Securitatea Site-ului din perspectiva GDPR
Daca ai nevoie sa implementezi GDPR magazin online, GDPR site web poti contacta si cere o oferta la hackeradvisor pentru a implementa rapid si ieftin solutia noastra de securitate!
Pentru a fi compliant cu cerintele GDPR trebuie sa te asiguri ca aspectele de mai jos sunt respectate si implementate pe site-ul tau, astfel incat datele colectate de tine prin intermediul site-ului sa fie in siguranta.
- Asigura-te ca ai back-up la site si la date. Asigura-te ca arhivele sunt criptate si salvate intr-un loc sigur.
- Datele colectate in baza de date (SQL) aferenta site-ului tau, sunt criptate.
- Asigura-te ca informezi utilizatorul la Signup, cu privire la Politica de securitate implementata pe site.
- Asigura-te ca ai implementat HSTS (HTTP Strict transport security) la SSL/TLS implementat pe site.
- Asigura-te ca ai adaugat Javascript-urile externe, pe care le ai implementate pe site, ca si colectori de date in calitate de procesatori externi.
- Asigura-te ca ai un firewall instalat pentru site.
- Asigura-te ca ai un sistem de detectare a intruziunilor (monitorizare fisiere site permanent pentru detectare modificari, detectare inserare a unor Javascript-uri malicioase).
- Inregistreaza-ti domeniul la HaveIbeenPwned pentru a fi notificat daca ti-au fost compromise email-urile.
- Informeaza-ti utilizatorii ca ai o Politica de confidentialitate si cere-le acordul.
- Implementeaza SSL /TLS pentru a securiza conexiunea utilizatorului cu site-ul.
- Asigura-te ca toti angajatii si sub-contractorii cu care lucrezi au fost informati cu privire la prelucrarea datelor personale si a politicii de confidentialitate si semneaza acorduri cu ei.
- Asigura-te ca ai loguri cu toate operatiile, accesarile care se fac pe site.
Scanarea unui site pentru viruși poate fi avantajoasă?
În zilele noastre există diferite tipuri de amenințări online care pot dăuna sistemului unui utilizator, deteriorându-l complet prin răspândirea unui anumit tip de virus. Există hackeri online care sunt întotdeauna gata să pirateze un site vulnerabil, indiferent de dimensiunea site-ului. Mulți proprietari de site-uri web cred că sunt complet în siguranță de orice tip de atac online, dar acest lucru nu este adevărat deoarece hackerii nu diferențiază dimensiunile unui site web, ci verifică dacă un site web este vulnerabil sau nu, așa că pot ataca un site nesigur.
De ce este importantă scanarea unui site pentru viruși?
Acum, mai mult ca oricând, toată lumea ar trebui să fie conștientă și să rămână protejată împotriva malware-ului și a virușilor online. Aceasta este una dintre cele mai mari preocupări, deoarece atacurile online sunt în continuă creștere, iar hackerii încearcă în mod constant să atace zilnic site-urile web. Există mai multe scanere disponibile online și offline, care pot ajuta un utilizator să scaneze întregul sistem sau un site web de viruși.
Programele malware reprezintă o mare amenințare pentru site-uri web, deoarece pot fi extrase o mulțime de date cu caracter personal, iar un hacker poate fura detalii și informații despre vizitatori. Nu are rost să riști informațiile valoroase online și să-ți reproșeze utilizatorii că nu le păstrezi informațiile în siguranță. Prin urmare, este un pas vital să folosești un scaner care va detecta posibilele amenințări și va oferi soluții pentru rezolvarea unei probleme.
În acest articol vei afla despre avantajele scanerului online de viruși și despre modul în care se poate beneficia de caracteristicile unui astfel de scaner. Mai multe companii oferă scanere online gratuite care diferă în funcție de caracteristicile oferite de acestea. Aproape toate scanerele de viruși disponibile online sunt gratuite și oferă doar caracteristici de bază în comparație cu o opțiune plătită. Deoarece scanerele plătite au mult mai multe funcții în comparație cu un scaner gratuit, este recomandat să ai un scaner de site-uri web pentru a verifica în mod regulat nereguli.
Avantajele scanerelor de viruși online:
- Cea mai importantă caracteristică a unui scaner online de viruși este că acesta este gratuit. Nu sunt asociate taxe suplimentare cu un scaner online de viruși. Evident, când scanarea este gratuită, se presupune că funcțiile furnizate vor fi, de asemenea, limitate, iar utilizatorul nu va primi un pachet complet de scanare.
- Scanerele online de viruși oferă funcții limitate, însă acestea îndeplinesc funcțiile de bază în timpul scanării site-ului. S-ar putea primi funcții normale de scanare, cum ar fi scanarea e-mailurilor și verificarea completă a site-ului, dar nu va oferi scanarea în profunzime sau raportul de analiză care ajută un utilizator să rezolve problema.
- Unul dintre principalele avantaje ale unui scaner de viruși online este că este actualizat în mod regulat cu versiuni mai noi și funcții noi datorită comunității dezvoltatorilor online. Astfel, un utilizator poate folosi un software online actualizat care acoperă problemele care nu erau acoperite înainte.
- Diferite tipuri de scanere online oferă diferite tipuri de caracteristici bazate pe companie și pe ceea ce pot oferi în software-ul gratuit. Este esențial să compari scanerele online pentru a obține cele mai bune caracteristici la un cost absolut zero.
- Scannerele online detectează programe malware și troieni care îi informează pe utilizator cu privire la problemele de pe site-ul tău, astfel încât să poată fi luate măsurile corespunzătoare.
- Scanerele păstrează informațiile de pe site-ul web al utilizatorului în siguranță, ceea ce le salvează de pe lista neagră.
