Как защитить сайт от вирусов и взлома

Инструкция, как обезопасить сайт от вредоносного кода

Сразу оговоримся, что защитить сайт от вирусов или неправомерного доступа на 100% вряд ли возможно. На любое ваше действие найдется противодействие, поскольку совершенствуются не только системы безопасности, но и способы их обхода. Хакеры изобретают новые виды угроз, находят лазейки, используют социальный инжиниринг. Предусмотреть все варианты просто нереально. Однако уберечься от львиной доли существующих киберугроз — задача выполнимая.

Чтобы защитить свой сайт от вирусов и взлома, соблюдайте рекомендации:

• Установите сложные пароли на серверное ПО.
• Используйте лицензионное программное обеспечение.
• Не используйте одинаковые пароли для разных сервисов.
• Проверьте свой ПК на вирусы надежным антивирусом.
• Обновите версии скриптов и CMS.
• Следите за новостями об уязвимостях используемой CMS.
• Контролируйте данные, вводимые пользователями.
• Контролируйте права доступа пользователей.
• Удалите ненужные расширения CMS.
• Настройте резервное копирование.
• Выбирайте надежного хостинг-провайдера.
• Подключите HTTPS-протокол.
• Установите антивирус на сайт.
• Используйте дистрибутивы и расширения только из проверенных источников.
• Регулярно проверяйте сайт на наличие вирусов.
• Защита базы данных от SQL-инъекций.

Ниже мы рассмотрим каждый пункт подробнее.

№1. Установите сложные пароли на серверное ПО

К программному обеспечению сервера относятся FTP-клиенты, административные панели управления хостингом, системы управления контентом (CMS), базы данных и пр. Защитите сложными паролями все программы и учетные записи, через которые можно хотя бы косвенно получить доступ к файлам сайта. Существует множество приложений, в том числе бесплатных, способных подбирать пароли, поэтому варианты вроде «123456» или «oleg1995» угадываются на раз. Сложным считается пароль длиной от 11 символов (чем длиннее, тем безопаснее), включающий цифры, буквы разных регистров и допустимые специальные символы. Например, XQ!wvRl7!U8i.

№2. Используйте лицензионное программное обеспечение

Бесплатный сыр бывает только в мышеловке, и каждому веб-мастеру стоит помнить об этом, когда он собирается использовать пиратские версии ПО. Человек, однажды уже взломавший чей-то продукт, также легко может взломать и ваш сайт — особенно, если вы сами скачаете и установите результат его предыдущей работы. В коды нелицензионных программ часто вшиты вирусы, которые впоследствии заражают компьютер.

№3. Не используйте одинаковые пароли для разных сервисов

Более того, рекомендуется менять пароли хотя бы на самых важных программах не реже одного раза в 1–3 месяца. Какими бы сложными и надежными они вам ни казались, риск случайной утечки присутствует всегда, и будет очень обидно, если один скомпрометированный пароль от учетной записи позволит хакерам получить доступ ко всем остальным вашим сервисам. Обязательно создавайте уникальные последовательности букв, цифр и символов и регулярно их обновляйте.

№4. Проверьте свой ПК на вирусы надежным антивирусом

И лучше делайте это периодически. Часто взломать сайт удается именно через внедрение вируса на персональный компьютер его администратора или владельца. Подключите хороший антивирус с обновляемыми базами на все устройства (даже смартфоны), имеющие доступ к админке сервера, и проводите их сканирование постоянно. Это поможет обезопасить не только сами устройства и хранящуюся на них информацию, но и веб-проекты, над которыми вы работаете с их помощью.

№5. Обновите версии скриптов и CMS

Убедитесь, что на сервере установлены и используются актуальные версии ПО. Скачивать обновления для скриптов и CMS следует только с официальных сайтов, куда их выкладывают сами разработчики. В противном случае в патче могут присутствовать ненужные фильтры, опасные скрипты, даже трояны. Системы менеджмента контента все время совершенствуются — не только функционально, но и в плане безопасности: закрываются найденные дыры, исправляются ошибки, улучшается защита. Своевременно обновляйте их и используйте только последние редакции, выпущенные официально.

№6. Следите за новостями об уязвимостях используемой CMS

Знания — сила, и в вопросе защиты сайта это правило работает как нельзя лучше. Ввиду того, что CMS-платформы обычно поддерживают множество плагинов и расширений от сторонних разработчиков, в них часто обнаруживаются уязвимые места, через эксплуатацию которых хакеры получают доступ к проектам, построенным с их помощью. Чтобы не допустить такого исхода, будьте вовлечены в сообщество пользователей своей системы и отслеживайте новости. Будьте в курсе происходящего, чтобы вовремя реагировать и устранять уязвимости до того, как их используют злоумышленники.

№7. Контролируйте данные, вводимые пользователями

Если на вашем сайте присутствуют какие-либо формы ввода и тем более, если у пользователей есть возможность загружать на сайт файлы (изображения, видео, документы и пр.), установите ограничения на такого рода операции. Запретите вводить в поля спецсимволы и код, фильтруйте HTML-разметку вводимых данных, особенно если затем они встраиваются в код страницы (например, отзывы в интернет-магазине). Прежде чем внедрить полученные от пользователя файлы на сайт, проверяйте на сервере, соответствуют ли они указанным требованиям: допустим ли размер, входят ли эти значения в допустимые интервалы и списки.

