Éviter les désastres du CMS : élever votre sécurité WordPress au niveau supérieur

Personne ne veut être le prochain gros titre de l'actualité pour avoir subi une violation des données client ou un effondrement catastrophique du site.

Les menaces en ligne existent aujourd'hui sous diverses formes, des bots recherchant les vulnérabilités connues aux script kiddies, aux cybergangs et même aux acteurs des États-nations.

Pour les équipes informatiques assiégées, s'assurer qu'une présence en ligne n'est pas compromise peut sembler plus qu'un travail à temps plein, « courir juste pour rester immobile ». Malheureusement, cela laisse souvent très peu de bande passante pour la véritable tâche de préparer un site, son infrastructure et son activité pour son état futur.

Dans le quatrième de notre série Éviter les catastrophes CMS , nous explorons cinq façons dont les organisations et leurs responsables informatiques peuvent renforcer leurs sites et applications contre les attaques malveillantes, protéger les données sensibles des clients et garder leur entreprise toujours ouverte aux affaires.

• Gestion des vulnérabilités
• Sécurité Internet
• Protection des données
• Accès et authentification
• Récupération de violation

1. Gestion des vulnérabilités

L'identification et l'atténuation des vulnérabilités logicielles peuvent être une tâche écrasante, même pour les plus grandes équipes informatiques.

La gestion des vulnérabilités nécessite une identification, une classification, une hiérarchisation, une gestion et une correction continues des vulnérabilités au sein de l'infrastructure de votre organisation. Selon le National Cyber ​​​​Security Centre du Royaume-Uni, "l'exploitation des vulnérabilités connues des logiciels reste la principale cause d'incidents de sécurité".

Analyse des vulnérabilités

L'analyse périodique de votre réseau pour surveiller toute nouvelle vulnérabilité ou tout accès ouvert involontaire aux machines est un must pour toute organisation qui souhaite minimiser sa surface d'attaque. Malheureusement, la maintenance du logiciel d'analyse, l'examen des résultats de l'analyse et leur mise en œuvre font souvent partie de la liste des priorités d'un service informatique très actif.

La réponse WordPress VIP :

Notre plate-forme assure la sécurité sur l'ensemble de votre réseau, de la sécurité en périphérie à la protection des données en transit entre les composants. Par exemple, la protection DDoS surveille en permanence le trafic Web et prend des mesures d'atténuation actives lorsqu'une activité suspecte est détectée. Des pare-feu basés sur le réseau et l'hôte avec des processus de notification en temps réel sont là pour empêcher les tentatives d'accès non autorisées.

Correction des vulnérabilités

La mise à jour de la couche d'application n'est qu'une étape du processus. Toutes les couches de support et l'infrastructure doivent également être tenues à jour. Parfois, des vulnérabilités sont exposées qui n'ont pas de correctif immédiat ou nécessitent une atténuation dans votre base de code.

Maintenir votre infrastructure d'applications à jour nécessite plusieurs étapes, notamment :

• Vérification des mises à jour pour chaque logiciel
• Construire la nouvelle version
• Tests sur votre architecture hors production
• S'assurer qu'aucun nouveau problème n'est introduit et résoudre ensuite ceux qui sont
• Mettre votre application de production en mode maintenance et déployer vos mises à jour

Remarque : Toutes ces étapes doivent être effectuées avec chaque correctif disponible à chaque couche de votre application.

Spécifiquement pour WordPress, il ne s'agit pas seulement de maintenir à jour l'infrastructure principale et sous-jacente. Les thèmes et plugins tiers doivent être mis à jour et corrigés régulièrement. Il est également important de reconnaître la qualité des plugins tiers ajoutés à votre site WordPress. Certains peuvent être mal codés ou introduire des failles de sécurité, par négligence ou par malveillance. Des outils tels que WPScan, SonarQube ou PHP_CodeSniffer peuvent vous aider à automatiser vos révisions de code pour détecter l'introduction d'exploits indésirables.

La réponse WordPress VIP :

Notre plateforme est gérée par des membres actifs de la communauté WordPress. Lorsqu'un problème survient, nous le corrigeons immédiatement, souvent avant que le correctif ne soit envoyé au code principal de WordPress. Pendant ce temps, nous alertons de manière proactive tous les clients de : 1) les prochaines mises à jour automatisées de WordPress, en vérifiant qu'ils sont sur la dernière version de notre plate-forme, et 2) les exploits de plugins dans la nature et les tentatives de correction de ces problèmes au niveau de la plate-forme .