Daca ai un site si vrei sa te protejezi de virusi apeleaza la servicii de securitate site si protectie impotriva malware.
Ghid de securitate pentru site-uri
Cum sa iti faci site-ul mai sigur?
Site-ul dvs este permanent in pericol.
Nu spun asta pentru a încerca să vă sperii, dar aceasta este realitatea lumii în care trăim. Peste 50.000 de site-uri web sunt sparte în fiecare zi, conform studiilor facute de companiile de securitate.
Nu puteți avea mentalitatea „nu mi se va întâmpla”. Întâlnesc tot timpul oameni de afaceri care gandesc astfel. Ei cred că hackerii tintesc site-uri mai importanate decat al lor și nu au niciun motiv să-i vizeze. Nu este cazul. De fapt, 43% dintre infracțiunile informatice sunt împotriva întreprinderilor si site-urilor mici.
Aproximativ 54% dintre companiile din întreaga lume spun că au suferit cel puțin un atac în ultimul an. Doar 38% dintre companii spun că sunt pregătite să facă față atacurilor cibernetice.
Prin urmare, trebuie să luați măsuri pentru a îmbunătăți securitatea site-ului dvs.
Asta m-a inspirat să scriu acest ghid. Vă voi arăta ce trebuie făcut pentru a vă securiza site-ul dvs. astăzi, în 2020.
Cele mai comune amenintari de securitate la adresa site-urilor
Nu există o singură cale prin care site-urile web sunt atacate. Prin urmare, înainte de a continua, vreau să vă ofer o scurtă privire de ansamblu a unora dintre cele mai comune amenințări la adresa securității site-ului dvs. web.
Spam
De obicei, percepem spamul ca ceva enervant. Cu toții primim e-mailuri de spam livrate în căsuța de e-mail sau vedem ocazional pop-uri cu mesaje de tip spam când navigăm online.
Cu toate acestea, uneori, spam-ul este mai rău intenționat decat atat. Spamul sub formă de comentarii este extrem de frecvent pe site-urile web. Bots-ii pot abuza secțiunea de comentarii a site-ului dvs. cu link-uri către un alt site in încercarea de a crea backlinks.
Cu toate că aceste tipuri de comentarii sunt enervante și nu arată bine pe site-ul dvs., acestea nu sunt întotdeauna dăunătoare. Dar, unele dintre aceste link-uri pot conține malware, care poate dăuna vizitatorilor site-ului dvs. dacă fac clic pe acestea.
Sau, crawler-urile Google pot detecta aceste link-uri rău intenționate și pot penaliza site-ul dvs. pentru găzduirea de spam. Acest lucru vă va afecta ranking-ul SEO.
Virusi si malware
Pentru aceia dintre voi care nu știu, programele malware reprezintă „software rău intenționat”. Deci, malware și virușii sunt în esență același lucru. Este posibil ca programele malware să fie cea mai mare amenințare pentru site-ul dvs. Nu mai mult decat 230.000 de versiuni de malware sunt create în fiecare zi.
Aceste tipuri de viruși sunt adesea utilizate pentru a accesa date private sau pentru a utiliza resursele serverului sau ale PC-ului dvs. De asemenea, infractorii folosesc programe malware pentru a câștiga bani cu reclame sau link-uri de afiliere prin hacking-ul site-ului.
Din cauza malware, atât dvs. cât și vizitatorii site-ului dvs. sunt în pericol. Oricine care vizitează site-ul dvs. poate face clic pe un link care descarcă un fișier rău intenționat pe computerul său. Este de datoria dvs. să vă păstrați site-ul în siguranță și să împiedicați să se întâmple acest lucru.
WHOIS domain registration
Cumpărarea unui nume de domeniu este ca și cum ai cumpăra o casă. Compania care vinde casa trebuie să știe cui a vandut si sa obtina informatii pentru a putea contacta cumparatorul. Aceastea vor fi înregistrari publice.
Același lucru este valabil și pentru cumpărarea unui domeniu. În funcție de țara în care vă aflați, vi se va solicita să publicați informații despre dvs. care sunt înregistrate pe datele WHOIS. În afara informațiilor dvs. personale, aceasta conține, de asemenea, informații legate de DNS-urile alocate domeniului.
Hackerii pot utiliza aceste informații pentru a identifica locația serverului pe care îl utilizați si ulterior ca o poartă de acces pentru serverul dvs. web.
Atacuri DDoS
Atacurile DDoS refuză accesul utilizatorilor care încearcă să viziteze un anumit site. Practic, hackerul folosește adrese IP spoof pentru a supraîncărca serverele cu trafic. În consecinta, site-ul nu mai este online.
In timpul acestor atacuri serverul atacat este vulnerabil pentru malware.
Search engine blacklists
Tehnic, aceasta nu este o amenințare la adresa securității. Cu toate acestea, dacă site-ul dvs nu este securizat corespunzător, acesta vă poate afecta clasamentul SEO.
Conform unui studiu recent, 74% dintre site-urile hacked au fost atacate din motive SEO.
Am menționat succint acest lucru mai devreme si când discutam despre comentarii spam. Dacă motoarele de căutare detectează conținut rău intenționat pe site-ul dvs., clasamentul dvs. SEO va avea de suferit.
Dacă mulți utilizatori raportează site-ul dvs. ca spam sau nesigur, puteți fi adăugat la lista neagră (blacklist) a motorului de căutare Google sau a altor motoare. După ce te afli pe această listă, este destul de dificil să fi scos si sa-ti reiei pozitia in clasamentul SEO Google.
Cum sa-ti securizezi site-ul ?
