Evitando o desastre do CMS: elevando a segurança do seu WordPress para o próximo nível

Ninguém quer ser a próxima manchete de notícias de última hora por sofrer uma violação de dados do cliente ou um colapso catastrófico do site.

Ameaças on-line hoje existem de várias formas, desde a verificação de bots em busca de vulnerabilidades conhecidas até script kiddies, gangues cibernéticas e até atores de estados-nações.

Para equipes de TI sitiadas, garantir que uma presença online não seja comprometida pode parecer mais do que um trabalho em tempo integral, “correr apenas para ficar parado”. Infelizmente, isso geralmente deixa pouca largura de banda para a tarefa real de preparar um site, sua infraestrutura e negócios para seu estado futuro.

No quarto de nossa série Evitando o desastre do CMS , exploramos cinco maneiras pelas quais as organizações e seus guardiões de TI podem proteger seus sites e aplicativos contra ataques maliciosos, proteger dados confidenciais de clientes e manter seus negócios sempre abertos para negócios.

• Gerenciamento de vulnerabilidade
• Segurança de rede
• Proteção de dados
• Acesso e autenticação
• Recuperação de violação

1. Gerenciamento de vulnerabilidades

Identificar e mitigar vulnerabilidades de software pode ser uma tarefa árdua, mesmo para as maiores equipes de TI.

O gerenciamento de vulnerabilidades requer identificação, classificação, priorização, gerenciamento e correção contínuas de vulnerabilidades na infraestrutura de sua organização. De acordo com o Centro Nacional de Segurança Cibernética do Reino Unido, “a exploração de vulnerabilidades conhecidas em software continua sendo a maior causa de incidentes de segurança”.

Verificação de vulnerabilidade

A varredura periódica de sua rede para monitorar novas vulnerabilidades ou acesso aberto não intencional a máquinas é uma obrigação para qualquer organização que queira minimizar sua superfície de ataque. Infelizmente, manter o software de varredura, revisar os resultados da varredura e acioná-los geralmente cai na lista de prioridades em um departamento de TI ocupado.

A resposta do WordPress VIP:

Nossa plataforma oferece segurança em toda a sua rede, desde segurança de borda até proteção de dados em trânsito entre componentes. Por exemplo, a proteção contra DDoS monitora continuamente o tráfego da Web e toma medidas ativas de mitigação quando uma atividade suspeita é detectada. Firewalls baseados em rede e host com processos de notificação em tempo real estão lá para evitar tentativas de acesso não autorizado.

Correção de vulnerabilidade

Manter a camada de aplicação atualizada é apenas uma etapa do processo. Todas as camadas de suporte e infraestrutura também precisam ser mantidas atualizadas. Às vezes, são expostas vulnerabilidades que não têm um patch imediato ou exigem mitigação em sua base de código.

Manter sua infraestrutura de aplicativos atualizada requer várias etapas, incluindo:

• Verificando atualizações para cada parte do software
• Construindo a nova versão
• Testando em sua arquitetura de não produção
• Garantir que nenhum novo problema seja introduzido e, posteriormente, corrigir qualquer um que seja
• Colocando seu aplicativo de produção no modo de manutenção e lançando suas atualizações

Observação: todas essas etapas devem ser executadas com todos os patches disponíveis em todas as camadas do seu aplicativo.

Especificamente para o WordPress, não é apenas manter a infraestrutura central e subjacente atualizada. Temas e plugins de terceiros devem ser atualizados e corrigidos regularmente. Também é importante reconhecer a qualidade dos plugins de terceiros adicionados ao seu site WordPress. Alguns podem ser mal codificados ou apresentar vulnerabilidades de segurança – de forma negligente ou maliciosa. Ferramentas como WPScan, SonarQube ou PHP_CodeSniffer podem ajudar a automatizar suas revisões de código para detectar explorações indesejadas que estão sendo introduzidas.

A resposta do WordPress VIP :

Nossa plataforma é gerenciada por membros ativos da comunidade WordPress. Quando surge um problema, nós o corrigimos imediatamente, muitas vezes antes que a correção seja enviada para o código principal do WordPress. Enquanto isso, alertamos proativamente todos os clientes sobre: ​​1) atualizações futuras e automatizadas do WordPress, verificando se eles estão na versão mais recente de nossa plataforma e 2) explorações de plug-ins à solta e tentativas de corrigir esses problemas em nível de plataforma .

