Как избежать катастрофы CMS: повышение безопасности WordPress на новый уровень

Опубликовано: 2022-11-02

Никто не хочет стать следующим заголовком экстренных новостей из-за утечки данных клиентов или катастрофического краха сайта.

Сегодня онлайн-угрозы существуют в различных формах — от ботов, сканирующих известные уязвимости, до скриптовых детишек, кибербанд и даже субъектов национального государства.

Для осажденных ИТ-команд обеспечение того, чтобы присутствие в Интернете не было скомпрометировано, может показаться чем-то большим, чем работа на полный рабочий день, «работа только для того, чтобы стоять на месте». К сожалению, это часто оставляет драгоценную полосу пропускания для реальной задачи подготовки сайта, его инфраструктуры и бизнеса к его будущему состоянию.

В четвертой серии статей «Как избежать катастрофы с CMS » мы рассмотрим пять способов, с помощью которых организации и их ИТ-специалисты могут защитить свои сайты и приложения от вредоносных атак, защитить конфиденциальные данные клиентов и обеспечить постоянную открытость своего бизнеса.

  • Управление уязвимостями
  • Сетевая безопасность
  • Защита данных
  • Доступ и аутентификация
  • Восстановление после взлома

1. Управление уязвимостями

Выявление и устранение уязвимостей программного обеспечения может оказаться непосильной задачей даже для самых крупных ИТ-команд.

Управление уязвимостями требует постоянной идентификации, классификации, определения приоритетов, управления и устранения уязвимостей в инфраструктуре вашей организации. По данным Национального центра кибербезопасности Великобритании, «эксплуатация известных уязвимостей в программном обеспечении остается основной причиной инцидентов безопасности».

Сканирование уязвимостей

Периодическое сканирование вашей сети для отслеживания любых новых уязвимостей или непреднамеренного открытого доступа к компьютерам является обязательным для любой организации, которая хочет свести к минимуму свою поверхность атаки. К сожалению, обслуживание программного обеспечения для сканирования, просмотр результатов сканирования и принятие мер по ним часто не входят в список приоритетов загруженного ИТ-отдела.

VIP-ответ WordPress:

Наша платформа обеспечивает безопасность всей вашей сети — от защиты границ до защиты данных при передаче между компонентами. Например, защита от DDoS-атак постоянно отслеживает веб-трафик и принимает активные меры по смягчению последствий при обнаружении подозрительной активности. Сетевые и хостовые брандмауэры с процессами уведомления в реальном времени предотвращают попытки несанкционированного доступа.

Исправление уязвимостей

Обновление прикладного уровня — это всего лишь один шаг в этом процессе. Все поддерживающие уровни и инфраструктура также должны обновляться. Иногда выявляются уязвимости, которые не требуют немедленного исправления или не требуют устранения в вашей кодовой базе.

Чтобы поддерживать инфраструктуру приложений в актуальном состоянии, необходимо выполнить несколько шагов, в том числе:

  • Проверка обновлений для каждой части программного обеспечения
  • Сборка нового релиза
  • Тестирование на вашей непроизводственной архитектуре
  • Обеспечение отсутствия новых проблем и последующее исправление тех, которые
  • Перевод рабочего приложения в режим обслуживания и развертывание обновлений

Примечание. Все эти шаги следует выполнять с каждым патчем, доступным на каждом уровне вашего приложения.

В частности, для WordPress это не просто обновление ядра и базовой инфраструктуры. Сторонние темы и плагины должны регулярно обновляться и исправляться. Также важно признавать качество сторонних плагинов, добавленных на ваш сайт WordPress. Некоторые из них могут быть плохо закодированы или содержать уязвимости в системе безопасности — по небрежности или злонамеренно. Такие инструменты, как WPScan, SonarQube или PHP_CodeSniffer, могут помочь автоматизировать проверку кода, чтобы обнаруживать внедряемые нежелательные эксплойты.

VIP-ответ WordPress :

Нашей платформой управляют активные члены сообщества WordPress. Когда возникает проблема, мы немедленно исправим ее, часто до того, как исправление будет добавлено в основной код WordPress. Между тем, мы заранее предупреждаем всех клиентов о: 1) предстоящих автоматических обновлениях WordPress, проверяя, чтобы убедиться, что они находятся на последней версии нашей платформы, и 2) плагинах в дикой природе и попытках исправить эти проблемы на уровне платформы. .

