Evitare il disastro del CMS: aumentare la sicurezza di WordPress al livello successivo

Nessuno vuole essere il prossimo titolo delle ultime notizie per aver subito una violazione dei dati dei clienti o un crollo catastrofico del sito.

Le minacce online oggi esistono in varie forme, dai bot che scansionano le vulnerabilità note agli script kiddies, alle cyber gang e persino agli attori degli stati nazionali.

Per i team IT assediati, garantire che una presenza online non sia compromessa può sembrare qualcosa di più di un lavoro a tempo pieno, "correre solo per stare fermi". Sfortunatamente, ciò spesso lascia una preziosa piccola larghezza di banda per il vero compito di preparare un sito, la sua infrastruttura e le attività per il suo stato futuro.

Nel quarto della nostra serie Avoiding CMS Disaster , esploriamo cinque modi in cui le organizzazioni e i loro tutori IT possono rafforzare i propri siti e applicazioni contro attacchi dannosi, proteggere i dati sensibili dei clienti e mantenere la propria attività sempre aperta al business.

• Gestione delle vulnerabilità
• Sicurezza della rete
• Protezione dati
• Accesso e autenticazione
• Recupero della violazione

1. Gestione delle vulnerabilità

L'identificazione e la mitigazione delle vulnerabilità del software può essere un compito arduo, anche per i più grandi team IT.

La gestione delle vulnerabilità richiede l'identificazione, la classificazione, l'assegnazione di priorità, la gestione e la correzione continue delle vulnerabilità all'interno dell'infrastruttura dell'organizzazione. Secondo il National Cyber ​​Security Centre del Regno Unito, "lo sfruttamento di vulnerabilità note nel software rimane la principale causa di incidenti di sicurezza".

Scansione delle vulnerabilità

La scansione periodica della rete per monitorare eventuali nuove vulnerabilità o accessi aperti non intenzionali alle macchine è un must per qualsiasi organizzazione che desideri ridurre al minimo la propria superficie di attacco. Sfortunatamente, la manutenzione del software di scansione, la revisione dei risultati della scansione e la relativa azione spesso rientrano nell'elenco delle priorità in un reparto IT impegnato.

La risposta VIP di WordPress:

La nostra piattaforma fornisce sicurezza in tutta la rete, dalla sicurezza perimetrale alla protezione dei dati in transito tra i componenti. Ad esempio, la protezione DDoS monitora continuamente il traffico Web e adotta misure di mitigazione attive quando viene rilevata un'attività sospetta. I firewall basati su rete e host con processi di notifica in tempo reale sono disponibili per prevenire tentativi di accesso non autorizzati.

Rimedio delle vulnerabilità

Mantenere aggiornato il livello dell'applicazione è solo un passaggio del processo. Anche tutti i livelli di supporto e l'infrastruttura devono essere mantenuti aggiornati. A volte vengono esposte vulnerabilità che non dispongono di una patch immediata o richiedono una mitigazione nella base di codice.

Per mantenere aggiornata l'infrastruttura delle applicazioni sono necessari più passaggi, tra cui:

• Controllo degli aggiornamenti per ogni pezzo di software
• Costruire la nuova versione
• Test sulla tua architettura non di produzione
• Garantire che non vengano introdotti nuovi problemi e, successivamente, risolverli
• Mettere la tua applicazione di produzione in modalità di manutenzione e distribuire gli aggiornamenti

Nota: tutti questi passaggi devono essere eseguiti con ogni patch disponibile in ogni livello dell'applicazione.

In particolare per WordPress, non si tratta solo di mantenere aggiornati l'infrastruttura principale e sottostante. Temi e plug-in di terze parti devono essere aggiornati e corretti regolarmente. È anche importante riconoscere la qualità dei plugin di terze parti aggiunti al tuo sito WordPress. Alcuni potrebbero essere codificati male o introdurre vulnerabilità di sicurezza, in modo negligente o dannoso. Strumenti come WPScan, SonarQube o PHP_CodeSniffer possono aiutare ad automatizzare le revisioni del codice per rilevare l'introduzione di exploit indesiderati.

La risposta VIP di WordPress :

La nostra piattaforma è gestita da membri attivi della community di WordPress. Quando si verifica un problema, lo correggiamo immediatamente, spesso prima che la correzione venga inviata al codice core di WordPress. Nel frattempo, avvisiamo in modo proattivo tutti i clienti di: 1) aggiornamenti automatici imminenti di WordPress, verificando che siano sulla versione più recente della nostra piattaforma e 2) exploit dei plug-in in natura e tentativi di correggere questi problemi a livello di piattaforma .