Pour aller plus loin, nous utilisons des analyses de code automatisées pour les demandes d'extraction créées dans le référentiel GitHub d'une application. Cela peut identifier les problèmes de sécurité potentiels avant que le code n'entre en production (et est utile pour évaluer les plugins de l'écosystème WordPress au sens large.) En tirant parti de notre orchestration Kubernetes, WordPress VIP fournit des déploiements sans interruption pour les applications des clients.

Enfin, sur la base d'années d'expérience dans l'utilisation de WordPress à grande échelle, nous pouvons atténuer les vecteurs d'attaque courants, grâce à des tests continus de vulnérabilités de notre infrastructure et à l'engagement de tiers indépendants pour effectuer des tests de pénétration contre elle.

2. Sécurité du réseau

La sécurité du réseau est un élément essentiel de la présence en ligne d'une organisation.

La meilleure sécurité de sa catégorie signifie gérer à la fois la sécurité basée sur le périmètre et la sécurité du réseau interne. Ici, plusieurs facteurs doivent être pris en compte et gérés pour protéger efficacement les utilisateurs et leurs données.

Systèmes de détection d'intrusion

La surveillance et la journalisation de tout le trafic réseau sont essentielles pour identifier les activités malveillantes ou suspectes. Pour empêcher tout accès non autorisé, les équipes de sécurité ont besoin de règles automatisées ou d'alertes des administrateurs système pour examiner le trafic suspect et prendre les mesures appropriées.

Pare-feu

Comprendre quel trafic est autorisé à traverser votre réseau et comment les applications communiquent à l'intérieur et à l'extérieur du réseau est indispensable pour minimiser les risques de sécurité. Cela signifie définir et réviser les règles d'entrée/sortie à l'aide de pare-feu logiciels ou matériels, qui n'autorisent que le trafic réseau essentiel pour l'exécution de vos applications.

Bloquer ou autoriser le mauvais trafic pourrait empêcher un système vital de fonctionner ou, pire, exposer votre base de données au monde entier.

Sécurité du réseau physique

Un réseau est aussi sûr que sa sécurité physique. Les meilleurs pare-feu, systèmes de détection d'intrusion et logiciels de gestion des menaces peuvent tous être contournés par un acteur malveillant accédant physiquement à vos serveurs.

Les centres de données nécessitent plusieurs niveaux de sécurité physique, tels que :

• Contrôles d'accès physique
• Surveillance de l'environnement
• Alarmes et capteurs
• Surveillance
• Alimentation de secours

Tous ces éléments nécessitent également des audits périodiques pour s'assurer qu'ils respectent les meilleures pratiques de sécurité.

3. Protection des données

Aucune entreprise ne veut que sa fuite de données apparaisse sur haveibeenpwned.com à la vue du monde entier.

Les utilisateurs perdent rapidement confiance dans les entreprises qui ne protègent pas leurs données au niveau auquel ils s'attendent. S'assurer que seuls les utilisateurs autorisés et dotés d'un rôle peuvent accéder aux données sensibles des clients nécessite plusieurs couches de protection.

Cryptage des données

La communication entre votre application et vos utilisateurs doit être cryptée en transit pour éviter que les données ne soient interceptées ou falsifiées par un tiers. Transport Layer Security (TLS) est généralement utilisé pour chiffrer les données. Cela nécessite de créer des certificats TLS et de s'assurer qu'ils sont renouvelés.

Étant donné que les données peuvent également être chiffrées au repos, cela nécessite de protéger les données conservées sur des supports de stockage tels que les sauvegardes. Si un acteur malveillant y accède, il aura toujours besoin de la clé de chiffrement des données pour utiliser réellement les données.

La gestion des clés est une partie importante du chiffrement des données. Les clés ont plusieurs étapes dans leur cycle de vie : génération, distribution, utilisation, sauvegarde, rotation et destruction. A chaque étape, il existe des bonnes pratiques à suivre pour assurer la sécurité de vos données.

Des pistes de vérification

Garder un enregistrement chronologique de toutes les activités qui se produisent dans votre application à chaque niveau de la pile est essentiel pour toute entreprise. Les journaux d'audit sont nécessaires pour les enquêtes médico-légales, la détection des failles de sécurité et leur impact, et la compréhension des erreurs système.

Les pistes d'audit doivent rassembler des journaux pour plusieurs couches et applications, suffisamment sécurisées pour qu'elles ne puissent pas être modifiées par les utilisateurs. Et ils doivent garantir l'exactitude chronologique. Cela nécessite de savoir quelles actions doivent être enregistrées, de connecter plusieurs systèmes à un outil ELK tel que Kibana, de synchroniser les systèmes à l'aide du protocole NTP (Network Time Protocol) afin que les horodatages soient significatifs et de gérer l'accès aux journaux.