Идя глубже, мы используем автоматическое сканирование кода для запросов на вытягивание, созданных в репозитории приложения GitHub. Это может выявить потенциальные проблемы безопасности до того, как код будет запущен в производство (и полезен для оценки плагинов из более широкой экосистемы WordPress). Используя нашу оркестровку Kubernetes, WordPress VIP обеспечивает развертывание клиентских приложений с нулевым временем простоя.

Наконец, благодаря многолетнему опыту работы с WordPress в масштабе, мы можем смягчить распространенные векторы атак благодаря постоянному тестированию нашей инфраструктуры на наличие уязвимостей и привлечению независимых третьих лиц для проведения тестов на проникновение.

2. Безопасность сети

Сетевая безопасность является жизненно важной частью присутствия организации в Интернете.

Лучшая в своем классе безопасность означает управление как безопасностью периметра, так и безопасностью внутренней сети. Здесь необходимо учитывать множество факторов и управлять ими для эффективной защиты пользователей и их данных.

Системы обнаружения вторжений

Мониторинг и регистрация всего сетевого трафика необходимы для выявления вредоносных или подозрительных действий. Чтобы предотвратить несанкционированный доступ, группам безопасности нужны либо автоматизированные правила, либо оповещения системных администраторов для проверки подозрительного трафика и принятия соответствующих мер.

Брандмауэры

Понимание того, какой трафик разрешен для прохождения через вашу сеть и как приложения взаимодействуют внутри сети и за ее пределами, является обязательным условием для минимизации рисков безопасности. Это означает настройку и проверку правил входа/выхода с использованием программных или аппаратных брандмауэров, которые разрешают запуск только необходимого сетевого трафика для ваших приложений.

Блокирование или разрешение неправильного трафика может помешать работе жизненно важной системы или, что еще хуже, открыть вашу базу данных для всего мира.

Безопасность физической сети

Безопасность сети зависит от ее физической безопасности. Злоумышленник, получив физический доступ к вашим серверам, может обойти лучшие брандмауэры, системы обнаружения вторжений и программное обеспечение для управления угрозами.

Центры обработки данных требуют нескольких уровней физической безопасности, таких как:

  • Контроль физического доступа
  • Мониторинг окружающей среды
  • Сигнализация и датчики
  • Наблюдение
  • Резервное питание

Все они также нуждаются в периодическом аудите, чтобы убедиться, что они соответствуют передовым методам безопасности.

3. Защита данных

Ни одна компания не хочет, чтобы их утечка данных была обнаружена на сайте haveibeenpwned.com для всего мира.

Пользователи быстро теряют доверие к компаниям, которые не защищают их данные на ожидаемом уровне. Чтобы только авторизованные пользователи с определенными ролями могли получить доступ к конфиденциальным данным клиентов, требуется несколько уровней защиты.

Шифрование данных

Связь между вашим приложением и вашими пользователями должна быть зашифрована при передаче, чтобы предотвратить перехват или изменение данных третьей стороной. Безопасность транспортного уровня (TLS) обычно используется для шифрования данных. Для этого необходимо создать сертификаты TLS и обеспечить их обновление.

Поскольку данные также могут быть зашифрованы в состоянии покоя, это требует защиты данных, хранящихся на носителях, таких как резервные копии. Если злоумышленник все же получит доступ, ему все равно потребуется ключ шифрования данных, чтобы фактически использовать данные.

Управление ключами является важной частью шифрования данных. В жизненном цикле ключей есть несколько этапов: генерация, распространение, использование, резервное копирование, ротация и уничтожение. На каждом этапе существуют рекомендации, которым необходимо следовать, чтобы сохранить ваши данные в безопасности.

Журналы аудита

Ведение хронологической записи всех действий, происходящих в вашем приложении на каждом уровне стека, важно для любого предприятия. Журналы аудита необходимы для криминалистических расследований, обнаружения нарушений безопасности и их последствий, а также для понимания системных ошибок.

