Unikanie katastrofy CMS: podniesienie bezpieczeństwa WordPressa na wyższy poziom

Opublikowany: 2022-11-02

Nikt nie chce być kolejnym najświeższym nagłówkiem wiadomości z powodu naruszenia bezpieczeństwa danych klientów lub katastrofalnego upadku witryny.

Zagrożenia w Internecie istnieją dziś w różnych formach — od botów skanujących w poszukiwaniu znanych luk w zabezpieczeniach po dzieciaki ze skryptów, cybergangi, a nawet podmioty państwowe.

Dla doświadczonych zespołów IT zapewnienie, że obecność w Internecie nie jest zagrożona, może wydawać się czymś więcej niż pracą na pełny etat, „biegnąc tylko po to, by stać w miejscu”. Niestety, często pozostawia to bardzo niewiele przepustowości na prawdziwe zadanie przygotowania witryny, jej infrastruktury i biznesu do przyszłego stanu.

W czwartej części naszej serii Unikanie katastrofy systemu CMS analizujemy pięć sposobów, w jakie organizacje i ich opiekunowie IT mogą wzmocnić swoje witryny i aplikacje przed złośliwymi atakami, chronić poufne dane klientów i utrzymywać swoją działalność zawsze otwartą dla biznesu.

  • Zarządzanie podatnościami
  • Bezpieczeństwo sieci
  • Ochrona danych
  • Dostęp i uwierzytelnianie
  • Odzyskiwanie naruszeń

1. Zarządzanie podatnościami

Identyfikowanie i eliminowanie luk w zabezpieczeniach oprogramowania może być przytłaczającym zadaniem, nawet dla największych zespołów IT.

Zarządzanie lukami w zabezpieczeniach wymaga ciągłej identyfikacji, klasyfikacji, ustalania priorytetów, zarządzania i usuwania luk w infrastrukturze organizacji. Według brytyjskiego National Cyber ​​Security Centre „Wykorzystywanie znanych luk w oprogramowaniu pozostaje najczęstszą przyczyną incydentów związanych z bezpieczeństwem”.

Skanowanie luk

Okresowe skanowanie sieci w celu monitorowania pod kątem nowych luk w zabezpieczeniach lub niezamierzonego otwartego dostępu do komputerów jest koniecznością dla każdej organizacji, która chce zminimalizować powierzchnię ataku. Niestety, utrzymanie oprogramowania skanującego, przeglądanie wyników skanowania i podejmowanie działań często spada na listę priorytetów w zapracowanym dziale IT.

Odpowiedź VIP WordPressa:

Nasza platforma zapewnia bezpieczeństwo w całej sieci — od zabezpieczeń brzegowych po ochronę danych przesyłanych między komponentami. Na przykład ochrona przed atakami DDoS stale monitoruje ruch sieciowy i podejmuje aktywne kroki łagodzące w przypadku wykrycia podejrzanej aktywności. Zapory sieciowe i oparte na hoście z procesami powiadamiania w czasie rzeczywistym mają zapobiegać nieautoryzowanym próbom dostępu.

Naprawa podatności

Aktualizowanie warstwy aplikacji to tylko jeden krok w tym procesie. Wszystkie warstwy pomocnicze i infrastruktura również muszą być aktualizowane. Czasami ujawniane są luki, które nie mają natychmiastowej łaty lub wymagają złagodzenia w bazie kodu.

Aby zapewnić aktualność infrastruktury aplikacji, należy wykonać kilka kroków, w tym:

  • Sprawdzanie aktualizacji dla każdego oprogramowania
  • Budowanie nowego wydania
  • Testowanie na Twojej architekturze nieprodukcyjnej
  • Zapewnienie, że nie zostaną wprowadzone żadne nowe problemy, a następnie naprawienie tych, które są
  • Przełączanie aplikacji produkcyjnej w tryb konserwacji i wdrażanie aktualizacji

Uwaga: Wszystkie te kroki należy wykonać z każdą poprawką dostępną w każdej warstwie aplikacji.

