые механизмы более совершенные, и после индексации страницы копировать ее содержимое нет никакого смысла — все равно поисковик это сразу заметит. Но некоторые любители плагиата настраивают парсинг и перехватывают тексты до их индексации, а затем сразу размещают у себя. Если ваш ресурс более “молодой”, а сайт плагиатора уже хорошо воспринимается поисковыми системами, велика вероятность, что поисковый алгоритм именно вас примет за воришку.
Защитить сайт от копирования текстов и изображений можно несколькими способами. Во-первых, можно запретить функцию выделения и копирования через скрипт. Во-вторых, запрет через стиль CSS, который работает практически так же, как и скрипт.
Это механические способы защиты, которые опытный пользователь легко обойдет, отключив скрипты или открыв исходный код страницы.
Еще, чтобы защитить контент, можно добавить значок копирайта и сообщение о том, что все материалы защищены авторским правом. Не всех это остановит, но попытка не пытка.
Также, как вариант, чтобы защитить контент — добавлять статьи в сервис “Оригинальные тексты” от Яндекса. После добавления они сразу закрепляются за вами, и скопировавший их злоумышленник наверняка попадет под санкции поисковика.
Что будет, если сайт взломают?
Это зависит от того, какую информацию или какие возможности получит взломщик.
Пароли
Если кто-то получил ваши пароли от админки, вы рискуете полностью потерять контроль над ресурсом и его содержимым. Защищать их нужно в первую очередь.
Контакты и другие данные пользователей
Вашим клиентам наверняка начнет приходить рекламный спам.
Данные банковских карт
Если у вас доступна онлайн-оплата товаров, мошенники, украв данные карт, могут проводить финансовые операции. Это принесет вам денежные и репутационные убытки.
Несанкционированное размещение рекламы
Хакеры будут зарабатывать на рекламных баннерах, размещенных у вас на сайте, а вы будете получать негодование пользователей.
Атаки на другие сайты
Если ваш ресурс взломали, его могут использовать для DdoS-атак на другие порталы или через вас добраться до более защищенных сайтов на вашем хостинге.
В случае взлома вы не только теряете деньги и получаете урон своей репутации, но также подпадаете под санкции поисковых систем, которые регулярно проверяют сайты на безопасность.
Способы избежать угроз безопасности
Все методы защиты сайта можно условно разделить на три направления:
- Защитить систему управления содержимым сайта, или просто CMS.
- Защитить сам сервер.
- Защитить компьютер администратора.
Защита CMS
Чтобы предотвратить угрозы безопасности CMS, на которой работает сайт, используйте следующие способы защиты:
- Протокол SSL, который позволит защитить данные благодаря шифрованию. Чтобы подключить такой протокол, нужно получить специальный сертификат с электронной подписью.
- Современный движок. Обязательно обновляйте CMS, так как с каждым обновлением ее создатели устраняют ошибки и добавляют новые преграды для злоумышленников.
- Надежные скрипты. Чтобы не пропустить вирус или троян из плагинов и программ, тщательно проверяйте их источники и используйте только официальные и лицензионные компоненты.
- Защитные плагины. Ставьте специальные плагины, которые помогут защитить сайт и избежать угроз безопасности. Например, iThemes Security или Wordfence.
Защита со стороны сервера
Чтобы обезопасить сервер от мошенников, соблюдайте несложные правила информационной безопасности:
- Не раздавайте доступы к базе данных кому попало. Логин и пароль от админки должны быть только у надежных и проверенных сотрудников. Также разделяйте права, чтобы любой не мог удалять и перемещать файлы, редактировать страницы.
- С помощью специальных плагинов мониторьте, что пользователи вводят у вас на портале. Так вы обезопасите себя от спам-сообщений и XSS-атак.
- Регулярно меняйте пароли. Каждый пароль должен состоять из сложной комбинации букв и цифр. Избегайте популярные пароли: даты рождения, имена, номера телефонов и т.п. Также лучше не сохранять пароли в браузере.
- Не забывайте делать бэкап. Копия сайта поможет откатить изменения, если что-то пойдет не так.
- Усложните вход в админку. Например, включите двухфакторную верификацию или вход через одноразовый пароль по СМС.
Защита самого компьютера
Важно, чтобы компьютеры администратора и всех, кто имеет доступ к админке, были не заражены вирусами. Для решения этой задачи устанавливают антивирусы: Avast, NOD32, Kaspersky Internet Security, Norton и другие.
Как узнать, заражен ли вирусом сайт?
Если вы подозреваете, что ваш ресурс уже заражен вирусом, проверьте это с помощью специальных онлайн-сервисов. Сделать это просто: вводите URL сайта, ждете и получаете результат проверки.
Например, можете попробовать Antivirus-alarm, который найдет вирусы, защитит от ботов, предупредит о подозрительных активностях и заодно избавится от троянов.
Есть и другие сервисы для проверки: VitusTotal, ReScan, Sucuri и т.д.
— Если вы не хотите, чтобы ваши данные и данные ваших клиентов утекли в сеть, чтобы ваш сайт перестал работать в самую горячую пору продаж, или чтобы с помощью вашего веб-ресурса мошенники зарабатывали без вашего ведома, обязательно позаботьтесь о должной безопасности.