Журналы аудита должны собирать журналы для нескольких уровней и приложений, достаточно безопасные, чтобы они не могли быть изменены пользователями. И они должны обеспечивать хронологическую точность. Для этого необходимо знать, какие действия необходимо регистрировать, подключать несколько систем к инструменту ELK, такому как Kibana, синхронизировать системы с использованием протокола сетевого времени (NTP), чтобы метки времени были значимыми, и управлять доступом к журналам.

Автоматическое оповещение

Знание того, что определяет инцидент безопасности, что требует ручной оценки и как ими следует управлять, само по себе является искусством.

Автоматический анализ журнала может выявить подозрительное поведение на ранней стадии (если вы знаете, что искать). Инструменты с предопределенными или пользовательскими правилами могут быть созданы специально для вашего приложения. Для этого необходимо настроить параметры анализа журнала, чтобы знать, когда:

  • Следует выполнять автоматизированные действия для защиты от атак и вредоносного трафика.
  • Системная группа должна вручную вмешаться, чтобы изучить шаблоны и попытаться определить, является ли это ложно помеченным доброкачественным поведением или требуется действие.

Все это зависит от хорошо настроенных инструментов и опытной команды безопасности, которая понимает модели использования ваших приложений. Ни одно предприятие не хочет, чтобы часть контента стала вирусной только для того, чтобы их система пометила его как DDoS-атаку и заблокировала трафик.

VIP-ответ WordPress :

Мы поддерживаем отдельную контейнерную инфраструктуру базы данных для каждого клиента и приложения, каждое из которых имеет собственную уникальную аутентификацию. Это снижает риск несанкционированного доступа между приложениями, защищает данные каждого клиента и снижает риск атаки. Мы обеспечиваем безопасность баз данных, файловых систем, приложений и центров обработки данных, а также ежечасное резервное копирование в зашифрованном виде. Наши исходные центры обработки данных соответствуют требованиям Международной организации по стандартизации (ISO), сертификации Международной электротехнической комиссии (IEC) 27001, Стандартам аттестационных заданий (SSAE) № 18 (SOC1) и SOC2 Type 2.

«Безопасность и конфиденциальность — это вещи, которые должны быть в центре внимания — у нас есть большая цель, которая заставляет нас быть сверхбдительными».

— Дэвид «Хос» Хостеттер, цифровой технический директор, Al Jazeera Media Network

Пример из практики: СМИ с глобальным охватом и влиянием «Аль-Джазиры» было необходимо перенести свои ресурсы на платформу CMS, защищенную от злоумышленников. Узнайте, почему они выбрали WordPress VIP.

4. Доступ и аутентификация

По данным Telesign, более половины потребителей используют пять или менее паролей на протяжении всей своей онлайн-жизни, и почти половина потребителей полагаются на пароль, который не менялся в течение пяти лет.

Получение доступа к учетной записи пользователя может быть одним из самых простых способов доступа к защищенной системе. Вот почему детальный контроль доступа, многофакторная проверка подлинности и/или единый вход так важны для организаций, заботящихся о безопасности.

Контроль доступа

Детальное управление доступом и реализация политики «наименьших привилегий» жизненно важны для обеспечения безопасности ваших данных и сокращения возможностей для атак на ваше приложение. Политика наименьших привилегий гласит, что пользователю должны быть предоставлены только те разрешения, которые необходимы для выполнения его задачи. Например, отсутствие у каждого пользователя прав администратора означает, что если злоумышленник получит учетные данные пользователя, вероятность того, что он сможет нанести значительный ущерб, будет ограничена.

Единый вход (SSO)

С помощью единого входа пользователи входят в несколько служб с помощью одного набора учетных данных для входа. Если пользователь не существует в определенной службе, иногда его можно подготовить «на лету», используя сопоставление пользователей от поставщика удостоверений службы. Такие службы, как Azure AD, Google Apps, AuthO или OneLogin, предоставляют функции единого входа.

SSO помогает ИТ-отделам устанавливать централизованные правила для пользователей, сокращать время на восстановление утерянных паролей и устранять необходимость в ручной инициализации и деинициализации пользователей во время подключения/отключения.

Многофакторная аутентификация

Использование MFA обеспечивает дополнительный уровень защиты от компрометации пользователей вашей организации.