W przypadku WordPressa nie chodzi tylko o aktualizowanie podstawowej i podstawowej infrastruktury. Motywy i wtyczki innych firm muszą być regularnie aktualizowane i łatane. Ważne jest również rozpoznanie jakości wtyczek innych firm dodanych do witryny WordPress. Niektóre mogą być źle zakodowane lub wprowadzać luki w zabezpieczeniach — przez zaniedbanie lub złośliwie. Narzędzia takie jak WPScan, SonarQube lub PHP_CodeSniffer mogą pomóc zautomatyzować przeglądanie kodu w celu wychwytywania wprowadzanych niechcianych exploitów.

Odpowiedź VIP WordPressa :

Nasza platforma jest zarządzana przez aktywnych członków społeczności WordPress. Gdy pojawia się problem, natychmiast go łatamy, często zanim poprawka zostanie przeniesiona do głównego kodu WordPressa. W międzyczasie proaktywnie informujemy wszystkich klientów o: 1) nadchodzących, automatycznych aktualizacjach WordPressa, sprawdzaniu, czy korzystają z najnowszej wersji naszej platformy, oraz 2) dzikich wtyczek i próbach naprawienia tych problemów na poziomie platformy .

Idąc głębiej, używamy zautomatyzowanych skanów kodu dla pull requestów utworzonych w repozytorium GitHub aplikacji. Może to zidentyfikować potencjalne problemy z bezpieczeństwem, zanim kod trafi do produkcji (i jest przydatne do oceny wtyczek z szerszego ekosystemu WordPress). Wykorzystując naszą orkiestrację Kubernetes, WordPress VIP zapewnia wdrożenia aplikacji klientów bez przestojów.

Wreszcie, w oparciu o wieloletnie doświadczenie w uruchamianiu WordPressa na dużą skalę, możemy ograniczyć typowe wektory ataków — dzięki ciągłemu testowaniu naszej infrastruktury pod kątem luk w zabezpieczeniach i angażowaniu niezależnych stron trzecich do przeprowadzania testów penetracyjnych.

2. Bezpieczeństwo sieci

Bezpieczeństwo sieci jest istotną częścią obecności organizacji w Internecie.

Najlepsze w swojej klasie zabezpieczenia oznaczają zarządzanie zarówno zabezpieczeniami obwodowymi, jak i zabezpieczeniami sieci wewnętrznej. W tym przypadku należy wziąć pod uwagę i zarządzać wieloma czynnikami, aby skutecznie chronić użytkowników i ich dane.

Systemy wykrywania włamań

Monitorowanie i rejestrowanie całego ruchu sieciowego jest niezbędne do identyfikacji złośliwej lub podejrzanej aktywności. Aby zapobiec nieautoryzowanemu dostępowi, zespoły ds. bezpieczeństwa potrzebują automatycznych reguł lub ostrzegania administratorów systemu, aby przejrzeli podejrzany ruch i podjęli odpowiednie działania.

Zapory sieciowe

Zrozumienie, jaki ruch może przechodzić przez sieć i jak aplikacje komunikują się w sieci i poza nią, jest niezbędne, aby zminimalizować zagrożenia bezpieczeństwa. Oznacza to ustawianie i przeglądanie reguł przychodzących/wychodzących przy użyciu zapór programowych lub sprzętowych, które zezwalają na działanie tylko niezbędnego ruchu sieciowego dla aplikacji.

Blokowanie lub zezwalanie na niewłaściwy ruch może uniemożliwić działanie ważnego systemu lub, co gorsza, ujawnić Twoją bazę danych światu.

Fizyczne bezpieczeństwo sieci

Sieć jest tak bezpieczna, jak jej bezpieczeństwo fizyczne. Najlepsze zapory ogniowe, systemy wykrywania włamań i oprogramowanie do zarządzania zagrożeniami mogą zostać ominięte przez złośliwego gracza, który uzyska fizyczny dostęp do serwerów.

Centra danych wymagają wielu poziomów bezpieczeństwa fizycznego, takich jak:

  • Fizyczne kontrole dostępu
  • Monitorowanie środowiska
  • Alarmy i czujniki
  • Nadzór
  • Zasilanie awaryjne

Wszystkie te wymagają również okresowego audytu, aby upewnić się, że spełniają najlepsze praktyki bezpieczeństwa.