Acum cunoașteți unele dintre cele mai comune amenințări la adresa securității. Este timpul să le împiedicați să se întâmple, respectand cateva recomandari esentiale.
Nu puteți doar să presupuneți că site-ul dvs. este securizat. Dacă nu ați făcut nimic pentru a îmbunătăți securitatea, este probabil vulnerabil la atacuri. Aceștia sunt pașii pe care trebuie să îi urmați pentru a îmbunătăți securitatea site-ului dvs. în 2020.
Folositi protocolul HTTPS
Dacă site-ul dvs. nu folosește în prezent protocolul HTTPS, trebuie să considerati ca fiind prima prioritate implementarea acestui protocol de securitate. Acest lucru spune în esență vizitatorilor site-ului dvs. web că interacționează cu serverul web și nimic / nimeni altcineva nu poate modifica sau intercepta conținutul pe care îl vizualizează.
Fără HTTPS, un hacker poate schimba informațiile din pagină pentru a colecta informații personale de la vizitatorii site-ului. De exemplu, ei ar putea fura informații de conectare și parole de la utilizatori.
Protocolul HTTPS vă va îmbunătăți, de asemenea, poziția in rezultatele de căutare SERPS. Google recompensează site-urile web care utilizează această măsură de securitate cu pozitii mai bune.
În plus, puteți îmbunătăți această măsură de securitate și mai mult prin combinarea HTTPS cu un certificat SSL (secur sockets layer). Acest lucru este necesar pentru site-urile de comerț electronic, deoarece utilizatorii trimit informații sensibile, cum ar fi numere de carti de credit, nume și adrese.
În timp ce certificatele SSL nu împiedică în mod necesar un atac sau distribuirea de malware, acesta criptează comunicarea dintre server și browserul web al utilizatorului. Chiar dacă nu vindeți nimic pe site-ul dvs., vă recomand să folosiți protocolul HTTPS și să adăugați un certificat SSL pentru a adăuga securitate site-ului dvs.
Actualizati software-ul
Orice software pe care îl utilizați pe site-ul dvs. trebuie să fie actualizat. Trebuie să actualizați WordPress-ul, plugin-urile, CMS și orice altceva necesită o actualizare.
De ce?
În plus față de remedierea erorilor sau a greșelilor, actualizările software vin de obicei cu îmbunătățiri de securitate. Niciun software nu este perfect. Hackerii vor căuta întotdeauna modalități de a profita de vulnerabilitățile software-ului.
O mulțime de atacuri cibernetice sunt automatizate. Atacatorii folosesc bot-i pentru a scana si a gasi doar site-urile vulnerabile. Așadar, dacă nu sunteti actualizati cu cele mai recente versiuni de software, pentru hackeri va fi ușor să vă identifice site-ul înainte de a mai putea face ceva.
Alegeti un web hosting de calitate
În teorie, dacă furnizorul de găzduire web are securitate pe serverele sale, veți beneficia de aceleași niveluri de protecție. Cu toate acestea, nu este întotdeauna adevarata aceasta asertiune.
Alegerea unui plan de găzduire shared poate fi atrăgătoare din cauza prețului, dar nu este cea mai sigură alegere pe care o puteți face. După cum îi spune și numele, partajați server-ul cu alte site-uri dacă alegeți acest tip de plan de găzduire.
Dacă unul dintre aceste alte site-uri este atacat, un hacker poate avea acces la serverul pe care îl folosești și tu. Nu încerc să te conving ca un hosting shared este cea mai proasta alegere, dar dacă vrei să sporești securitatea site-ului tău, mai bine alege o altă opțiune.
Schimba-ti parolele
Schimbați-vă parola! Nu pot sublinia acest lucru suficient.
De multe ori vorbesc cu persoane care au aceeași parolă pentru tot ceea ce dețin și este ceva ce foloseau în urmă cu zece ani.
Iată problema. Să zicem că ești un gurmand. Așadar, ai un cont la un site popular de recenzie a restaurantelor care necesită adresa dvs. de e-mail și parola pentru a scrie recenzii. Dacă această platformă este compromisă, hackerii au acces la numele de utilizator și la parola dvs. Dacă află că dețineți un anumit site, pot încerca aceeași parolă și vor avea acces la acesta.
De subliniat, 25% din parolele pot fi sparte în doar trei secunde.
În plus, ar trebui să alegeți un hosting care utilizează autentificarea cu doi factori. Aceasta va adăuga un strat suplimentar de securitate pentru protecția prin parolă. Dacă hosting-ul nu oferă acest lucru, există alte modalități prin care puteți să îl activați singuri folosind aplicații terțe.
Securizeaza-ti computerul personal
Nu permiteți propriilor device-uri să vă amenințe site-ul.
Există malware care injectează fișiere rău intenționate pe site-uri prin furtul datelor de autentificare FTP. Pentru un hacker este mai ușor să realizeze acest lucru dacă vizează computerul personal ca o poartă de acces către site-ul dvs. Așadar, asigurați-vă că computerul dvs. are software antivirus.
Software-ul antivirus este încă un lucru deosebit de important dacă utilizați un computer sau dacă descărcați fișiere online. S-ar putea să instalați în mod involuntar malware pe computerul dvs. fără să știți.
Foloseste tool-uri online pentru monitorizarea securitatii
Nu puteți preveni manual atacurile pe site-ul dvs., in schimb, căutați instrumente și resurse online care vor monitoriza securitatea site-ului dvs. pentru dvs.
Adaugă un firewall pe site-ul dvs. în timp ce combateți simultan malware, spam și alte amenințări în timp real. Puteți rula audituri de securitate care vă vor evidenția vulnerabilitățile, astfel încât să puteți lua măsuri preventive pentru a opri un atac înainte de a se întâmpla.