Indo mais a fundo, usamos varreduras de código automatizadas para pull requests criadas no repositório GitHub de um aplicativo. Isso pode identificar possíveis preocupações de segurança antes que o código entre em produção (e é útil para avaliar plug-ins do ecossistema WordPress mais amplo.) Aproveitando nossa orquestração do Kubernetes, o WordPress VIP fornece implantações de tempo de inatividade zero para os aplicativos dos clientes.

Por fim, com base em anos de experiência executando o WordPress em escala, podemos mitigar vetores de ataque comuns - graças ao teste contínuo de vulnerabilidades em nossa infraestrutura e ao envolvimento de terceiros independentes para executar testes de penetração contra ela.

2. Segurança da rede

A segurança da rede é uma parte vital da presença online de uma organização.

A melhor segurança da categoria significa gerenciar a segurança baseada em perímetro e a segurança da rede interna. Aqui, vários fatores devem ser considerados e gerenciados para proteger efetivamente os usuários e seus dados.

Sistemas de detecção de intrusão

Monitorar e registrar todo o tráfego de rede é essencial para identificar atividades maliciosas ou suspeitas. Para evitar o acesso não autorizado, as equipes de segurança precisam de regras automatizadas ou alertar os administradores do sistema para analisar o tráfego suspeito e tomar as medidas apropriadas.

Firewalls

Compreender qual tráfego tem permissão para atravessar sua rede e como os aplicativos se comunicam dentro e fora da rede é essencial para minimizar os riscos de segurança. Isso significa definir e revisar regras de entrada/saída usando firewalls de software ou hardware, que permitem apenas o tráfego de rede essencial para que seus aplicativos sejam executados.

Bloquear ou permitir o tráfego errado pode impedir a execução de um sistema vital ou, pior ainda, expor seu banco de dados ao mundo.

Segurança de rede física

Uma rede é tão segura quanto sua segurança física. Os melhores firewalls, sistemas de detecção de intrusão e software de gerenciamento de ameaças podem ser burlados por um agente mal-intencionado que obtém acesso físico aos seus servidores.

Os data centers exigem vários níveis de segurança física, como:

• Controles de acesso físico
• Monitoramento do ambiente
• Alarmes e sensores
• Vigilância
• Energia de reserva

Todos eles também precisam de auditoria periódica para garantir que estejam atendendo às melhores práticas de segurança.

3. Proteção de dados

Nenhuma empresa quer que seu vazamento de dados apareça no haveibeenpwned.com para todo o mundo ver.

Os usuários perdem a confiança rapidamente em empresas que não protegem seus dados no nível esperado. Garantir que apenas usuários autorizados e com função especificada possam acessar dados confidenciais de clientes requer várias camadas de proteção.

Criptografia de dados

A comunicação entre seu aplicativo e seus usuários precisa ser criptografada em trânsito para evitar que os dados sejam interceptados ou adulterados por terceiros. O Transport Layer Security (TLS) é geralmente usado para criptografar os dados. Isso requer a criação de certificados TLS e a garantia de que eles sejam renovados.

Como os dados também podem ser criptografados em repouso, isso requer a proteção de dados mantidos em mídia de armazenamento, como backups. Se um agente mal-intencionado obtiver acesso, ele ainda precisará da chave de criptografia de dados para realmente usar os dados.

O gerenciamento de chaves é uma parte importante da criptografia de dados. As chaves têm vários estágios em seu ciclo de vida: geração, distribuição, uso, backup, rotação e destruição. Em cada estágio, há práticas recomendadas a serem seguidas para manter seus dados seguros.

Trilhas de auditoria

Manter um registro cronológico de todas as atividades que ocorrem em seu aplicativo em todos os níveis da pilha é essencial para qualquer empresa. Os logs de auditoria são necessários para investigações forenses, detecção de violações de segurança e seu impacto e compreensão de erros de sistemas.

