Безопасность сайта: что важно помимо замка SSL

Сертификат SSL/TLS это технология, шифрующая данные, идущие между браузером посетителя и сервером сайта; он отображается как значок замка в адресной строке.

Это шифрование мешает третьей стороне, вклинившейся посередине, читать данные во время заполнения формы или оплаты. Это важно, но не означает, что сам сайт защищён.

Если в фоне тихо работает старый, не обновлённый плагин, сертификат SSL никак не закрывает оставленную им брешь; шифрование защищает путь данных, а не саму цель.

Обновление сайта означает установку через регулярные промежутки новых версий всего, на чём он работает, ядра CMS, плагинов, серверного софта, потому что эти версии обычно закрывают известные бреши безопасности.

В момент, когда уязвимость становится публично известной, начинаются автоматические сканирования, нацеленные именно на эту брешь; сайт, медленный с обновлениями, может быть найден и атакован просто по сканированию версии его софта, без того, чтобы человек хоть раз выбрал его отдельно.

Если система бронирования сети спа-салонов работает на старом плагине, месяцами оставшемся без патча, проблема с высокой вероятностью идёт от этого плагина, а не от замка.

Когда ответственность за обновления чётко не закреплена, образуется пробел, в котором каждый предполагает, что этим занимается кто-то другой; этот пробел может оставаться незамеченным месяцами. Поэтому стоит явно закрепить, кто отвечает за обновления, конкретного человека или агентство.

Резервная копия означает копирование файлов и базы данных сайта через регулярные промежутки в отдельное место, что даёт возможность восстановить сайт после атаки, сбоя сервера или случайно удалённого контента.

Какими бы хорошими ни были обновления и меры безопасности, ни одна система не гарантирует нулевой риск. Без резервной копии нет точки, к которой можно вернуться, если что-то пойдёт не так.

Десятилетний архив блога производителя может исчезнуть без возможности восстановления за считаные часы при сбое сервера без резервной копии; этот сценарий не имеет отношения к взлому, это чисто техническая неисправность.

Заголовки безопасности это технические настройки, которыми веб-сервер сообщает браузеру правила вроде «на этой странице может выполняться только такой тип контента» или «данные могут загружаться только из этих источников».

Эти настройки способны помешать выполнению фрагмента вредоносного кода, который третья сторона пытается внедрить в сайт; опубликованное OWASP руководство по заголовкам безопасности технически описывает, какой сценарий блокирует каждый из них.

Обычно эти настройки работают незаметно, пользователь не видит никакой разницы; но если они отсутствуют или настроены неправильно, поверхность атаки сайта расширяется.

Их настройка обычно занимает несколько часов технической работы; настоящая сложность не в самой настройке, а в том, чтобы верно определить, какие именно параметры подходят конкретно этому сайту.

Знать технические детали не обязательно, но стоит задать четыре вопроса: как часто обновляются плагины и софт, есть ли регулярная и проверенная резервная копия, настроены ли заголовки безопасности, обновляется ли сертификат SSL автоматически.

Если ответы на эти четыре вопроса неясны, следующий шаг это не сложный технический проект, а просто передача правильных вопросов разработчику или агентству; ответы обычно проясняются за несколько дней.

• Как часто обновляются софт и плагины
• Делается ли резервная копия регулярно и проверялось ли восстановление на практике
• Настроены ли заголовки безопасности
• Обновляется ли сертификат SSL автоматически и когда истекает его срок

Большинство атак начинаются не как в кино, когда человек за экраном выбирает конкретный бизнес мишенью. Автоматический инструмент сканирования проверяет миллионы сайтов в интернете на конкретную версию софта; если у этой версии есть известная уязвимость, сайт автоматически попадает в список.

Как только этот список сформирован, другой автоматический инструмент пытается использовать уязвимость против каждого сайта из него. При успехе на сайт помещается вредоносный код; этот код может перенаправлять посетителей на другой сайт, рассылать спам-письма или красть данные.

В этом сценарии размер или известность бизнеса не имеют никакого значения; сканируется номер версии софта, а не бизнес. Регулярные обновления это именно то, что не даёт сайту попасть в этот первый список.

Этот цикл часто протекает настолько тихо, что бизнес может заметить его лишь через недели; сайт может продолжать выглядеть совершенно нормально снаружи, пока в фоне размещён вредоносный код. Регулярное сканирование безопасности выявляет такие тихие проблемы на раннем этапе.

Цель делиться этой информацией не в том, чтобы напугать; напротив, она показывает, что безопасность это не таинственная специализация, а нечто в основном управляемое несколькими регулярными привычками.