Limiteaza accesul userilor
95% din atacurile de securitate cibernetică sunt rezultatul unei erori umane.
Cel mai bun mod de a preveni acest lucru este de a limita numărul de oameni care pot face o eroare. Nu orice angajat al afacerii dvs. ar trebui să aibă acces la administrarea site-ul dvs.
Dacă angajați un consultant, un designer sau un blogger, nu le oferiți în mod automat persoanelor respective accesul administrativ si posibilitatea modificării setărilor de pe site-ul dvs. Implementați principiul celui mai mic privilegiu.
Să presupunem că atribuiți un proiect unei persoane care necesită un anumit nivel de acces la administrarea site-ul dvs. Prin aplicarea acestui principiu, oferiți acces doar pentru timpul necesar finalizarii sarcinii. Odată finalizată, persoana revine la nivelul de acces obisnuit.
Asigurați-vă că fiecare utilizator are propriile sale autentificări. Dacă mai multe persoane partajează un nume de utilizator și o parolă, nu le oferă nicio responsabilitate. Echipa dvs. este mult mai probabil să fie atentă cu manipularea de informații sensibile în cazul în care o eroare sau o schimbare poate fi urmărită pornind de la datele de conectare.
Faceti Backup la site
Când vine vorba de securizarea site-ului dvs., ar trebui să vă pregătiți întotdeauna pentru cele mai rele scenarii. Evident, nu doriți niciodată să vă aflați într-o situație în care site-ul dvs. este compromis. Dar în cazul în care ceva nu merge bine, viața ta va fi mult mai ușoară dacă conținutul tău este complet salvat intr-un backup.
Modificati setarile default ale CMS-ului folosit
Așa cum am mai spus, atât de multe atacuri sunt automatizate. Hackerii programează roboti pentru a găsi site-uri cu setări implicite. Astfel, ei pot viza o gamă mai largă de site-uri și vor avea acces folosind același tip de malware sau virus.
După ce instalați CMS-ul, asigurați-vă că modificați unele dintre setările implicite:
Setările pentru comentarii
Controlul utilizatorilor
Vizibilitatea informațiilor
Permisiunile fisierelor
Acestea sunt exemple de setări pe care le puteți face rapid.
Restrictioneaza File uploads
Daca permiteti vizitatorilor să încarce fișiere pe site-ul dvs. poate fi riscant. Acest lucru se datorează faptului că orice fișier ar putea conține un script care exploatează vulnerabilitățile pe site-ul dvs. atunci când este executat pe un server.
În unele cazuri, natura site-ului dvs. poate necesita încărcarea fișierelor. De exemplu, este posibil să doriți ca utilizatorii să adauge fotografii cu produsele dvs. atunci când scriu o recenzie. În acest caz, ar trebui să tratați în continuare toate încărcările de fisiere ca o potențială amenințare.
Puteți configura, de asemenea, ca fișierele care sunt încărcate să fie stocate într-un folder sau baza de date dintr-o altă locație. Puteți crea un script care va prelua acele fișiere dintr-o alta locație la distanță pentru a le afisa în browser.
Acest lucru va necesita unele codări și este un pic complex de configurat, așa că nu voi intra în prea multe detalii în acest moment. Soluția simplă este de a evita încărcările de fișiere în totalitate, sau cel puțin restricționarea tipurilor de fișiere care pot fi încărcate.
Concluzii
Securitatea site-ului web trebuie să fie una dintre prioritățile dvs.
Dacă nu ați luat nicio măsură pentru securizarea site-ului, sunteți în prezent în pericol chiar în timp ce citiți acest articol.
Este aproape imposibil ca un site să fie 100% sigur – hackerii vor găsi întotdeauna noi modalități de a ataca site-urile și de a fura informații. Dar puteți impiedica acest lucru luând măsurile de securitate pe care le-am enunțat mai sus.
Dacă infractorii cibernetici se confruntă site greu de spart, ei vor trece pur și simplu la alte site-uri care nu au implementat masurile de securitate care am vorbit.
sursa: virusdie.ro
Hacker + Phishing= fraudă
Hackerii sunt experţi în informatică, la fel de buni sau chiar mai buni decăt programatorii, decât dezvoltatorii de programe informatice complexe, decât experţii CIA, devreme ce îi surclasează adesea, aceştia ( hacker-ii) fiind capabili să infecteze zeci de mii de pagini web parolate, protejate prin antiviruşi, aparţinâd unor instituţii de stat, bănci, agenţii de securitate, ţări, etc. Phshingu-ul, adică încercarea de a fura informaţiile şi datele cuiva, începând de la utilizatori simpli până la utilizatori de anvergură, cum ar fi agenţiile guvernamentale, este practicat astăzi cu asupra de măsură la nivel mondial, punând sub semnul întrebării siguranţa programelor informatice complexe, ameninţate şi din alte părţi, ( cutremure, uragane, dereglări climatice sau magnetice, cataclisme, etc.) creând un val de neîncredere general. Nimic nu mai este sigur pe lumea aceasta! Ebola, de exemplu , pare o nimic toată pe lângă viruşii creaţi şi răspândiţi, la scară planetară, de către hackeri. Giganţi ai internetului precum Yahoo sau Google, servere ale guvernelor, ale poliţiiilor naţionale, băncilor sau chiar ale armatelor, au fost şi sunt atacate permanent, provocând pagube importante şi nelinişe. Societăţile secrete ale userilor nemulţumiţi, transformate în societăţi de phishing, controlate de hackeri, precum Anonymus, şi declarate antisistem, antiautoritate, trec la acţiuni concertate împotriva sistemelor corupte, societăţii de consum, inegalităţii, politicului, în general, proferând ameninţări, atacând informatic sau creând, pur şi simplu, panică printre oameni. Anonymus aminteşte de congregaţia catolică de pietate, recunoscută chiar de Vatican, Opus Dei, printre fondatorii căreia se numără Sir Isaac Newton, Sandro Botticelli, Victor Hugo şi Leonardo da Vinci, care utilizase, acum aproape patru sute de ani tehnici de constrăngere inimaginabile de spălare a creierilor, ducând la aşa-zisa „mortificare corporală”, societate anonimă care există şi astăzi.