As trilhas de auditoria precisam agrupar logs para várias camadas e aplicativos, seguras o suficiente para que não possam ser alteradas pelos usuários. E eles devem garantir a precisão cronológica. Isso requer saber quais ações precisam ser registradas, conectar vários sistemas em uma ferramenta ELK, como o Kibana, sincronizar sistemas usando protocolo de tempo de rede (NTP) para que os carimbos de data e hora sejam significativos e gerenciar o acesso aos logs.

Alerta automatizado

Saber o que define um incidente de segurança, o que requer avaliação manual e como eles devem ser gerenciados é uma arte em si.

A análise automatizada de logs pode sinalizar comportamentos suspeitos em um estágio inicial (se você souber o que procurar). Ferramentas com regras predefinidas ou personalizadas podem ser criadas específicas para sua aplicação. Isso requer a configuração de parâmetros em sua análise de log para saber quando:

• Ações automatizadas devem ser executadas para proteção contra ataques e tráfego malicioso.
• A equipe de sistemas deve intervir manualmente para examinar os padrões e tentar determinar se é um comportamento benigno falsamente sinalizado ou se é necessária uma ação.

Tudo isso conta com ferramentas bem configuradas e uma equipe de segurança experiente que entende os padrões de uso de seus aplicativos. Nenhuma empresa quer que um conteúdo se torne viral, apenas para que seu sistema o sinalize como um ataque DDoS e bloqueie o tráfego.

A resposta do WordPress VIP :

Mantemos uma infraestrutura de banco de dados em contêiner separada para cada cliente e aplicativo, cada um com sua própria autenticação exclusiva. Isso mitiga o risco de acesso não autorizado entre aplicativos e protege os dados de cada cliente e reduz o risco de ataque. Fornecemos segurança de banco de dados, sistema de arquivos, aplicativo e data center, bem como backups criptografados de hora em hora. E nossos data centers de origem atendem à certificação da International Organization of Standardization (ISO), International Electrotechnical Commission (IEC) 27001, Standards for Attestation Engagements (SSAE) No. 18 (SOC1) e SOC2 Tipo 2.

“Segurança e privacidade são coisas que precisam estar em primeiro lugar – temos um grande alvo em nós, o que nos obriga a ser hipervigilantes.”

—David “Hos” Hostetter, CTO Digital, Al Jazeera Media Network

Estudo de caso: Para um meio de comunicação com alcance e influência globais da Al Jazeera, era essencial migrar suas propriedades para uma plataforma CMS protegida contra agentes mal-intencionados. Leia por que eles escolheram o WordPress VIP.

4. Acesso e autenticação

De acordo com a Telesign, mais da metade dos consumidores usa cinco ou menos senhas em toda a sua vida online e quase metade dos consumidores confia em uma senha que não foi alterada por cinco anos.

Obter acesso à conta de um usuário pode ser uma das maneiras mais fáceis de acessar um sistema seguro. É por isso que o controle de acesso granular, a autenticação multifator e/ou o logon único são tão importantes para as organizações preocupadas com a segurança.

Controles de acesso

Controles de acesso granulares e implementação de uma política de “privilégio mínimo” são vitais para manter seus dados seguros e reduzir as superfícies de ataque para seu aplicativo. A política de privilégio mínimo afirma que um usuário deve receber apenas as permissões necessárias para concluir sua tarefa. Garantir que todos os usuários não tenham privilégios de administrador, por exemplo, significa que, se um agente mal-intencionado obtiver as credenciais de um usuário, a probabilidade de causar danos significativos é limitada.

Logon único (SSO)

Com o SSO, os usuários fazem login em vários serviços por meio de um conjunto de credenciais de login. Se um usuário não existir em um serviço específico, às vezes ele pode ser provisionado em tempo real, utilizando o mapeamento de usuário do provedor de identidade do serviço. Serviços como Azure AD, Google Apps, AuthO ou OneLogin fornecem funcionalidade de SSO.

O SSO ajuda os departamentos de TI a definir regras centralizadas para os usuários, reduzir o tempo de recuperação de senhas perdidas e eliminar a necessidade de provisionar e desprovisionar manualmente os usuários durante a integração/desligamento.

