20 октября 2017 года при поддержке Impact Hub Moscow прошел митап «Теория и практика безопасности сайтов». Участники узнали, как происходят взломы сайтов и что нужно знать, чтобы предотвратить их.
На встрече выступил Григорий Земсков, эксперт по информационной безопасности, директор компании «Ревизиум», участник программы «Пасека».
Прежде чем заниматься вопросами безопасности сайтов стоит задать себе пять вопросов:
- Для каких целей вам нужен сайт? Например, сайт может быть инструментом для бизнеса, информационным порталом, дополнительным каналом коммуникации.
- Если сайт перестанет работать, то сколько дней простоя допустимо для вас?
- Насколько вам важно, чтобы сайт не блокировался антивирусами и рекламой? Сайт, который распространяет вирусный код, блокируется поисковыми системами, и трафик проседает на 99%.
- Насколько важна репутация сайта и какие потери принесут вам аномалии на сайте (реклама, баннеры на развлекательные сайты)?
- Сколько вы хотели бы экономить на технической поддержке сайта?
«Любые действия,направленные на поддержку сайта требует или времени, или денег. Если заранее побеспокоиться о защите сайтов, то многие проблемы можно предупредить». Григорий Земсков.
Какие могут быть проблемы сайта?
- Технические проблемы при заражении с повреждением функционала сайта. Например, вместо главной страницы появляется черный экран с посланием от взломщиков. Или может быть блокировка доступа к сайту со стороны хостинга в случае заметной спам-рассылки или вирусных баннеров. За спам вас могут внести в базу спамеров. Чтобы исключить себя из этого списка нужно обращаться не к хостингу, а к интернет-провайдеру.
- Взлом сайтов может нести и финансовые потери.
«Был печальный случай, когда на одном из сайтов, собирающих сбор пожертвований на лечение в Израиле, был подменен счет. В результате деньги переходили мошенникам, и фонд узнал об этом после закрытия сбора». Григорий Земсков.
Про ботов и хакеров
Если вы ведете статистику посещаемости сайтов, то будьте уверены, что треть ваших пользователей – это боты, которые сканируют сайт на уязвимость и ищут чувствительные файлы.
«Если CMS сайта давно не обновлялась, то, вероятнее всего, вас уже взломали. 61% владельцев сайтов не подозревает, что взлом уже произошел».Григорий Земсков.
«Сейчас практически невозможно найти того, кто взламывает. Это делают боты. Хакер нажимает кнопку и уходит пить чай. Через полчаса у него есть выборка сайтов, которые взломаны с загруженными скриптами». Григорий Земсков.
«Число взломанных сайтов растет с каждым годом. За 2016 год число взломанных сайтов выросло на 32%. Каждый школьник может найти инструкции, ролики – это все находится в открытом доступе. Современные хакеры – ученики старших классов, первые курсы университета». Григорий Земсков.
Про кибератаки
Взлом – нахождение уязвимостей и попытка внедрить код. Атака – это попытка взлома. Атаки могут быть нецелевыми и целевыми.
При нецелевых атаках хакер не знает, что именно он взламывает. Перед ним стоит задача получить ресурсы хостинга и иметь возможность разослать несколько тысяч писем.
«В 90% случаях вы попадаете под случайную раздачу в хакерской выборке. 10% – это взлом по заказу. Нецелевые атаки – урок для пользователей, чтобы задумались о безопасности». Григорий Земсков.
Типичные атаки:
- Тема письма или баннер провоцирует вас на клик.
- Письмо может быть с предложением подтвердить права на ваш домен и загрузить необходимые файлы. Таким образом человек самостоятельно себя заражает.
- Продвижение коммерческих сайтов через «черное SЕО». Этот пункт больше развит в азиатском Интернете, где репутация сайта зависит от индекса цитируемости и количестве гиперссылок на него с других сайтов.
- Фишинговые атаки с перенаправлением пользователя на платные СМС-подписки или развлекательные ресурсы.
C чего начинается защита сайтов?
- Установите технические средства защиты: веб-приложений, фаервол, плагин для сайта.
«Если вы совсем не технический человек, то можете поставить плагин на сайт. Но это не эффективно. Защита должна работать на более низком уровне, чем сайт. Плагин – это план Б, не А». Григорий Земсков.
- Контролируйте и меняйте пароли к хостингу, базе данных, административной панели, почтовому ящику. Если вы предоставляете доступ к сайту третьим лицам, то давайте им учетки с ограниченным доступом и меняйте пароли после окончания работы. Также делайте аудит сайта после подрядчика: не появились ли после него вирусы.
«Безопасность – процесс, а не конечное действие. Нужно следить за рабочим местом: ставить антивирус, обновлять операционную систему, не подключаться к общедоступному интернету и не делать платежи через него». Григорий Земсков.
- Создавайте резервные копии на жесткий диск и на облачный сервис. Проверяйте, что все базы данных действительно скопировались и отображаются правильно. Хостинг делает копию вашего сайта раз в неделю, но резервный диск хостинга может выйти из строя.
У компании «Ревизимум» есть два бесплатных приложения для базовой проверки безопасности сайта:
- Сканер AI-BOLIT проверяет файлы на вирусы;
- Веб-сканер ReScan.Pro проверяет страницы и базы данных.
Скачайте презентацию Григория Земскова в формате PDF.