Protectie site folosind servicii de monitorizare a securitatii
Era internetului a ajutat la dezvoltarea afacerilor online si a facut achizitionarea de produse si servicii mai usoara si mai convenabila. Totusi exista factori de risc care, inevitabil vin la pachet cu o afacere online. Orice afacere deschisa si derulata online se poate confrunta cu un atac al hackerilor profesionisti. Acestia pot cauza pagube semnificative la site-uri, care in ansamblu pot afecta buna functionare a afacerii. Pentru a fi ferit de astfel de riscuri, verificarea securitatii site-ului este esentiala pentru afacerea ta online.
Hackerii profesionisti sunt experti cu vaste cunostinte despre functionarea site-urilor si sistemelor. Totusi, acesti profesionisti isi folosesc talentul intr-un mod negativ producand pagube afacerilor online. Hackerii tin sub observatie site-urile diverselor afaceri online incercand sa gaseasca puncte slabe de acces. Odata descoperite vor viza tranzactiile financiare pentru a putea extrage banii si distruge sistemul. Sunt multe masuri de prevenire care pot asigura site-ul in cazul unor atacuri. Verificarile de securitate si folosirea sigiliilor permit companiilor online sa-si pastreze afacerea securizata cu tranzactii fara probleme si clienti multumiti. Verificarile de securitate te ajuta in protejarea site-ului, iar sigiliile de securitate instiinteaza clientii ca se afla pe un site securizat.
Cateva moduri de protectie si securizare a site-ului:
– Parolele de logare ale utilizatorilor nu ar trebui sa fie citibile in baza de date, in caz contrar dau o sansa hackerului sa acceseze un cont si sa-l foloseasca.
– Functiile de upload trebuie verificate atent. Daca admin-ul permite incarcarea de fisiere pe server, hackerii obtin o sansa de a-si incarca un fisier de acces backdoor. Cel mai bine este ascunderea fisierelor prin redenumire pentru a fi protejate de hackeri.
– In cazul in care site-ul tau este spart, veti observa o scadere drastica a numarului de vizitatori deoarece Google urmareste astfel de pagini care sunt puse sub risc si este oprit accesul spre ele. Acest lucru poate cauza probleme afacerii tale. Este indicat sa faceti un test de penetrare a site-ului pentru a-l putea asigura corespunzator.
– Chiar si pentru o problema minora aparuta este bine sa fie oprit site-ul pana ce va fi complet remediata. Daca nu este rezolvata in timp util, poate duce mai tarziu la probleme serioase pentru site.
Sunt foarte multi furnizori in lume, recunoscuti pentru serviciile de securizare a site-urilor. Provensec este unul dintre furnizorii premium pentru servicii de securitate web in Statele Unite. In Romania, oferim solutii excelente de securitate pentru companiile online la preturi foarte mici. Serviciile oferite de companie sunt de incredere, iar afacerea ta este asigurata si protejata de hackeri.
SEO si securitatea Site-urilor
Un prejudiciu comun pe care un hacker poate sa il faca, este sa injecteze pe site-ul tau un cod, in scopul de a fura trafic, sau pur si simplu pentru a dauna imaginii acestuia. Trebuie sa fii foarte atent. Hackerii pot instala link-uri daunatoare site-ului, pe care nimeni nu le poate vedea. Cu toate acestea, doar motoarele de cautare vor detecta astfel de link-uri si, involuntar, proprietarul site-ului ar putea fi penalizat.
Atunci cand un hacker instaleaza link-uri daunatoare pe un site, de cele mai multe ori, el face prin acest lucru un efort de a face bani prin furt de trafic. Astfel, tot efortul depus de campaniile de promovare SEO este compromis. Asadar, acorda o atentie sporita, pentru a vedea daca site-ul tau se comporta intr-un mod ciudat. Prin urmare, trebuie sa verifici in mod regulat site-ul pentru a evita unele incalcari ale securitatii acestuia. Daca detii un site web, esti pana la urma persoana responsabila de integritatea lui si ai obligatia de a-l verifica periodic impotriva intrusilor. Evitarea unui astfel de prejudiciu se face prin mentinerea plugin-urilor actualizate. Pentru orice gauri de securitate cunoscute vor fi patch-uri, si, prin urmare, site-ul este protejat (cel putin pentru moment, pentru ca hackerii vor fi mereu in cautarea unei noi vulnerabilitati). In utilul Google Webmaster Tools, proprietarii de site-uri pot verifica dreptul de proprietate asupra site-urilor lor si pot stabili cine este autorizat sa efectueze modificari pe ele si cine nu. Aici, proprietarii de site-uri pot monitoriza, de asemenea, setarile site-urilor pentru a se asigura ca nu fost facute modificari nedorite.
Astfel de practici ale hackerilor duc adesea la pierderea traficului propriului site cat si la primirea de avertismente de malware, care vor descuraja cu siguranta increderea potentialilor vizitatori ai site-ului. Prin urmare, proprietarii de site-uri trebuie sa fie in alerta, pentru a evita eliminarea din indexul motoarelor de cautare, pierderea imginii cat si a gradului de incredere asupra site-ului lor.
