Evitar el desastre de CMS: elevar la seguridad de WordPress al siguiente nivel

Nadie quiere ser el próximo titular de noticias de última hora por sufrir una violación de datos de un cliente o un colapso catastrófico del sitio.

Las amenazas en línea existen hoy en varias formas, desde bots que buscan vulnerabilidades conocidas hasta script kiddies, bandas cibernéticas e incluso actores de estados nacionales.

Para los equipos de TI asediados, garantizar que una presencia en línea no se vea comprometida puede parecer más que un trabajo de tiempo completo, "correr solo para quedarse quieto". Desafortunadamente, eso a menudo deja muy poco ancho de banda para la tarea real de preparar un sitio, su infraestructura y el negocio para su estado futuro.

En el cuarto de nuestra serie Evitar desastres de CMS , exploramos cinco formas en que las organizaciones y sus guardianes de TI pueden fortalecer sus sitios y aplicaciones contra ataques maliciosos, proteger los datos confidenciales de los clientes y mantener su negocio siempre abierto para los negocios.

• Gestión de vulnerabilidades
• Seguridad de la red
• Protección de Datos
• Acceso y autenticación
• Recuperación de brechas

1. Gestión de vulnerabilidades

Identificar y mitigar las vulnerabilidades del software puede ser una tarea abrumadora, incluso para los equipos de TI más grandes.

La gestión de vulnerabilidades requiere una identificación, clasificación, priorización, gestión y reparación continuas de las vulnerabilidades dentro de la infraestructura de su organización. Según el Centro Nacional de Seguridad Cibernética del Reino Unido, "La explotación de vulnerabilidades conocidas en el software sigue siendo la mayor causa de incidentes de seguridad".

Escaneo de vulnerabilidades

El escaneo periódico de su red para monitorear nuevas vulnerabilidades o acceso abierto no deseado a las máquinas es imprescindible para cualquier organización que quiera minimizar su superficie de ataque. Desafortunadamente, el mantenimiento del software de escaneo, la revisión de los resultados del escaneo y la puesta en marcha a menudo se encuentran en la lista de prioridades en un departamento de TI ocupado.

La respuesta VIP de WordPress:

Nuestra plataforma brinda seguridad en toda su red, desde seguridad perimetral hasta protección de datos en tránsito entre componentes. Por ejemplo, la protección DDoS monitorea continuamente el tráfico web y toma medidas de mitigación activas cuando se detecta actividad sospechosa. Los cortafuegos basados ​​en la red y el host con procesos de notificación en tiempo real están ahí para evitar intentos de acceso no autorizado.

Remediación de vulnerabilidad

Mantener la capa de aplicación actualizada es solo un paso en el proceso. Todas las capas de soporte y la infraestructura también deben mantenerse actualizadas. A veces, se exponen vulnerabilidades que no tienen un parche inmediato o que requieren mitigación en su base de código.

Mantener actualizada la infraestructura de sus aplicaciones requiere varios pasos, que incluyen:

• Comprobación de actualizaciones para cada pieza de software
• Construyendo el nuevo lanzamiento
• Pruebas en su arquitectura de no producción
• Asegurarse de que no se introduzcan nuevos problemas y, posteriormente, solucionar los que sean
• Poner su aplicación de producción en modo de mantenimiento e implementar sus actualizaciones

Nota: Todos estos pasos deben realizarse con cada parche disponible en cada capa de su aplicación.

Específicamente para WordPress, no se trata solo de mantener actualizada la infraestructura central y subyacente. Los temas y complementos de terceros deben actualizarse y parchearse periódicamente. También es importante reconocer la calidad de los complementos de terceros agregados a su sitio de WordPress. Algunos pueden estar mal codificados o presentar vulnerabilidades de seguridad, de forma negligente o malintencionada. Herramientas como WPScan, SonarQube o PHP_CodeSniffer pueden ayudar a automatizar las revisiones de código para detectar vulnerabilidades no deseadas que se introduzcan.

La respuesta VIP de WordPress :

Nuestra plataforma es administrada por miembros activos de la comunidad de WordPress. Cuando surge un problema, lo reparamos de inmediato, a menudo antes de que la solución se envíe al código central de WordPress. Mientras tanto, alertamos de manera proactiva a todos los clientes sobre: ​​1) próximas actualizaciones automáticas de WordPress, verificando que estén en la última versión de nuestra plataforma, y ​​2) vulnerabilidades de complementos en la naturaleza e intentos de parchear estos problemas a nivel de plataforma .

