Rady k ochraně webu před hackery se často podávají jako dlouhý kontrolní seznam. Problém je, že ne všechny položky na tomto seznamu mají stejnou váhu. Malý počet opatření pokrývá většinu cest útoků, které vedou ke skutečnému napadení, a vědět, která z nich upřednostnit, je rozdíl mezi účinným zabezpečením a jeho pouhým zdáním.
Útoky na weby jsou téměř výhradně automatizované. Skenery prohledávají miliony webů najednou a zkoušejí známé zranitelnosti ve verzích softwaru, běžná hesla a odkryté konfigurační soubory. Web nemusí mít vysokou návštěvnost ani být známý, aby se stal cílem. Stačí, aby byl online a běželo na něm něco se známou chybou. Úplné souvislosti o tom, o co jde, když tato opatření chybí, najdete v článku proč je zabezpečení webu důležité.
Jak chránit web před hackery silným ověřováním
Útoky na přihlašovací údaje patří k nejběžnějším způsobům, jak útočníci získají přístup k webům. Samotné silné heslo nestačí. Automatizované nástroje hrubé síly doopravdy zastaví až kombinace silného hesla, omezení počtu pokusů a druhého ověřovacího faktoru.
Silná a jedinečná hesla
- Hesla účtů správců by měla být dlouhá, náhodná a jedinečná pro daný web. Ne převzatá z jiné služby
- Krátká hesla a hesla založená na běžných slovech nebo vzorcích zkoušejí automatizované nástroje hrubé síly jako první a dokážou vyzkoušet tisíce kombinací za minutu
- Správce hesel vytváří a ukládá silné přihlašovací údaje, takže si je nemusíte pamatovat
Dvoufázové ověření
- Dvoufázové ověření vyžaduje při přihlášení do administrace druhý ověřovací krok navíc k heslu
- I když je heslo ukradeno při úniku dat nebo phishingovým útokem, dvoufázové ověření útočníkovi brání ho použít, pokud neovládá i druhý faktor
- Zapnutí u každého účtu správce je jednou z nejúčinnějších jednotlivých změn, které pro zabezpečení webu můžete udělat
Omezení počtu pokusů o přihlášení
- Nástroje hrubé síly fungují tak, že rychle po sobě zkoušejí tisíce hesel. Omezení počtu neúspěšných pokusů o přihlášení před zablokováním IP adresy tento přístup zastaví
- Mnoho platforem pro weby zahrnuje omezení pokusů o přihlášení jako vestavěné nastavení nebo přes bezpečnostní rozšíření
Odstranění nepoužívaných účtů
- Každý aktivní účet správce se slabým nebo opakovaně použitým heslem je potenciální vstup
- Účty vytvořené pro bývalé zaměstnance, dodavatele nebo vývojáře by se měly odstranit, jakmile už nejsou potřeba
Jak chránit web před hackery péčí o software
Zastaralý software je nejvíce zneužívanou kategorií zranitelností napříč weby. Když se bezpečnostní chyba najde a opraví, podrobnosti se obvykle zveřejní spolu s opravou. Weby, na kterých stále běží stará verze, jsou pak zdokumentovaným, známým cílem.
Aktualizace instalujte hned, jak jsou k dispozici
- Aktualizace platformy webu, zásuvných modulů, šablon a integrací by se měly instalovat rychle. Často obsahují bezpečnostní opravy a odkládání nechává známé zranitelnosti otevřené
- Nastavení automatického provádění aktualizací tam, kde je to možné, odstraňuje riziko, že přehlédnete kritickou opravu
Odstraňte nepoužívané zásuvné moduly a šablony
- Neaktivní zásuvné moduly a šablony, které se neaktualizují, zůstávají zranitelné, i když na webu nejsou aktivní
- Jejich odstranění zmenšuje plochu pro útok a neovlivní nic na ostrém webu
Používejte jen software z důvěryhodných zdrojů
- Zásuvné moduly, šablony a rozšíření z neoficiálních zdrojů jsou častým prostředkem šíření malwaru
- Používání pouze softwaru z oficiálního tržiště platformy nebo od renomovaných, zavedených vývojářů snižuje riziko instalace předem infikovaného kódu
Jak HTTPS chrání váš web?
Certifikát SSL a HTTPS jsou základní požadavky. Chrání data při přenosu a vyhledávačům dávají signál, že web splňuje minimální bezpečnostní standardy. Podrobnosti o tom, jak ho nastavit, najdete v článku co je certifikát SSL a jak funguje.
Co HTTPS dělá
- HTTPS šifruje data, která návštěvníci odesílají přes formuláře, přihlašovací stránky a pokladny, a brání jejich přečtení při zachycení během přenosu
- Certifikát SSL také ověřuje identitu webu a chrání před některými formami zachycení provozu a napodobování webu
Co HTTPS nedělá
- HTTPS nezabraňuje útokům na samotný web. SQL injection, cross-site scripting, pokusy o přihlášení hrubou silou a vkládání malwaru HTTPS nezastaví
- Je to jedna vrstva ochrany, ne náhrada těch ostatních
Jak pomáhá webový aplikační firewall?