Alerte automatisée

Savoir ce qui définit un incident de sécurité, ce qui nécessite une évaluation manuelle et comment il doit être géré est un art en soi.

L'analyse automatisée des journaux peut signaler un comportement suspect à un stade précoce (si vous savez ce qu'il faut rechercher). Des outils avec des règles prédéfinies ou personnalisées peuvent être créés spécifiquement pour votre application. Cela nécessite de définir des paramètres dans votre analyse de journal pour savoir quand :

• Des actions automatisées doivent être exécutées pour se protéger contre les attaques et le trafic malveillant.
• L'équipe Systèmes doit intervenir manuellement pour examiner les schémas et essayer de déterminer s'il s'agit d'un comportement bénin faussement signalé ou si une action est requise.

Tout cela repose sur des outils bien configurés et une équipe de sécurité expérimentée qui comprend les habitudes d'utilisation de vos applications. Aucune entreprise ne veut qu'un élément de contenu devienne viral, seulement pour que son système le signale comme une attaque DDoS et bloque le trafic.

La réponse WordPress VIP :

Nous maintenons une infrastructure de base de données conteneurisée distincte pour chaque client et application, chacun avec sa propre authentification unique. Cela atténue le risque d'accès non autorisé entre les applications, protège les données de chaque client et réduit le risque d'attaque. Nous fournissons la sécurité des bases de données, des systèmes de fichiers, des applications et des centres de données, ainsi que des sauvegardes cryptées toutes les heures. Et nos centres de données d'origine sont conformes à la certification 27001 de l'Organisation internationale de normalisation (ISO), à la Commission électrotechnique internationale (CEI), aux normes pour les missions d'attestation (SSAE) n° 18 (SOC1) et SOC2 Type 2.

"La sécurité et la confidentialité sont des choses qui doivent être une priorité - nous avons une grosse cible sur nous, ce qui nous oblige à être hypervigilants."

—David "Hos" Hostetter, CTO numérique, Al Jazeera Media Network

Étude de cas : Pour un média ayant la portée et l'influence mondiales d'Al Jazeera, il était essentiel de migrer ses propriétés vers une plate-forme CMS renforcée contre les acteurs malveillants. Découvrez pourquoi ils ont choisi WordPress VIP.

4. Accès et authentification

Selon Telesign, plus de la moitié des consommateurs utilisent cinq mots de passe ou moins tout au long de leur vie en ligne et près de la moitié des consommateurs comptent sur un mot de passe qui n'a pas été modifié depuis cinq ans.

L'accès au compte d'un utilisateur peut être l'un des moyens les plus simples d'accéder à un système sécurisé. C'est pourquoi le contrôle d'accès granulaire, l'authentification multifacteur et/ou l'authentification unique sont si importants pour les organisations soucieuses de la sécurité.

Contrôles d'accès

Des contrôles d'accès granulaires et la mise en œuvre d'une politique de « moindre privilège » sont essentiels pour assurer la sécurité de vos données et réduire les surfaces d'attaque de votre application. La politique du moindre privilège stipule qu'un utilisateur ne doit recevoir que les autorisations nécessaires pour accomplir sa tâche. S'assurer que chaque utilisateur ne dispose pas de privilèges d'administrateur, par exemple, signifie que si un acteur malveillant obtient les informations d'identification d'un utilisateur, la probabilité qu'il puisse causer des dommages importants est limitée.

Authentification unique (SSO)

Avec SSO, les utilisateurs se connectent à plusieurs services via un ensemble d'identifiants de connexion. Si un utilisateur n'existe pas dans un service spécifique, il peut parfois être provisionné à la volée en utilisant le mappage des utilisateurs à partir du fournisseur d'identité du service. Des services comme Azure AD, Google Apps, AuthO ou OneLogin fournissent une fonctionnalité SSO.

L'authentification unique aide les services informatiques à définir des règles centralisées pour les utilisateurs, à réduire le temps de récupération des mots de passe perdus et à supprimer le besoin de provisionner et de déprovisionner manuellement les utilisateurs lors de l'intégration/de la désactivation.

Authentification multifacteur

L'utilisation de MFA fournit une couche supplémentaire de protection contre la compromission des utilisateurs de votre organisation.