Yendo más profundo, usamos escaneos de código automatizados para solicitudes de incorporación de cambios creadas en el repositorio de GitHub de una aplicación. Esto puede identificar posibles problemas de seguridad antes de que el código entre en producción (y es útil para evaluar complementos del ecosistema más amplio de WordPress). Aprovechando nuestra orquestación de Kubernetes, WordPress VIP proporciona implementaciones sin tiempo de inactividad para las aplicaciones de los clientes.

Finalmente, con base en años de experiencia ejecutando WordPress a escala, podemos mitigar los vectores de ataque comunes, gracias a la prueba continua de vulnerabilidades en nuestra infraestructura y la participación de terceros independientes para ejecutar pruebas de penetración en su contra.

2. Seguridad de la red

La seguridad de la red es una parte vital de la presencia en línea de una organización.

La mejor seguridad de su clase significa administrar tanto la seguridad basada en el perímetro como la seguridad de la red interna. Aquí se deben considerar y gestionar múltiples factores para proteger eficazmente a los usuarios y sus datos.

Sistema de deteccion de intrusos

Monitorear y registrar todo el tráfico de la red es esencial para identificar actividades maliciosas o sospechosas. Para evitar el acceso no autorizado, los equipos de seguridad necesitan reglas automatizadas o administradores de sistemas de alerta para revisar el tráfico sospechoso y tomar las medidas adecuadas.

cortafuegos

Comprender qué tráfico puede atravesar su red y cómo las aplicaciones se comunican dentro y fuera de la red es imprescindible para minimizar los riesgos de seguridad. Esto significa configurar y revisar las reglas de ingreso/egreso utilizando firewalls de software o hardware, que permiten solo el tráfico de red esencial para que se ejecuten sus aplicaciones.

Bloquear o permitir el tráfico incorrecto podría evitar que un sistema vital funcione o, peor aún, exponer su base de datos al mundo.

Seguridad de la red física

Una red es tan segura como su seguridad física. Los mejores firewalls, sistemas de detección de intrusos y software de gestión de amenazas pueden ser eludidos por un actor malicioso que obtenga acceso físico a sus servidores.

Los centros de datos requieren varios niveles de seguridad física, como:

• Controles de acceso físico
• Vigilancia del entorno
• Alarmas y sensores
• Vigilancia
• Energía de respaldo

Todos estos también necesitan auditorías periódicas para garantizar que cumplan con las mejores prácticas de seguridad.

3. Protección de datos

Ninguna empresa quiere que su fuga de datos aparezca en haveibeenpwned.com para que todo el mundo la vea.

Los usuarios pierden la confianza rápidamente con las empresas que no protegen sus datos al nivel que esperan. Garantizar que solo los usuarios autorizados y con funciones específicas puedan acceder a los datos confidenciales de los clientes requiere varias capas de protección.

Cifrado de datos

La comunicación entre su aplicación y sus usuarios debe cifrarse en tránsito para evitar que un tercero intercepte o manipule los datos. La seguridad de la capa de transporte (TLS) se utiliza generalmente para cifrar los datos. Esto requiere crear certificados TLS y asegurarse de que se renueven.

Debido a que los datos también se pueden cifrar en reposo, esto requiere proteger los datos guardados en medios de almacenamiento, como copias de seguridad. Si un actor malicioso obtiene acceso, aún necesitará la clave de cifrado de datos para usar los datos.

La gestión de claves es una parte importante del cifrado de datos. Las claves tienen varias etapas en su ciclo de vida: generación, distribución, uso, copia de seguridad, rotación y destrucción. En cada etapa, hay mejores prácticas a seguir para mantener sus datos seguros.

Pistas de auditoría

Mantener un registro cronológico de todas las actividades que ocurren dentro de su aplicación en cada nivel de la pila es esencial para cualquier empresa. Los registros de auditoría son necesarios para las investigaciones forenses, la detección de infracciones de seguridad y su impacto y la comprensión de los errores de los sistemas.