3. Ochrona danych

Żadna firma nie chce, aby wyciek danych był widoczny na haveibeenpwned.com, aby cały świat mógł go zobaczyć.

Użytkownicy szybko tracą zaufanie do firm, które nie chronią swoich danych w oczekiwanym przez nich poziomie. Zapewnienie dostępu do poufnych danych klientów tylko autoryzowanym użytkownikom o określonej roli wymaga wielu warstw ochrony.

Szyfrowanie danych

Komunikacja między aplikacją a użytkownikami musi być szyfrowana podczas przesyłania, aby zapobiec przechwyceniu lub manipulowaniu danymi przez osoby trzecie. Transport Layer Security (TLS) jest zwykle używany do szyfrowania danych. Wymaga to stworzenia certyfikatów TLS i zapewnienia ich odnawiania.

Ponieważ dane mogą być również szyfrowane w spoczynku, wymaga to ochrony danych przechowywanych na nośnikach pamięci, takich jak kopie zapasowe. Jeśli złośliwy aktor uzyska dostęp, nadal będzie potrzebował klucza szyfrowania danych, aby faktycznie korzystać z danych.

Zarządzanie kluczami jest ważną częścią szyfrowania danych. Klucze mają kilka etapów cyklu życia: generowanie, dystrybucja, używanie, tworzenie kopii zapasowych, rotacja i niszczenie. Na każdym etapie istnieją najlepsze praktyki, których należy przestrzegać, aby zapewnić bezpieczeństwo danych.

Ścieżki audytu

Prowadzenie chronologicznego zapisu wszystkich czynności wykonywanych w aplikacji na każdym poziomie stosu jest niezbędne dla każdego przedsiębiorstwa. Dzienniki kontrolne są wymagane do dochodzeń śledczych, wykrywania naruszeń bezpieczeństwa i ich wpływu oraz zrozumienia błędów systemowych.

Ścieżki audytu muszą zestawiać dzienniki dla wielu warstw i aplikacji, wystarczająco bezpieczne, aby użytkownicy nie mogli ich zmieniać. I muszą zapewnić dokładność chronologiczną. Wymaga to wiedzy, jakie działania należy rejestrować, łączenia wielu systemów z narzędziem ELK, takim jak Kibana, synchronizowania systemów przy użyciu protokołu NTP, aby znaczniki czasu były znaczące, oraz zarządzania dostępem do dzienników.

Automatyczne ostrzeganie

Wiedza o tym, co definiuje incydent bezpieczeństwa, co wymaga ręcznej oceny i jak należy nimi zarządzać, jest sztuką samą w sobie.

Zautomatyzowana analiza dzienników może oznaczać podejrzane zachowanie na wczesnym etapie (jeśli wiesz, czego szukać). Narzędzia z predefiniowanymi lub niestandardowymi regułami mogą być tworzone specjalnie dla Twojej aplikacji. Wymaga to ustawienia parametrów w ramach analizy logów, aby wiedzieć, kiedy:

  • Należy wykonywać zautomatyzowane akcje w celu ochrony przed atakami i złośliwym ruchem.
  • Zespół Systems powinien ręcznie interweniować, aby zbadać wzorce i spróbować ustalić, czy jest to fałszywie oznaczone łagodne zachowanie lub wymagane jest działanie.

Wszystko to opiera się na dobrze skonfigurowanych narzędziach i doświadczonym zespole ds. bezpieczeństwa, który rozumie wzorce użytkowania aplikacji. Żadne przedsiębiorstwo nie chce, aby część treści stała się wirusowa, tylko po to, aby ich system oznaczył go jako atak DDoS i zablokuje ruch.

Odpowiedź VIP WordPressa :

Dla każdego klienta i aplikacji utrzymujemy osobną infrastrukturę bazodanową w kontenerach, z których każda posiada własne unikalne uwierzytelnianie. Zmniejsza to ryzyko nieautoryzowanego dostępu między aplikacjami i chroni dane każdego klienta oraz zmniejsza ryzyko ataku. Zapewniamy bezpieczeństwo bazy danych, systemu plików, aplikacji i centrum danych, a także cogodzinne szyfrowane kopie zapasowe. Nasze centra danych pochodzenia spełniają wymagania Międzynarodowej Organizacji Normalizacyjnej (ISO), Międzynarodowej Komisji Elektrotechnicznej (IEC) 27001, Standards for Atestation Engagements (SSAE) nr 18 (SOC1) i SOC2 Type 2.