MFA требует сочетания по крайней мере двух методов аутентификации для входа в систему. Как правило, он будет настроен с именем пользователя и паролем в качестве первого уровня аутентификации, за которым следует токен аутентификации на основе времени, сгенерированный с помощью аппаратного устройства или программного обеспечения, такого как Google Authenticator. Преимущество этого процесса заключается в том, что даже если имя пользователя и пароль скомпрометированы, пользователь не может войти в систему без токена аутентификации и наоборот.

VIP-ответ WordPress :

WordPress VIP построен на основе детального контроля доступа и разрешений, включая многофакторную аутентификацию, защиту от грубой силы, контрольные журналы доступа к данным и физическую безопасность. Они обеспечивают дополнительный уровень защиты от скомпрометированных паролей, предотвращают доступ неавторизованных сотрудников или подрядчиков к данным клиентов и динамически применяют ограничения на сетевом уровне при обнаружении неестественного поведения.

5. Восстановление после взлома

Автоматическое резервное копирование и резервирование оборудования жизненно важны для бесперебойной работы ваших повседневных бизнес-операций в Интернете.

Резервные копии

Резервные копии жизненно важны для предотвращения потери данных, предотвращения атак программ-вымогателей и быстрого восстановления после сбоев. Существует ряд рекомендаций по резервному копированию, которым должна следовать каждая организация, чтобы обеспечить полный контроль и избыточность своих данных.

  1. Регулярные резервные копии . Чем чаще, тем лучше с точки зрения снижения целевой точки восстановления (RPO) и минимизации потери данных.
  2. Резервное резервирование . Хранение резервных копий в нескольких местах (например, вне офиса) гарантирует, что вы сможете получить к ним доступ, даже если вы потеряете доступ к своему основному серверу.
  3. Зашифрованные резервные копии . Даже если ваше хранилище резервных копий будет скомпрометировано, данные будут бесполезны без ключа шифрования.
  4. Регулярное тестирование . Регулярно извлекайте свои резервные копии и тестируйте их в непроизводственной среде, чтобы убедиться, что ваша команда действительно может восстановить ваш сайт с их помощью.

Аппаратное резервирование

Наличие доступных резервных копий практически бесполезно без резервного оборудования для восстановления.

Для этого требуется резервное оборудование внутри и за пределами вашего основного центра обработки данных. Независимо от того, связана ли проблема с одним сервером или со всем центром обработки данных, ваша команда сможет получить доступ к этому оборудованию, чтобы быстро вернуться в онлайн.

VIP-ответ WordPress :

В маловероятном случае взлома мы помогаем клиентам быстро восстановиться и вернуться к работе благодаря нескольким уровням резервного копирования (исходный центр обработки данных и удаленные местоположения), а также процедурам аварийного восстановления и нарушения безопасности. Мы также предоставляем возможность автоматически отправлять ваши резервные копии в ваше собственное хранилище S3, чтобы вы могли установить для них свои собственные политики хранения данных или даже запустить автоматическое тестирование восстановления. Используя несколько уровней избыточного хранилища, мы можем восстановить данные в их исходном или последнем реплицированном состоянии до момента их потери. WordPress VIP также имеет несколько исходных центров обработки данных, в которые можно перенести сайты в маловероятном случае отказа одного центра обработки данных.

В заключение

Работающий WordPress VIP дает организациям возможность использовать многолетний опыт, от управления уязвимостями до восстановления после взлома, и дает организациям возможность использовать многолетний опыт обеспечения безопасности высококлассных, крупномасштабных сайтов на основе WordPress в сети и перед лицом угроз.

Созданный с несколькими уровнями контроля безопасности и защиты, включая граничную защиту, безопасную сеть, надежный контроль доступа, непрерывный мониторинг безопасности и сканирование кода, WordPress VIP отвечает самым строгим требованиям безопасности. Вот почему ему доверяют клиенты в отраслях с высоким уровнем риска, таких как банковское дело, фармацевтика, коммунальные услуги и правительство. Мы также являемся единственной платформой WordPress, получившей разрешение FedRAMP на эксплуатацию (ATO).

Хотите перейти на проверенную и более безопасную CMS? Узнайте больше о WordPress VIP, включая наши глубокие корни в программном обеспечении с открытым исходным кодом. И просто для протокола: вы можете проверить статус нашей VIP-платформы WordPress прямо сейчас.