Los registros de auditoría deben cotejar registros para múltiples capas y aplicaciones, lo suficientemente seguros como para que los usuarios no puedan modificarlos. Y deben garantizar la precisión cronológica. Esto requiere saber qué acciones deben registrarse, conectar varios sistemas a una herramienta ELK como Kibana, sincronizar los sistemas mediante el protocolo de tiempo de red (NTP) para que las marcas de tiempo sean significativas y administrar el acceso a los registros.

Alertas automatizadas

Saber qué define un incidente de seguridad, qué requiere una evaluación manual y cómo deben gestionarse es un arte en sí mismo.

El análisis de registros automatizado puede señalar comportamientos sospechosos en una etapa temprana (si sabe qué buscar). Se pueden crear herramientas con reglas predefinidas o personalizadas específicas para su aplicación. Esto requiere establecer parámetros dentro de su análisis de registro para saber cuándo:

• Se deben ejecutar acciones automatizadas para proteger contra ataques y tráfico malicioso.
• El equipo de sistemas debe intervenir manualmente para examinar los patrones y tratar de determinar si se trata de un comportamiento benigno marcado falsamente o si se requiere una acción.

Todo esto se basa en herramientas bien configuradas y un equipo de seguridad experimentado que comprende los patrones de uso de sus aplicaciones. Ninguna empresa quiere que un contenido se vuelva viral, solo que su sistema lo marque como un ataque DDoS y bloquee el tráfico.

La respuesta VIP de WordPress :

Mantenemos una infraestructura de base de datos en contenedores separada para cada cliente y aplicación, cada uno con su propia autenticación única. Esto mitiga el riesgo de acceso no autorizado entre aplicaciones y protege los datos de cada cliente y reduce el riesgo de ataque. Proporcionamos seguridad de bases de datos, sistemas de archivos, aplicaciones y centros de datos, así como copias de seguridad cifradas cada hora. Y nuestros centros de datos de origen cumplen con la certificación 27001 de la Organización Internacional de Normalización (ISO), la Comisión Electrotécnica Internacional (IEC), las Normas para Compromisos de Atestación (SSAE) N.º 18 (SOC1) y SOC2 Tipo 2.

“La seguridad y la privacidad son cosas que deben tenerse en cuenta: tenemos una gran diana sobre nosotros, lo que nos obliga a estar hipervigilantes”.

—David "Hos" Hostetter, director de tecnología digital, Al Jazeera Media Network

Caso de estudio: Para un medio de comunicación con el alcance global y la influencia de Al Jazeera, era esencial migrar sus propiedades a una plataforma CMS reforzada contra actores maliciosos. Lea por qué eligieron WordPress VIP.

4. Acceso y autenticación

Según Telesign, más de la mitad de los consumidores usan cinco o menos contraseñas durante toda su vida en línea y casi la mitad de los consumidores confían en una contraseña que no se ha cambiado en cinco años.

Obtener acceso a la cuenta de un usuario puede ser una de las formas más fáciles de acceder a un sistema seguro. Es por eso que el control de acceso granular, la autenticación multifactor y/o el inicio de sesión único son tan importantes para las organizaciones preocupadas por la seguridad.

Controles de acceso

Los controles de acceso granulares y la implementación de una política de "privilegio mínimo" son vitales para mantener sus datos seguros y reducir las superficies de ataque para su aplicación. La política de privilegios mínimos establece que un usuario debe recibir solo los permisos necesarios para completar su tarea. Garantizar que todos los usuarios no tengan privilegios de administrador, por ejemplo, significa que si un actor malicioso obtiene las credenciales de un usuario, la probabilidad de que pueda causar un daño significativo es limitada.

Inicio de sesión único (SSO)

Con SSO, los usuarios inician sesión en múltiples servicios a través de un conjunto de credenciales de inicio de sesión. Si un usuario no existe en un servicio específico, a veces se puede aprovisionar sobre la marcha utilizando el mapeo de usuarios del proveedor de identidad del servicio. Servicios como Azure AD, Google Apps, AuthO o OneLogin brindan la funcionalidad SSO.

SSO ayuda a los departamentos de TI a establecer reglas centralizadas para los usuarios, reducir el tiempo de recuperación de contraseñas perdidas y eliminar la necesidad de aprovisionar y desaprovisionar manualmente a los usuarios durante la incorporación/desconexión.

Autenticación multifactor

El uso de MFA proporciona una capa adicional de protección contra los usuarios de su organización que se ven comprometidos.