Andando più in profondità, utilizziamo scansioni automatiche del codice per le richieste pull create nel repository GitHub di un'applicazione. Questo può identificare potenziali problemi di sicurezza prima che il codice entri in produzione (ed è utile per valutare i plug-in del più ampio ecosistema di WordPress). Sfruttando la nostra orchestrazione Kubernetes, WordPress VIP fornisce zero tempi di inattività per le applicazioni dei clienti.

Infine, sulla base di anni di esperienza nell'esecuzione di WordPress su larga scala, siamo in grado di mitigare i vettori di attacco comuni, grazie al test continuo della nostra infrastruttura per le vulnerabilità e al coinvolgimento di terze parti indipendenti per eseguire test di penetrazione contro di essa.

2. Sicurezza della rete

La sicurezza della rete è una parte vitale della presenza online di un'organizzazione.

La migliore sicurezza significa gestire sia la sicurezza basata sul perimetro che la sicurezza della rete interna. Qui è necessario considerare e gestire più fattori per proteggere efficacemente gli utenti e i loro dati.

Sistemi di rilevamento delle intrusioni

Il monitoraggio e la registrazione di tutto il traffico di rete è essenziale per identificare attività dannose o sospette. Per prevenire l'accesso non autorizzato, i team di sicurezza hanno bisogno di regole automatizzate o di avvisare gli amministratori di sistema di esaminare il traffico sospetto e intraprendere le azioni appropriate.

Firewall

Comprendere quale traffico può attraversare la rete e come le applicazioni comunicano all'interno e all'esterno della rete è un must per ridurre al minimo i rischi per la sicurezza. Ciò significa impostare e rivedere le regole di ingresso/uscita utilizzando firewall software o hardware, che consentono solo il traffico di rete essenziale per l'esecuzione delle applicazioni.

Bloccare o consentire il traffico sbagliato potrebbe impedire a un sistema vitale di funzionare o, peggio, esporre il tuo database al mondo.

Sicurezza fisica della rete

Una rete è sicura tanto quanto la sua sicurezza fisica. I migliori firewall, sistemi di rilevamento delle intrusioni e software di gestione delle minacce possono essere aggirati da un attore malintenzionato che ottiene l'accesso fisico ai tuoi server.

I data center richiedono più livelli di sicurezza fisica, come ad esempio:

• Controlli di accesso fisico
• Monitoraggio ambientale
• Allarmi e sensori
• Sorveglianza
• Alimentazione di riserva

Tutti questi necessitano anche di controlli periodici per garantire che soddisfino le migliori pratiche di sicurezza.

3. Protezione dei dati

Nessuna azienda vuole che la propria perdita di dati venga visualizzata su haveibeenpwned.com affinché tutto il mondo possa vederla.

Gli utenti perdono rapidamente la fiducia nelle aziende che non proteggono i propri dati al livello previsto. Garantire che solo gli utenti autorizzati e specificati per ruolo possano accedere ai dati sensibili dei clienti richiede più livelli di protezione.

Crittografia dei dati

La comunicazione tra la tua applicazione e i tuoi utenti deve essere crittografata in transito per evitare che i dati vengano intercettati o manomessi da terzi. Transport Layer Security (TLS) viene generalmente utilizzato per crittografare i dati. Ciò richiede la creazione di certificati TLS e la garanzia che vengano rinnovati.

Poiché i dati possono essere crittografati anche inattivi, ciò richiede la protezione dei dati conservati su supporti di archiviazione come i backup. Se un malintenzionato ottiene l'accesso, avrà comunque bisogno della chiave di crittografia dei dati per utilizzare effettivamente i dati.

La gestione delle chiavi è una parte importante della crittografia dei dati. Le chiavi hanno diverse fasi nel loro ciclo di vita: generazione, distribuzione, utilizzo, backup, rotazione e distruzione. In ogni fase, ci sono le migliori pratiche da seguire per mantenere i tuoi dati al sicuro.

Tracce di controllo

Tenere un registro cronologico di tutte le attività che si verificano all'interno dell'applicazione a ogni livello dello stack è essenziale per qualsiasi azienda. I registri di controllo sono necessari per le indagini forensi, il rilevamento delle violazioni della sicurezza e il loro impatto e la comprensione degli errori di sistema.