MFA nécessite une combinaison d'au moins deux méthodes d'authentification pour se connecter. Généralement, il sera configuré avec un nom d'utilisateur et un mot de passe comme première couche d'authentification, suivis d'un jeton d'authentification basé sur le temps généré via un périphérique matériel ou un logiciel tel que Google Authenticator. L'avantage de ce processus est que même si le nom d'utilisateur et le mot de passe sont compromis, un utilisateur ne peut pas se connecter sans le jeton d'authentification et vice versa.

La réponse WordPress VIP :

WordPress VIP est construit sur une base de contrôles d'accès et d'autorisations granulaires, y compris l'authentification multifacteur, la protection contre la force brute, les pistes d'audit d'accès aux données et la sécurité physique. Ceux-ci fournissent une couche supplémentaire de protection contre les mots de passe compromis, empêchent les employés ou sous-traitants non autorisés d'accéder aux données des clients et appliquent dynamiquement des restrictions au niveau du réseau lorsqu'un comportement anormal est détecté.

5. Recouvrement de violation

Les sauvegardes automatisées et la redondance matérielle sont essentielles au bon fonctionnement de vos opérations commerciales en ligne quotidiennes.

Sauvegardes

Les sauvegardes sont essentielles pour la prévention des pertes de données, la prévention des attaques de ransomwares et la récupération rapide après les pannes. Il existe un certain nombre de meilleures pratiques de sauvegarde que chaque organisation doit suivre pour s'assurer qu'elle a le contrôle total et la redondance de ses données.

1. Sauvegardes régulières . Plus ils sont fréquents, mieux c'est en termes de réduction de votre objectif de point de récupération (RPO) et de minimisation de la perte de données.
2. Redondance de sauvegarde . Le stockage des sauvegardes dans plusieurs emplacements (par exemple, hors site) garantit que vous pouvez toujours y accéder, même si vous perdez l'accès à votre serveur principal.
3. Sauvegardes cryptées . Même si votre stockage de sauvegarde est compromis, les données seront inutiles sans la clé de cryptage.
4. Tests réguliers . Extrayez régulièrement vos sauvegardes et testez-les dans un environnement hors production pour vous assurer que votre équipe peut réellement restaurer votre site avec elles.

Redondance matérielle

Avoir des sauvegardes disponibles est peu ou pas utile sans matériel de sauvegarde sur lequel restaurer.

Cela nécessite du matériel redondant à l'intérieur et à l'extérieur de votre centre de données principal. Peu importe si le problème concerne un seul serveur ou l'ensemble du centre de données, votre équipe pourra accéder à ce matériel pour se remettre rapidement en ligne.

La réponse WordPress VIP :

Dans le cas improbable d'une violation, nous aidons les clients à récupérer rapidement et à reprendre leurs activités, grâce à plusieurs niveaux de sauvegarde (centre de données d'origine et emplacements hors site), ainsi qu'à des procédures de reprise après sinistre et de violation de la sécurité. Nous offrons également la possibilité d'expédier automatiquement vos sauvegardes vers votre propre stockage S3 pour vous assurer que vous pouvez définir vos propres politiques de conservation des données ou même exécuter des tests de récupération automatisés. En utilisant plusieurs niveaux de stockage redondants, nous pouvons reconstruire les données dans leur état d'origine ou de dernière réplication avant le moment où elles ont été perdues. WordPress VIP dispose également de plusieurs centres de données d'origine vers lesquels les sites peuvent être migrés dans le cas improbable d'une défaillance d'un seul centre de données.

En conclusion

De la gestion des vulnérabilités à la récupération des failles, le fonctionnement de WordPress VIP donne aux organisations la possibilité de tirer parti d'années d'expérience dans le maintien en ligne de sites WordPress de haut niveau et à grande échelle et en toute sécurité face aux menaces.

Construit avec plusieurs niveaux de contrôles de sécurité et de protection, y compris la protection des bords, la mise en réseau sécurisée, des contrôles d'accès robustes, une surveillance continue de la sécurité et l'analyse de code, WordPress VIP répond aux exigences de sécurité les plus strictes. C'est pourquoi les clients des secteurs à haut risque tels que la banque, les produits pharmaceutiques, les services publics et le gouvernement lui font confiance. Nous sommes également la seule plate-forme WordPress à obtenir FedRAMP Authority to Operate (ATO).

Vous souhaitez passer à un CMS éprouvé et plus sécurisé ? En savoir plus sur WordPress VIP, y compris nos racines profondes dans les logiciels open source. Et juste pour mémoire, vous pouvez aller de l'avant et vérifier l'état de notre plate-forme WordPress VIP dès maintenant.