MFA requiere una combinación de al menos dos métodos de autenticación para iniciar sesión. Por lo general, se configurará con un nombre de usuario y una contraseña como primera capa de autenticación, seguida de un token de autenticación basado en el tiempo generado a través de un dispositivo de hardware o software como Google Authenticator. El beneficio de este proceso es que incluso si el nombre de usuario y la contraseña se ven comprometidos, un usuario no puede iniciar sesión sin el token de autenticación y viceversa.

La respuesta VIP de WordPress :

WordPress VIP se basa en una base de permisos y controles de acceso granulares, que incluyen autenticación multifactor, protección de fuerza bruta, registros de auditoría de acceso a datos y seguridad física. Estos brindan una capa adicional de protección contra contraseñas comprometidas, evitan que empleados o contratistas no autorizados accedan a los datos del cliente y aplican restricciones dinámicamente a nivel de red cuando se detecta un comportamiento no natural.

5. Recuperación de brechas

Las copias de seguridad automatizadas y la redundancia de hardware son vitales para el buen funcionamiento de sus operaciones comerciales en línea del día a día.

copias de seguridad

Las copias de seguridad son vitales para la prevención de pérdida de datos, la prevención de ataques de ransomware y la recuperación rápida de interrupciones. Hay una serie de mejores prácticas de copia de seguridad que toda organización debe seguir para asegurarse de tener control total y redundancia de sus datos.

1. Copias de seguridad periódicas . Cuanto más frecuente, mejor en términos de reducir su objetivo de punto de recuperación (RPO) y minimizar la pérdida de datos.
2. Redundancia de respaldo . El almacenamiento de copias de seguridad en varias ubicaciones (por ejemplo, fuera del sitio) garantiza que aún pueda acceder a ellas, incluso si pierde el acceso a su servidor principal.
3. Copias de seguridad cifradas . Incluso si su almacenamiento de respaldo se ve comprometido, los datos serán inútiles sin la clave de cifrado.
4. Pruebas periódicas . Extraiga regularmente sus copias de seguridad y pruébelas en un entorno que no sea de producción para asegurarse de que su equipo realmente pueda restaurar su sitio con ellas.

Redundancia de hardware

Tener copias de seguridad disponibles es poco o nada útil sin un hardware de copia de seguridad para restaurar.

Esto requiere hardware redundante dentro y fuera de su centro de datos principal. No importa si el problema es con un solo servidor o con todo el centro de datos, su equipo podrá acceder a este hardware para volver a estar en línea rápidamente.

La respuesta VIP de WordPress :

En el improbable caso de una infracción, ayudamos a los clientes a recuperarse rápidamente y volver al negocio, gracias a múltiples niveles de copia de seguridad (centro de datos de origen y ubicaciones externas), además de procedimientos de recuperación ante desastres y brechas de seguridad. También brindamos la capacidad de enviar automáticamente sus copias de seguridad a su propio almacenamiento S3 para garantizar que pueda establecer sus propias políticas de retención de datos o incluso ejecutar pruebas de recuperación automatizadas. Al utilizar varios niveles de almacenamiento redundante, podemos reconstruir los datos en su estado original o en la última réplica antes del momento en que se perdieron. WordPress VIP también tiene varios centros de datos de origen a los que se pueden migrar los sitios en el improbable caso de que falle un único centro de datos.

En conclusión

Desde la gestión de vulnerabilidades hasta la recuperación de brechas, trabajar con WordPress VIP brinda a las organizaciones la oportunidad de aprovechar años de experiencia manteniendo en línea sitios de alto perfil y de gran escala basados ​​en WordPress y seguros frente a las amenazas.

Creado con múltiples niveles de protección y controles de seguridad, incluida la protección perimetral, redes seguras, controles de acceso sólidos, monitoreo de seguridad continuo y escaneo de códigos, WordPress VIP cumple con los requisitos de seguridad más exigentes. Es por eso que los clientes de industrias de alto riesgo como la banca, los productos farmacéuticos, los servicios públicos y el gobierno confían en él. También somos la única plataforma de WordPress en lograr la Autoridad para operar (ATO) de FedRAMP.

¿Desea actualizar a un CMS más seguro y probado en batalla? Obtenga más información sobre WordPress VIP, incluidas nuestras profundas raíces en el software de código abierto. Y solo para que conste, puede continuar y verificar el estado de nuestra plataforma VIP de WordPress ahora mismo.