Mai multe informatii despre SEO gasiti pe www.skyranking.ro.
Cum se dezactivează Directory Listing pe un server Web
In timp ce navigam pe internet, cei mai multi dintre noi ne asteaptam sa vedem doar paginile oferite. Cu toate acestea, uneori, ajungem la o lista de fisiere care s-ar putea vizualiza ca in Windows Explorer, spre deosebire de o pagina web. Aceasta se numeste o listare de director ( Directory Listing) . Acesta metoda este folosita uneori pentru a oferi fisiere cu usurinta pe internet, dar neintentionat, poate permite unui atacator sa obtina informatii valoroase despre site-ul dumneavoastra.
De ce ai vrea sa elimini Directory Listing ?
Listingul directorului se poate intampla in doua modalitati. In primul rand, un atacator ar putea vizualiza toate fisierele dintr-un director web. Acest lucru a permite sa vada fisierele care nu ar putea fi legate de ce ofera site-ul dvs., inclusiv fisierele care pot include informatii sensibile, cum ar fi fisiere backup script ( index.php ~ sau index.php.bak), htaccess, sau fisiere text cu note (password.txt!)
Cealalta metoda in schimb este mult mai periculoasa. Unele servere de web sunt de configurate, astfel incat home web este de fapt home user, astfel incat trimiterea anumitor sintaxe, in bara de adresa de web poate permite listarea unor directoare in afara structurii normale a directorului web. Acest lucru este mai periculos, deoarece un atacator poate fi capabil sa gaseasca si sa execute programe de pe server prin intermediul browser-ului.
Este posibil ca vulnerabilitatea Directory Listing sa ma expuna unui atac ?
In general, acest lucru nu este o amenintare la adresa securitatii, deoarece permite atacatorului numai sa obtina informatii. Cu toate acestea, informatiile colectate vor ajuta atacatorul sa analizeze site-ul dvs. pentru a gasi punctele slabe, si ar putea conduce la un atac de succes.Iin cel mai rau caz, aceasta vulnerabilitate ar putea permite atacatorilor sa atace serverul de web imediat folosind URL-ul.
In cazul in care unul sau mai multe directoare contin un fisier secret, cum ar fi un fisier de parole sau un fisier cheie, atacatorii ar putea sa-l fure. In plus, Directory Traversal poate permite uneori hackerilor sa acceseze fisiere din afara directorului web radacina, ceea ce duce la furtul de fisierele de sistem, sau poate conduce la alte atacuri.
Cum se dezactiveaza Directory Listings in Apache
Daca utilizati serverul de web Apache, puteti dezactiva navigarea prin directoare. Este recomandabil sa urmati pasii de mai jos, asta in cazul in care nu doriti sa limitati acesul utilizatorilor. In acest caz, trebuie sa activati urmatoarele de mai jos, si sa setati exceptii pentru directoarele pe care doriti sa le afisati.
- Navigati la fisierul de configurare Apache (httpd.conf)
- Deschideti fisierul de configurare cu ajutorul unui editor de text ca vi (vi httpd.conf)
- Cauta sectiunea de director de fisier unde se afla site-ul dvs., si cuvantul cheie Optiuni.
- Ar trebui sa arate ceva de genul:
<Directory /home/mywebuser/public_html> Options Indexes </Directory>
- Actualizati optiunea „Indexes” din cele de mai sus, astfel incat linia ar trebui sa citeasca:
Options -Indexes
Daca fisierul de configurare arata diferit, este in regula. Singura actiune importanta, este sa va asigurati, ca indexurile au un semn minus sau doar cuvantul ‘None’. De fapt, daca nu aveti nevoie de alte optiuni, cel mai bine este sa-l setati la ‘None’, de la bun inceput.
Daca nu aveti acces la configuratia principala Apache, puteti face acelasi lucru in fiecare folder prin includerea liniei respective in fisierul .htaccess din fiecare subdirector. Acest lucru se va realiza in mod eficient aceeasi actiune, dar trebuie sa fiti atenti sa blocati, de asemenea, posibilitatea de vizualizare htaccess.
Resurse Suplimentare
Detectarea Integer Overflow in Site-urile Web
Ce inseamna detectarea Integer Overflow?
Integer Overflow este un tip de atac care dateaza inca de pe vremea primelor limbaje de programare, bazat pe limitele de intreg și pe design-ul numerelor. Limbajele de programare iau decizii bazate pe modul in care pot stoca diferite tipuri de informatii. Datele integer, spre exemplu, sunt adesea depozitate într-un anumit numar predefinit de biti și octeti. Mergand mai jos, catre codul binar, imaginați-va că aveți doar 4 biți pentru a stoca codul, din 0000 (0) 1111 (15). In cazul în care un program a folosit 15 pentru anumite date, iar apoi a adăugat un 1 pentru a obține 16, binar ar arata ca 10000. Cu toate acestea, limbajul de programare verifica numai la ultimele 4 cifre binare, astfel incât programul vede 0000 – zero!
In realitate, gama de cifre necesare pentru a produce un astfel de efect, este mult, mult mai mare. De multe ori, intervalul nu este format numai din numere pozitive, dar si numerele negative de asemenea. Astfel, cand o serie de numere se „rastoarna” aaa cum se vede mai sus, s-ar merge la cel mai mic număr, care poate fi negativ sau zero.
Imaginați-va un scenariu de atac în cazul în care un site cere unui utilizator sa faca o plata pentru o anumita suma de bani. Atacatorul stie ca site-ul va scadea valoarea platii din balanta pentru a obtine valoarea finala. Un atacator ar putea crea un numar special, care va profita de aceasta rasturnare, pentru a crea o balanta negativa, fara sa plateasca nimic!