Autenticação multifator

O uso de MFA fornece uma camada adicional de proteção contra o comprometimento dos usuários da sua organização.

A MFA requer uma combinação de pelo menos dois métodos de autenticação para fazer login. Geralmente, ele será configurado com um nome de usuário e senha como a primeira camada de autenticação seguida por um token de autenticação baseado em tempo gerado por meio de um dispositivo de hardware ou software como o Google Authenticator. O benefício desse processo é que, mesmo que o nome de usuário e a senha sejam comprometidos, um usuário não pode fazer login sem o token de autenticação e vice-versa.

A resposta do WordPress VIP :

O WordPress VIP é construído sobre uma base de controles e permissões de acesso granular, incluindo autenticação multifator, proteção de força bruta, trilhas de auditoria de acesso a dados e segurança física. Eles fornecem uma camada extra de proteção contra senhas comprometidas, impedem que funcionários ou contratados não autorizados acessem os dados do cliente e aplicam restrições dinamicamente no nível da rede quando um comportamento não natural é detectado.

5. Recuperação de violação

Backups automatizados e redundância de hardware são vitais para o bom andamento de suas operações comerciais on-line diárias.

Backups

Os backups são vitais para prevenção de perda de dados, prevenção de ataques de ransomware e recuperação rápida de interrupções. Há uma série de práticas recomendadas de backup que toda organização deve seguir para garantir que eles tenham controle total e redundância de seus dados.

1. Backups regulares . Quanto mais frequente, melhor em termos de redução do seu objetivo de ponto de recuperação (RPO) e minimização da perda de dados.
2. Redundância de backup . Armazenar backups em vários locais (por exemplo, fora do local) garante que você ainda possa acessá-los, mesmo se perder o acesso ao seu servidor principal.
3. Backups criptografados . Mesmo que seu armazenamento de backup esteja comprometido, os dados serão inúteis sem a chave de criptografia.
4. Testes regulares . Extraia regularmente seus backups e teste-os em um ambiente de não produção para garantir que sua equipe possa realmente restaurar seu site com eles.

Redundância de hardware

Ter backups disponíveis é pouco ou nenhum uso sem hardware de backup para restaurar.

Isso requer hardware redundante dentro e fora de seu data center principal. Não importa se o problema é com um único servidor ou com todo o data center, sua equipe poderá acessar esse hardware para voltar a ficar online rapidamente.

A resposta do WordPress VIP :

No caso improvável de uma violação, ajudamos os clientes a recuperar e voltar aos negócios rapidamente, graças a vários níveis de backup (datacenter de origem e locais externos), além de procedimentos de recuperação de desastres e violação de segurança. Também fornecemos a capacidade de enviar automaticamente seus backups para seu próprio armazenamento S3 para garantir que você possa definir suas próprias políticas de retenção de dados ou até mesmo executar testes de recuperação automatizados. Utilizando vários níveis de armazenamento redundante, podemos reconstruir os dados em seu estado original ou de última replicação antes do momento em que foram perdidos. O WordPress VIP também possui vários data centers de origem para os quais os sites podem ser migrados no caso improvável de uma única falha do data center.

Para concluir

Do gerenciamento de vulnerabilidades à recuperação de violações, o WordPress VIP em funcionamento oferece às organizações a oportunidade de aproveitar anos de experiência mantendo sites baseados em WordPress de alto perfil e alta escala online e seguros diante de ameaças.

Construído com vários níveis de controles e proteção de segurança, incluindo proteção de borda, rede segura, controles de acesso robustos, monitoramento contínuo de segurança e leitura de código, o WordPress VIP atende aos requisitos de segurança mais exigentes. É por isso que tem a confiança de clientes em setores de alto risco, como bancos, farmacêuticos, serviços públicos e governo. Também somos a única plataforma WordPress a alcançar FedRAMP Authority to Operate (ATO).

Procurando atualizar para um CMS mais seguro e testado em batalha? Saiba mais sobre o WordPress VIP, incluindo nossas raízes profundas em software de código aberto. E só para constar, você pode ir em frente e verificar o status da nossa plataforma WordPress VIP agora mesmo.