Gli audit trail devono raccogliere i registri per più livelli e applicazioni, sufficientemente sicuri in modo che non possano essere modificati dagli utenti. E devono garantire l'accuratezza cronologica. Ciò richiede la conoscenza di quali azioni devono essere registrate, la connessione di più sistemi a uno strumento ELK come Kibana, la sincronizzazione dei sistemi utilizzando il protocollo NTP (Network Time Protocol) in modo che i timestamp siano significativi e la gestione dell'accesso ai registri.

Avvisi automatici

Sapere cosa definisce un incidente di sicurezza, cosa richiede una valutazione manuale e come dovrebbero essere gestiti è un'arte in sé.

L'analisi automatizzata del registro può segnalare comportamenti sospetti in una fase iniziale (se sai cosa cercare). Gli strumenti con regole predefinite o personalizzate possono essere creati specifici per la tua applicazione. Ciò richiede l'impostazione dei parametri all'interno dell'analisi del registro per sapere quando:

• È necessario eseguire azioni automatizzate per proteggersi da attacchi e traffico dannoso.
• Il team dei sistemi dovrebbe intervenire manualmente per esaminare i modelli e cercare di determinare se è necessario un comportamento o un'azione benigni erroneamente segnalati.

Tutto ciò si basa su strumenti ben configurati e un team di sicurezza esperto che comprende i modelli di utilizzo delle tue applicazioni. Nessuna azienda vuole che un contenuto diventi virale, solo che il proprio sistema lo segnali come attacco DDoS e blocchi il traffico.

La risposta VIP di WordPress :

Manteniamo un'infrastruttura di database containerizzata separata per ogni client e applicazione, ciascuno con la propria autenticazione univoca. Ciò riduce il rischio di accesso non autorizzato tra le applicazioni, protegge i dati di ciascun cliente e riduce il rischio di attacco. Forniamo sicurezza di database, file system, applicazioni e data center, nonché backup crittografati ogni ora. Inoltre, i nostri data center di origine soddisfano la certificazione 27001 dell'Organizzazione internazionale di standardizzazione (ISO), la certificazione 27001 della Commissione elettrotecnica internazionale (IEC), Standards for Attestation Engagements (SSAE) n. 18 (SOC1) e SOC2 di tipo 2.

"Sicurezza e privacy sono cose che devono essere al primo posto: abbiamo un grande occhio di bue su di noi, il che ci costringe a essere ipervigili".

—David "Hos" Hostetter, CTO digitale, Al Jazeera Media Network

Caso di studio: per un media con la portata e l'influenza globali di Al Jazeera, era essenziale migrare le sue proprietà su una piattaforma CMS resistente agli attori malintenzionati. Leggi perché hanno scelto WordPress VIP.

4. Accesso e autenticazione

Secondo Telesign, più della metà dei consumatori utilizza cinque o meno password per tutta la propria vita online e quasi la metà dei consumatori si affida a una password che non è stata modificata per cinque anni.

Ottenere l'accesso all'account di un utente può essere uno dei modi più semplici per accedere a un sistema protetto. Ecco perché il controllo granulare degli accessi, l'autenticazione a più fattori e/o il single sign-on sono così importanti per le organizzazioni attente alla sicurezza.

Controlli di accesso

I controlli granulari degli accessi e l'implementazione di una politica di "privilegio minimo" sono fondamentali per mantenere i tuoi dati al sicuro e ridurre le superfici di attacco per la tua applicazione. La politica del privilegio minimo afferma che a un utente dovrebbero essere concesse solo le autorizzazioni necessarie per completare la propria attività. Garantire che ogni utente non disponga dei privilegi di amministratore, ad esempio, significa che se un malintenzionato ottiene le credenziali di un utente, la probabilità che possano arrecare danni significativi è limitata.

Accesso singolo (SSO)

Con SSO, gli utenti accedono a più servizi tramite un set di credenziali di accesso. Se un utente non esiste in un servizio specifico, a volte è possibile eseguirne il provisioning al volo utilizzando la mappatura degli utenti dal provider di identità del servizio. Servizi come Azure AD, Google Apps, AuthO o OneLogin forniscono funzionalità SSO.

SSO aiuta i reparti IT a impostare regole centralizzate per gli utenti, ridurre i tempi di recupero delle password perse ed eliminare la necessità di eseguire manualmente il provisioning e il deprovisioning degli utenti durante l'onboarding/offboarding.