„Bezpieczeństwo i prywatność to rzeczy, które muszą być najważniejsze – mamy przed sobą dużą tarczę, co zmusza nas do nadmiernej czujności”.

—David „Hos” Hostetter, Digital CTO, Al Jazeera Media Network

Studium przypadku: W przypadku mediów o globalnym zasięgu i wpływie Al Jazeery kluczowe znaczenie miało przeniesienie jej właściwości na platformę CMS, która jest zabezpieczona przed złośliwymi cyberprzestępcami. Przeczytaj, dlaczego wybrali WordPress VIP.

4. Dostęp i uwierzytelnianie

Według Telesign ponad połowa konsumentów używa pięciu lub mniej haseł w całym swoim życiu online, a prawie połowa konsumentów polega na haśle, które nie było zmieniane od pięciu lat.

Uzyskanie dostępu do konta użytkownika może być jednym z najłatwiejszych sposobów uzyskania dostępu do zabezpieczonego systemu. Właśnie dlatego szczegółowa kontrola dostępu, uwierzytelnianie wieloskładnikowe i/lub jednokrotne logowanie są tak ważne dla organizacji dbających o bezpieczeństwo.

Kontrola dostępu

Szczegółowa kontrola dostępu i wdrożenie polityki „najmniejszych uprawnień” ma kluczowe znaczenie dla zapewnienia bezpieczeństwa danych i ograniczenia powierzchni ataku na aplikację. Polityka najmniejszych uprawnień mówi, że użytkownikowi należy nadać tylko te uprawnienia, które są potrzebne do wykonania jego zadania. Zapewnienie, że każdy użytkownik nie ma na przykład uprawnień administratora, oznacza, że ​​jeśli złośliwy gracz zdobędzie poświadczenia użytkownika, prawdopodobieństwo, że będzie on w stanie wyrządzić znaczne szkody, jest ograniczone.

Jednokrotne logowanie (SSO)

Dzięki SSO użytkownicy logują się do wielu usług za pomocą jednego zestawu danych logowania. Jeśli użytkownik nie istnieje w określonej usłudze, czasami można go udostępnić na bieżąco, korzystając z mapowania użytkownika od dostawcy tożsamości usługi. Usługi takie jak Azure AD, Google Apps, AuthO czy OneLogin zapewniają funkcjonalność logowania jednokrotnego.

Logowanie jednokrotne pomaga działom IT ustalać scentralizowane reguły dla użytkowników, skrócić czas odzyskiwania utraconych haseł i wyeliminować potrzebę ręcznego aprowizacji i wyrejestrowania użytkowników podczas dołączania/wyłączania.

Uwierzytelnianie wieloskładnikowe

Korzystanie z usługi MFA zapewnia dodatkową warstwę ochrony przed naruszeniem bezpieczeństwa użytkowników organizacji.

MFA wymaga kombinacji co najmniej dwóch metod uwierzytelniania do logowania. Zazwyczaj będzie skonfigurowany z nazwą użytkownika i hasłem jako pierwszą warstwą uwierzytelniania, po której następuje token uwierzytelniania oparty na czasie wygenerowany za pomocą urządzenia sprzętowego lub oprogramowania, takiego jak Google Authenticator. Zaletą tego procesu jest to, że nawet jeśli nazwa użytkownika i hasło zostaną naruszone, użytkownik nie może się zalogować bez tokena uwierzytelniającego i na odwrót.

Odpowiedź VIP WordPressa :

WordPress VIP jest zbudowany na podstawie szczegółowej kontroli dostępu i uprawnień, w tym uwierzytelniania wieloskładnikowego, ochrony przed brutalną siłą, ścieżek audytu dostępu do danych i bezpieczeństwa fizycznego. Zapewniają one dodatkową warstwę ochrony przed złamanymi hasłami, uniemożliwiają nieautoryzowanym pracownikom lub kontrahentom dostęp do danych klientów oraz dynamicznie nakładają ograniczenia na poziomie sieci w przypadku wykrycia nienaturalnego zachowania.