In aplicatie utilizatorul introduce valori integer pentru a initia anumite actiuni, cum ar fi citirea si scrierea memoriei pe un sistem. Totodata, daca site-ul dumneavoastra trimite valori integer definite de catre utilizator catre un sistem de operare, acel program ar putea fi vulnerabil catre aceste tipuri de atacuri integer, care pot duce la comprimiterea sistemului, si ar trebui evitate cu atentie.
Cum afecteaza asta securitatea mea ?
Integer Overflows sunt mult mai greu de exploatat decat alte vulnerabilitati scanate pe site-ul dvs.
Totusi, sunt alte vulnerabilitati mult mai serioase, care pot fi folosite pentru compromite intregul sistemul sau chiar modificarea datelor intr-un mod nedorit.
Prevenirea Integer Overflow
Multe limbaje web sunt securizate impotriva integer overflow. Ele se comportă asa cum te-ai aștepta – returnarea valorii maxime a unui intreg în cazul în care suma este prea mare, in locul unui roll over. Cel mai bun mod de a preveni aceste tipuri de atacuri este de a menține biblioteca software actualizata.
Daca acest lucru nu este posibil, și o scanare a site-ului returneaza vulnerabilitati integer overflow, atunci ar trebui să analizeze cu atenție atat intrarile primite de la utilizator cat și operațiunile relizate pe el. Definirea unei valori maxime și minime care ar avea sens pentru site-ul dumneavoastră este prim pas. In cazul platilor, nici o plată de mai mare de o mie de lei nu este acceptată, și nimic nu sub 0. Prevenirea ca utilizatorii sa nu introduca alte valori integer in sistem ar impiedica orice atac de tip integer overflow asupra datelor utilizatorului.
Resurse Suplimentare
Divizarea raspunsului header-ului HTTP
Divizarea raspunsului header-ului HTTP este un atac menit sa fure datele utilizatorilor de pe un site. Poate fi folosit pentru a executa atacuri de tip cross site scripting, pentru furtul datelor utilizatorilor sau pentru alterarea design-ului unui site, astfel incat sa para ca asa a fost creat de catre proprietar.
Cat de serioasa este divizarea raspunsului HTTP ?
De fiecare dată când un browser solicită o pagină web, informații cunoscute sub numele de header-e sunt trimise de la pagina cate browser. Acestea îndeplinesc funcții importante, cum fi, sa transmita browser-ului ce limbă ar trebui să afișeze, în cazul în care ar trebui să fie executate anumite actiuni, precum și modul în care site-ul a fost scris. Spre exemplu, aici este un antet de probă de la Google:
https://www.google.com/ GET / HTTP/1.1 Host: www.google.com User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.8) Gecko/20100722 Firefox/3.6.8 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip,deflate Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7 Keep-Alive: 115 Connection: keep-alive
In timpul scrierii codului site-ului, exista multe situatii in care ati vrea sa actualizati dau sa setati dvs. header-ul. De exemplu, o actiune uzuala, este de a stabili antetul referrer în PHP. Ca o simplă ilustrare de divizare a răspunsului, sa presupunem ca ati avut un cod care a stabilit un antet folosind un parametru găsit în URL-ul (un parametru GET):
<?php
header("Location: ".$GET['redirect']);
?>Acest cod va seta header-ul cu locația pentru pagina ta. O persoană rău intenționata ar putea recunoaște acest lucru, și ar putea să încerce să modifice header-ele trimise de pagina ta. Dacă observați header-ul de exemplu (pagina de Google) fiecare tip de header începe de pe o linie nouă. Un atacator ar putea modifica modul în header-ul este setat prin schimbarea adresei URL:
www.mysite.com/page1.php?redirect="www.a badsite.com"
Dar acest exemplu nu este cel mai rău lucru care se poate întâmpla. Dat fiind faptul ca sfârșiturile de linie vin intre antete, un atacator ar putea schimba chiar intregul mod de afisare al site-ului dvs.:
www.mysite.com/page1.php?redirect=\r\nContent-type:text/html\r\n<html>new site!</html>
Acest lucru ar introduce un header nou (content type) și un cod HTML, care va fi plasat în partea de sus a paginii, ca si cand ar fi trebuit sa fie acolo. URL-ul introdus de mai sus nu este un atac complet (ar fi necesare mai multe header-e) dar ilustrează modul în care funcționează un atac de acest fel.
Cum afecteaza asta securitatea mea ?
Divizarea de header este la fel de periculoasa ca si orice alt atac menit sa fure informatii de utilizatorii de pe site.
Indemnarea unui utilizator sa faca click pe aceste adrese speciale nu este atat de dificil pe cat pare, din moment ce un atacator poate posta o astfel de adresa pe un forum popular, in tag-uri html <img>. Sunt multe alte modalitati de a pacali utilizatorul sa acceseze o anumita adresa.
Prin urmare, divizarea antetelor ar trebui sa fie considerata la fel de periculoasa ca si orice alta modalitate de furt al datelor de utilizator cum ar fi cross site scripting.
Prevenirea Divizarii Raspunsului
Ca multe alte atacuri, acesta se bazează pe datele transmise de către utilizator, sau care pot fi modificate de către utilizator. De fiecare dată cand setați informațiile de headet în interiorul aplicatiei dumneavoastră, asigurați-vă că datele nu pot fi modificate de catre un utilizator, sau ca sunt securizate corespunzator. Acest lucru se poate face pentru informațiile din header prin verificarea cu atenție a datelor de intrare, si a lungimii lor.
Chiar daca datele sunt verificate, nu există o soluție universala pentru orice atac posibil, dar verificarea datelor este un prim pas. Elimina caracterele cum ar fi Line Feed (\ r, sau LF, și alte variante) șau New Line (\ n, CR, precum și alte variante).