Autenticazione a più fattori

L'utilizzo dell'autenticazione a più fattori fornisce un ulteriore livello di protezione contro la compromissione degli utenti dell'organizzazione.

L'autenticazione a più fattori richiede una combinazione di almeno due metodi di autenticazione per l'accesso. Generalmente verrà configurato con un nome utente e una password come primo livello di autenticazione seguito da un token di autenticazione basato sul tempo generato tramite un dispositivo hardware o software come Google Authenticator. Il vantaggio di questo processo è che anche se il nome utente e la password sono compromessi, un utente non può accedere senza il token di autenticazione e viceversa.

La risposta VIP di WordPress :

WordPress VIP è costruito su una base di controlli di accesso e autorizzazioni granulari, tra cui l'autenticazione a più fattori, la protezione dalla forza bruta, gli audit trail di accesso ai dati e la sicurezza fisica. Questi forniscono un ulteriore livello di protezione contro password compromesse, impediscono a dipendenti o appaltatori non autorizzati di accedere ai dati dei clienti e applicano dinamicamente restrizioni a livello di rete quando viene rilevato un comportamento innaturale.

5. Recupero della violazione

I backup automatici e la ridondanza dell'hardware sono fondamentali per il buon funzionamento delle operazioni aziendali online quotidiane.

Backup

I backup sono vitali per la prevenzione della perdita di dati, la prevenzione degli attacchi ransomware e il rapido ripristino delle interruzioni. Esistono numerose best practice di backup che ogni organizzazione dovrebbe seguire per garantire il pieno controllo e la ridondanza dei propri dati.

1. Backup regolari . Più frequenti sono, meglio è in termini di riduzione dell'obiettivo del punto di ripristino (RPO) e riduzione al minimo della perdita di dati.
2. Ridondanza del backup . L'archiviazione dei backup in più posizioni (ad esempio, fuori sede) garantisce che tu possa comunque accedervi, anche se perdi l'accesso al tuo server principale.
3. Backup crittografati . Anche se il tuo archivio di backup è compromesso, i dati saranno inutili senza la chiave di crittografia.
4. Test regolari . Estrai regolarmente i tuoi backup e testali in un ambiente non di produzione per assicurarti che il tuo team possa effettivamente ripristinare il tuo sito con essi.

Ridondanza hardware

Avere backup disponibili è poco o niente senza hardware di backup su cui ripristinare.

Ciò richiede hardware ridondante all'interno e all'esterno del data center principale. Indipendentemente dal fatto che il problema riguardi un singolo server o l'intero data center, il tuo team sarà in grado di accedere a questo hardware per tornare rapidamente online.

La risposta VIP di WordPress :

Nell'improbabile eventualità di una violazione, aiutiamo i clienti a riprendersi rapidamente e a tornare al business, grazie a più livelli di backup (data center di origine e posizioni fuori sede), oltre a procedure di disaster recovery e violazione della sicurezza. Forniamo anche la possibilità di spedire automaticamente i tuoi backup al tuo storage S3 per assicurarti di poter impostare le tue politiche di conservazione dei dati su di essi o persino eseguire test di ripristino automatizzati. Utilizzando più livelli di archiviazione ridondante, possiamo ricostruire i dati nel loro stato originale o dell'ultima replica prima del momento in cui sono stati persi. WordPress VIP ha anche più data center di origine a cui i siti possono essere migrati nell'improbabile evento di guasto di un singolo data center.

Insomma

Dalla gestione delle vulnerabilità al ripristino delle violazioni, il funzionamento di WordPress VIP offre alle organizzazioni l'opportunità di sfruttare anni di esperienza mantenendo siti WordPress di alto profilo e su larga scala online e protetti di fronte alle minacce.

Costruito con più livelli di controlli di sicurezza e protezione, tra cui protezione perimetrale, rete sicura, solidi controlli degli accessi, monitoraggio continuo della sicurezza e scansione del codice, WordPress VIP soddisfa i più severi requisiti di sicurezza. Ecco perché è considerato affidabile dai clienti nei settori ad alto rischio come quello bancario, farmaceutico, dei servizi pubblici e del governo. Siamo anche l'unica piattaforma WordPress a ottenere FedRAMP Authority to Operate (ATO).

Stai cercando di passare a un CMS più sicuro e testato in battaglia? Scopri di più su WordPress VIP, comprese le nostre profonde radici nel software open source. E solo per la cronaca, puoi andare avanti e controllare lo stato della nostra piattaforma VIP WordPress in questo momento.