№8. Контролируйте права доступа пользователей

Пароли от административной панели и другого серверного ПО должны быть только у тех специалистов, которые непосредственно с ним работают. Не забывайте удалять аккаунты бывших сотрудников, а кроме того тщательно следите за доступом обычных пользователей к вашему сайту. В частности, ограничьте права на доступ к админке CMS, баз данных, к файлам конфигурации, резервным копиям, метаданным систем контроля версий. Также обязательно предусмотрите защиту от атаки CSRF (межсайтовой подделки запроса).

№9. Удалите ненужные расширения CMS

Снова к вопросу об актуальности системы управления контентом. Если в вашей панели установлены плагины, которыми вы давно не пользуетесь, удалите их из системы во избежание взлома. То же относится к установочным и отладочным скриптам. Раз они вам не нужны, то, скорее всего, вы давно их не обновляли, а это, как мы уже выяснили, ведет к появлению уязвимостей. Помните, что чем большее количество расширений добавлено к проекту, тем выше вероятность конфликта между ними и тем больше у злоумышленников возможностей заразить сайт вирусом.

№10. Настройте резервное копирование

Трудно преувеличить значение бэкапов. Помимо того, что резервные копии позволяют вам не беспокоиться о ситуациях вроде «не туда нажал, и все сломалось», они также являются единственным средством восстановления сайта после заражения вирусом. Вредоносный код не всегда действует сразу: он может неделями и даже месяцами сидеть внутри вашего проекта, постепенно заражая все больше файлов и влияя на их работу. Когда вы его обнаружите, будет уже поздно пытаться исправить положение, поскольку тогда придется перелопачивать код за несколько месяцев. В таком случае вас спасет только бэкап, сделанный до момента внедрения.

№11. Выбирайте надежного хостинг-провайдера

Защита от вирусов и взлома — ответственность не только ваша, но и хостинг-провайдера, на серверах которого размещен проект. У него должны иметься встроенные антивирусные средства, инфраструктура должна быть надежно защищена. Если не хотите, чтобы веб-сайт заразился из-за того, что кто-то из соседей по хостингу установил вредоносный код, откажитесь от бесплатных тарифов и подберите провайдера с высоким уровнем безопасности.

№12. Подключите HTTPS-протокол

Если вы по какой-то причине до сих пор этого не сделали, то озаботьтесь вопросом прямо сейчас. Использование небезопасного HTTP-протокола подвергает риску не только вас, но и ваших посетителей, поскольку данные передаются по сети в открытом виде и могут быть перехвачены на любом из узлов. Это способно привести к утечке персональной информации пользователей и, конечно, потере доверия — как со стороны людей, так и со стороны поисковых систем.

№13. Установите антивирус на сайт

Чтобы не возиться с кодом, выискивая зараженные участки, поставьте на сервер антивирус, который будет автоматически сканировать сайт на наличие вирусов и удалять вредоносные фрагменты. Разумеется, это платная услуга, доступная не на всех хостингах, поэтому уточните у провайдера, дает ли он такую возможность. Если нет, можно купить лицензию на нужное ПО (опять же, на официальном сайте) и внедрить его самостоятельно (при условии, что вид хостинга вам это позволяет)

№14. Используйте дистрибутивы и расширения только из проверенных источников

Повторение — мать учения, поэтому еще раз: не доверяйте сомнительным интернет-ресурсам, предлагающим скачать то или иное программное обеспечение в обход разработчика. Даже если оригинальное ПО распространяется свободно и на бесплатной основе, у него есть проверенный источник, к которому и нужно обратиться. Иначе — вирус с большой долей вероятности.

№15. Регулярно проверяйте сайт на наличие вирусов

Антивирусных проверок много не бывает, особенно, когда речь идет о важном веб-ресурсе. Лучше перебдеть и не обнаружить вирус за тысячу сканирований, чем недобдеть и обнаружить его слишком поздно. Проводите глубокие проверки на регулярной основе, даже если антивирус работает фоново. Прогоняйте его по базам известных сервисов, проверяйте после каждого обновления вирусных сигнатур в вашем средстве защиты.

№16. Защита базы данных от SQL-инъекций

SQL-инъекциями называют атаки, позволяющие злоумышленнику производить различные несанкционированные действия над базой данных, посредством внедрения в запрос произвольного SQL-кода. Для защиты от данного типа атак рекомендуется тщательно фильтровать входные параметры, значения которых будут использованы для построения SQL-запроса. Некоторые методы защиты:

1. Фильтрация строковых параметров. Чтобы внедрение кода было невозможно, для некоторых систем управления базами данных необходимо брать в кавычки все строковые параметры.
2. Фильтрация целочисленных параметров. Проверка типа: если переменная не является числом, запрос не должен выполняться.
3. Усечение входных параметров. Если максимальная длина корректного значения параметра небольшая, то одним из способов защиты может быть максимальное усечение значений входных параметров.

Другие рекомендации

Помимо всех вышеперечисленных методов, мы рекомендуем никогда не оставлять средства разработки и администрирования сайта (например, phpMyAdmin, Adminer и прочие скрипты) и его резервные копии (сайта или его базы данных) в каталоге самого сайта. Также следует дополнительно защищать админку сайта паролем и менять стандартный URL к ней. Эти способы помогут обезопасить ваш сайт от несанкционированного доступа и внедрения вредоносного кода.

Заключение

Чтобы эффективно защититься от взлома и заражения, необходимо думать наперед и предотвращать уязвимости, устранять саму возможность их появления. В сущности, главные шаги по защите от вирусов сводятся к ответственному контролю за доступом к админ-панели, за актуальностью используемого ПО, за работой антивирусных систем и грамотному администрированию сервера.

Автор: Макхост