5. Odzyskiwanie naruszeń

Zautomatyzowane kopie zapasowe i nadmiarowość sprzętu mają kluczowe znaczenie dla płynnego działania codziennych operacji biznesowych online.

Kopie zapasowe

Kopie zapasowe są niezbędne do zapobiegania utracie danych, zapobiegania atakom ransomware i szybkiego przywracania sprawności po awariach. Istnieje szereg najlepszych praktyk dotyczących tworzenia kopii zapasowych, które każda organizacja powinna stosować, aby zapewnić sobie pełną kontrolę i nadmiarowość swoich danych.

  1. Regularne kopie zapasowe . Im częstsze, tym lepiej pod względem zmniejszenia celu punktu odzyskiwania (RPO) i minimalizacji utraty danych.
  2. Redundancja kopii zapasowych . Przechowywanie kopii zapasowych w wielu lokalizacjach (np. poza siedzibą) zapewnia, że ​​nadal masz do nich dostęp, nawet jeśli utracisz dostęp do głównego serwera.
  3. Zaszyfrowane kopie zapasowe . Nawet jeśli Twój magazyn kopii zapasowych zostanie naruszony, dane będą bezużyteczne bez klucza szyfrowania.
  4. Regularne testy . Regularnie wyodrębniaj kopie zapasowe i testuj je w środowisku nieprodukcyjnym, aby upewnić się, że Twój zespół może faktycznie przywrócić witrynę za ich pomocą.

Redundancja sprzętowa

Posiadanie kopii zapasowych jest mało przydatne bez sprzętu do tworzenia kopii zapasowych do przywrócenia.

Wymaga to nadmiarowego sprzętu w głównym centrum danych i poza nim. Bez względu na to, czy problem dotyczy pojedynczego serwera, czy całego centrum danych, Twój zespół będzie mógł uzyskać dostęp do tego sprzętu, aby szybko wrócić do trybu online.

Odpowiedź VIP WordPressa :

W mało prawdopodobnym przypadku naruszenia pomagamy klientom szybko odzyskać i wrócić do biznesu dzięki wielu poziomom tworzenia kopii zapasowych (pierwotne centrum danych i lokalizacje zewnętrzne), a także procedurom odzyskiwania po awarii i naruszenia bezpieczeństwa. Zapewniamy również możliwość automatycznego wysyłania kopii zapasowych do własnej pamięci masowej S3, aby mieć pewność, że możesz ustawić na nich własne zasady przechowywania danych, a nawet uruchomić automatyczne testy odzyskiwania. Wykorzystując wiele poziomów nadmiarowej pamięci masowej, możemy zrekonstruować dane w ich pierwotnym lub ostatnio zreplikowanym stanie przed ich utratą. WordPress VIP ma również wiele centrów danych źródłowych, do których witryny można migrować w przypadku nieprawdopodobnego przypadku awarii jednego centrum danych.

Podsumowując

Od zarządzania lukami w zabezpieczeniach po odzyskiwanie po naruszeniu, działający WordPress VIP daje organizacjom możliwość wykorzystania wieloletniego doświadczenia w utrzymywaniu głośnych, wielkoskalowych witryn opartych na WordPressie online i bezpiecznych w obliczu zagrożeń.

Zbudowany z wieloma poziomami kontroli bezpieczeństwa i ochrony — w tym ochrona brzegowa, bezpieczna sieć, solidna kontrola dostępu, ciągłe monitorowanie bezpieczeństwa i skanowanie kodu — WordPress VIP spełnia najbardziej rygorystyczne wymagania bezpieczeństwa. Dlatego cieszą się zaufaniem klientów z branż wysokiego ryzyka, takich jak bankowość, farmaceutyka, usługi użyteczności publicznej i rząd. Jesteśmy również jedyną platformą WordPress, która uzyskała FedRAMP Authority to Operate (ATO).

Chcesz przejść na sprawdzony w boju, bezpieczniejszy CMS? Dowiedz się więcej o WordPress VIP, w tym o naszych głębokich korzeniach w oprogramowaniu open source. I tak dla przypomnienia, możesz już teraz sprawdzić status naszej platformy VIP WordPress.