Co dělá
- Webový aplikační firewall stojí mezi příchozím provozem a webem a kontroluje požadavky dřív, než se dostanou na server
- Filtruje požadavky odpovídající známým vzorcům útoků, včetně pokusů o SQL injection, škodlivého obsahu pro cross-site scripting a provozu ze známých škodlivých zdrojů
- Útoky, které se k serveru nikdy nedostanou, nemohou zneužít zranitelnosti v kódu webu
Firewally na úrovni sítě a na úrovni aplikace
- Firewally na úrovni sítě filtrují provoz na úrovni infrastruktury dřív, než se dostane k serveru. Obvykle je poskytují hostingové společnosti a poskytovatelé CDN
- Firewally na úrovni aplikace fungují na úrovni webu a mohou být konkrétnější v tom, které požadavky povolit, podle obsahu a chování webu
- Oba typy slouží k odlišným účelům a lze je používat společně
Proč jsou zálohy součástí ochrany webu před hackery
Žádné bezpečnostní opatření neodstraní všechna rizika. Když se něco přece jen prodere, čistá záloha rozhoduje o tom, jak rychle se zotavíte a kolik ztratíte.
Co zálohy dokážou a preventivní opatření ne
- Útoky ransomwaru, které šifrují soubory webu, jsou mnohem méně škodlivé, když existuje aktuální čistá záloha. Obnova ze zálohy útočníkovi úplně odebere páku
- Čistá záloha také poskytuje ověřený referenční bod, s nímž lze porovnávat při hledání toho, co útočník změnil
Co dělá zálohu užitečnou
- Zálohy musí být uloženy odděleně od serveru webu. Záloha na stejném serveru je při útoku napadena nebo zašifrována spolu se vším ostatním
- Četnost záloh by měla odpovídat tomu, jak často se web mění. Web aktualizovaný denně potřebuje denní zálohy
- Vyzkoušet, že se záloha opravdu dá obnovit, je stejně důležité jako ji mít. Záloha, která při obnově selže, není záloha
Kompletního průvodce nastavením a správou záloh webu najdete v článku jak zálohovat web. Co dělat, když už je na vašem webu malware, vysvětluje článek co je malware na webu a jak ho odstranit.
Jak WEMASY řeší ochranu webu
Každý web na WEMASY je ve výchozím stavu poskytován přes HTTPS. Aktualizace softwaru se řeší na úrovni platformy, takže povinnost instalovat opravy odpadá majiteli webu.
Pro přístup k účtu WEMASY je dostupné dvoufázové ověření a aktivita přihlášení se sleduje na úrovni platformy.
Co všechno je součástí, zjistíte v tvůrci webů WEMASY, nebo si projděte možnosti tarifů na stránce s cenami.
Často kladené otázky
Jak se hackeři dostanou na weby?
Většina napadení webů probíhá třemi cestami: zneužitím známých zranitelností v zastaralém softwaru, získáním přístupu přes slabá nebo ukradená hesla správců a vložením škodlivého kódu přes zranitelné zásuvné moduly nebo skripty třetích stran. Automatické nástroje neustále prohledávají velké množství webů kvůli těmto zranitelnostem a zneužívají je, aniž by na konkrétní web někdo cílil. Udržování aktuálního softwaru a silných jedinečných přihlašovacích údajů správce řeší nejběžnější vstupní body. S tvůrcem webů WEMASY si to můžete nastavit přímo na svém webu.
Jaký je nejdůležitější krok k ochraně webu před hackery?
Udržování veškerého softwaru aktuálního a používání silných jedinečných hesel s dvoufázovým ověřením u účtů správců společně řeší většinu úspěšných útoků. Aktualizace softwaru uzavírají známé zranitelnosti dřív, než je mohou útočníci zneužít. Silné ověřování brání přístupu přes útoky na přihlašovací údaje, i když je heslo napadeno jinde. Zálohy útokům nezabraňují, ale omezují škodu, když je útok úspěšný, a jsou proto nezbytnou součástí každé úplné strategie ochrany.
Ovlivňuje velikost webu riziko napadení?
Ne. Útoky na weby jsou téměř výhradně automatizované. Skenery prohledávají miliony webů kvůli známým zranitelnostem a slabým přihlašovacím údajům bez ohledu na velikost, návštěvnost nebo obor webu. Malý web s portfoliem na zastaralém softwaru je stejně vystavený jako velká platforma se stejnou zranitelností. Opatření, která web chrání, jsou stejná bez ohledu na jeho velikost.
Co je webový aplikační firewall a potřebuji ho?
Webový aplikační firewall filtruje příchozí provoz webu a blokuje požadavky odpovídající známým vzorcům útoků dřív, než se dostanou na server. Dokáže automaticky blokovat pokusy o SQL injection, škodlivý obsah pro cross-site scripting a provoz ze známých škodlivých zdrojů. Zda potřebujete samostatný webový aplikační firewall, závisí na vašem nastavení hostingu. Mnozí poskytovatelé hostingu zahrnují ochranu firewallem na úrovni sítě, která řeší značnou část automatických útoků bez jakéhokoli nastavování ze strany majitele webu.
Jak často mám web zálohovat?
Správná četnost záloh závisí na tom, jak často se obsah webu mění. Web aktualizovaný denně o nový obsah, objednávky nebo odeslané formuláře potřebuje denní zálohy. Web, který se mění zřídka, lze zálohovat méně často, ale měl by se zálohovat před každou významnou aktualizací nebo změnou platformy. Zálohy by měly být uloženy odděleně od serveru webu a pravidelně se testovat, zda se opravdu dají obnovit.
Mohu web před hackery ochránit bez technických znalostí?
Ano. Nejúčinnější ochranná opatření technické znalosti nevyžadují. Použití silného jedinečného hesla u účtů správců, zapnutí dvoufázového ověření a instalace aktualizací softwaru pomocí vestavěných nástrojů platformy řeší většinu běžných cest útoků. Výběr poskytovatele hostingu nebo platformy pro tvorbu webů, která zahrnuje ochranu firewallem, SSL a automatické zálohy na úrovni platformy, řeší zabezpečení infrastruktury, aniž byste cokoli nastavovali.