In cele din urma, asigurati-va ca serverul dvs. și codul web scripting sunt actualizate. PHP incepand cu versiunea 5.1.2 a adaugat mecanisme de aparare pentru divizarea header-ului, daca se utilizează codul de header descris mai sus. Pastrarea tuturor aspectelor legate de serverului dvs. actualizate poate ajuta la blocarea celor mai comune forme de atac.
Resurse Suplimentare
HTTP Response Splitting How To
Response Splitting Examples
Cauta Setarile necorespunzatoare pe serverul tau
HackerAdvisor.com include scanari numeroase si diferite, care te vor ajuta sa-ti securizezi site-ul, inclusiv te vor ajuta sa desscoperi daca esti divizarea header-ului HTTP.
Directory Traversal
Directory Traversal este abilitatea de a trece de la un director la altul. Servere web seteaza de obicei un singur subdirector pentru a fi accesat public, prin browserele web, iar restul de directoare sa fie cu acces limitat.
Atacurile Directory Traversal
Daca sunteti autentificat pe server ca si utilizator, ati putea rula comenzi pentru a va deplasa in directoare pe server:
[username:/export/home/user/public_html/] cd .. [username:/export/home/user/]
Atacurile de tip Directory Traversal (cunoscute si sub numele de atacuri „dot dot slash”) cauta sa exploateze aceasta comanda text, si sa gaseasca vulnerabilitati in implementarea programelor sau scripturilor pentru a accesa date sau fisiere in afara directorului web setat ca fiind public.
Cea mai veche modalitate de a executa acest atac, este direct din fereastra de tastare URL-uri a browser-ului web in sine. Daca ar fi sa navigam in bara de tastare URL-uri, am putea cere browser-ului sa afiseze un director mai mare.
www.mysite.com/index.html -> maps to /export/home/user/public_html/index.html
stim ca un fisier special, numit showSecrets.php este in directorul inaccesibil /export/home/user/secrets, asa ca vom incerca sa pacalim browser-ul sa afiseze fisierul prin accesarea urmatorului URL:
www.mysite.com/../secrets/showSecrets.php -> maps to /export/home/user/secrets/showSecrets.php
Daca serverul web nu este securizat impotriva acestui tip de atac, va afisa showsecrets.php!
O alta metoda mai putin cunoscuta, foloseste date de intrare pentru a cere site-ului dvs., sa returneze fisiere. Imaginati-va ca ati avea implementate unele functionalitati pentru a prelua fisiere dintr-un anumit director, si sa afiseaza o lista a acestor fisiere utilizatorilor. Cand un utilizator da click pe fisier, vei trimite anumite date catre o noua adresa URL, pentru a afisa fisierul.
URL:
www.mysite.com/getFile?fileName.txt
Codul PHP pentru a gasi si afisa fisierul:
<?php
$filename=$_GET["getFile"]; //get the filename from the URL
$fh = fopen("/export/home/user/public_html/files/".$filename, "R"); //open file for reading
echo fread($fh, filesize($filename)); //read and display contents
?>
Un atacator poate observa acest lucru, si sa modifice URL-ul pentru a solicita un fisier secret, similar cu ceea ce am vazut mai sus:
www.mysite.com/getFile?../../secrets/showSecrets.php
Site-ul afiseaza acum continutul fisierului secret atacatorului! Fisierul PHP se deschide si ar arata asa:
/export/home/user/public_html/files/../../secrets/showSecrets.php -> maps to /export/home/user/secrets/showSecrets.php
Cum afecteaza asta securitatea mea ?
Directory traversal poate fi foarte periculos, dat fiind faptul ca expune informatii private pe internet. Atacatorii pot folosi acest acaesta metoda pentru a descarca fisiere personale, sau pentru a ataca in diferite moduri sistemul dumneavoastra. In functie de modul in care fisierele sunt accesate folosind aceasta metoda, atacatorii pot fi in masura sa execute procese pe server, pot descarca fisiere cu parole sau pot a expune codul sursa pentru analize suplimentare, in vederea lansarii de noi atacuri.
Prevenirea Directory Traversal
Pentru atacuri bazate pe browser (punerea … / in URL-ul browser-ului), actualizarea software-ul serverului ar trebui sa corecteze vulnerabilitatea la acest atac. Recent serverele web, inclusiv IIS si Apache, ofera protectie impotriva acestui tip de atac Directory Traversal.
Atacul de tip Directory Traversal este mai greu de identificat si prevenit. Cea mai buna aparare impotriva lui este filtrarea datelor introduse de utilizator. Aceste date pot proveni din cookie-uri, din formulare de intrare (POST si GET), din URL-uri, precum si orice alte surse de date care pot fi influentate de catre un utilizator. Directory Traversal poate surveni in diverse forme. Asigurati-va ca verificati cel putin urmatoarele substitute, sau mai bine puneti intr-un whitelist toate intrarile posibile ale utilizatorilor.
- ..
- %2e%2e urmat de / or %2f
- %c1%1c si similar Unicode strings care s-ar translata la ../
De asemenea, puteti testa ca lungimea path-ului catre fisier trebuie sa fie de o lungime exacta. In exemplele date anterior, calea catre:
/export/home/user/public_html/files/
contine exact 36 de caractere. Orice altceva diferit de aceasta valoare, este invalid.
Resurse Suplimentare
Cauta Setarile necorespunzatoare pe serverul tau
HackerAdvisor.com include scanari numeroase si diferite, care te vor ajuta sa-ti securizezi site-ul, inclusiv te vor ajuta sa desscoperi daca esti vulnerabil la Directory Traversal.
