×
Россия +7 (495) 139-20-33

Скрытая угроза: веб-атаки 24x7

Россия +7 (495) 139-20-33
Шрифт:
0 8377

Обычно про безопасность и защиту сайтов владельцы и вебмастера задумываются слишком поздно, когда уже возникают видимые и очевидные проблемы: сайт перенаправляет посетителей на рекламные и вредоносные ресурсы, блокируется хостером за спам/фишинг/вредоносную активность, забанен в поисковой системе. То есть когда хакер уже взломал сайт, закрепился на нем и начал генерировать вредную “полезную” нагрузку. Но это происходит не внезапно и не случайно. Процессу взлома всегда предшествует серия атак, которая проводится хакерами или их ботами с целью разведки: обнаружения уязвимостей или скрытых данных, которые можно использовать для взлома и получения несанкционированного доступа к веб-ресурсу. Данные атаки внешне не заметны, поэтому сайтовладельцы в большинстве случаев пребывают в неведении о том, что их ресурсу что-то угрожает (мало кто из них регулярно анализирует логи веб-сервера или пользуется специализированными решениями для детектирования веб-угроз).

Кроме того, значительно снижает бдительность еще и пара заблуждений:

1. “кому я нужен?”

2. сайты взламывают только по заказу конкурентов.

Сторонники первого утверждения не считают свой ресурс хоть сколько-то важным и интересным для хакера; приверженцы теории про исключительный “взлом по заказу” считают, что их сайту ничто не угрожает, поскольку ресурс новый/непопулярный/региональный, а бизнес - вне конкуренции. И первые, и вторые пребывают в опасном неведении до тех пор, пока сайт не оказывается взломанным, после чего идет серия удивлений и безуспешных попыток найти виновника инцидента.

Как обстоит дело c безопасностью сайтов в реальности?

Вопреки бытующему мнению о том, что активно атакуют только популярные, посещаемые ресурсы, любой сайт, который появился в поисковой выдаче, в соцсетях или каталогах сайтов (то есть стал публичным), подвергается хакерским атакам. Подавляющее большинство атак на сайты является “нецелевыми” или “обезличенными”, поскольку злоумышленник не ставит задачей взломать конкретный сайт. Его цель – собрать как можно большую базу ресурсов, уязвимых к определенным видам атак, чтобы затем провести взлом или их компрометацию автоматизированными средствами в течение нескольких секунд. Так хакеры собирают себе армии ботов, площадки для хостинга вредоносных скриптов, фишинговых страниц и спам-рассылок. Плохим парням все равно, насколько популярен сайт, какая у него аудитория и тематика, насколько он важен для бизнеса. Сайт представляет ценность только как ресурс хостинга, где есть возможность разместить “зловреды” или с которого можно провести целевую атаку на какой-то определенный веб-ресурс.

1.png

Стоимость взлома сайта настолько ничтожна, что не выдерживает никакой конкуренции в сравнении с абузоустойчивыми хостингами, которыми пользовались хакеры несколько лет назад. То есть сейчас им дешевле взломать сотню сайтов на уязвимой Joomla или Wordpress и использовать их для рассылки спама, чем арендовать и настраивать для тех же целей виртуальный сервер.

С каждым годом инструментальные средства для “разведки”, эксплуатации уязвимостей и, в конечном счете, взлома сайта становятся дешевле и доступнее (Не секрет, что большинство хакерских утилит можно скачать на форумах и блогах, а видео-инструкцию посмотреть на youtube). Поэтому число нецелевых атак на сайты, и, как следствие, вероятность взлома, растет чуть ли не в геометрической прогрессии. Если раньше владельцы сайтов и веб-мастера могли рассчитывать на большую долю везения и проблема взлома часто обходила их стороной, то сейчас защитить ресурс от взлома поможет только осведомленность и внимание владельца/подрядчиков к вопросам информационной безопасности. В этой статье мы осветим несколько важных моментов, о которых следует знать всем, кто поддерживает свои сайты или ресурсы клиента.

Чтобы не быть голословным, приведем пример того, как хакер может быстро находить жертв для нецелевого взлома, не прибегая даже к специализированным средствам. Ему достаточно воспользоваться поисковой системой Google и специальной базой запросов, которая называется Google Hacking Database. Данная база содержит перечень запросов (“дорков”) для поиска сайтов, уязвимых к определенным типам атак или содержащих незащищенные файлы с паролями, резервными копиями сайта, адресами закрытых разделов и т.п.

2.png

Предположим, хакеру нужно получить доступ к резервным копиям базы данных сайта на Wordpress. Он вводит в поисковую строку “дорк” (не пытайтесь повторить это дома!). И получает список сайтов, на которых администратор забыл закрыть доступ к каталогу uploads с резервными копиями базы данных (а это случается очень часто).

3.png

Из дампов хакер может извлечь много полезной для взлома информации. Например, логин администратора и хэш пароля, который расшифровывается специальными сервисами за считанные секунды. Так хакеры получают административный доступ к сайтам, а дальше могут загружать вредоносные скрипты, оставлять закладки, взламывать соседние сайты на аккаунте и т.п.

4.png

Весь процесс взлома занимает пару минут, а автоматизированные средства, которыми располагают хакеры, осуществляют за то же время сотни, если не тысячи взломов.

Для того чтобы искать жертв, хакерские боты постоянно “простукивают” сайты, попадающие в поисковую выборку по определенным “доркам”. Поэтому, если сайт доступен в поисковой выдаче, то несколько раз в сутки к нему обязательно “постучатся” и проверят, не содержит ли он какую-то уязвимость, через которую его можно взломать, не открыт ли у него доступ к служебным файлам (резервным копиям, дампам базы данных, файлам настроек и т.п.). Одни боты собирают информацию, другие ее эксплуатируют. Естественно, вручную с тысячами сайтов уже не работают, все делается на автомате.

Что делать в данной ситуации рядовому веб-мастеру и владельцу малого бизнеса?

Важно принять тот факт, что сами атаки на сайт невозможно остановить и с ними бесполезно бороться (разве что полностью запретить индексацию сайта поисковиками, не размещать на него ссылок и закрыть от публичного просмотра – что, согласитесь, странно). Но нецелевые атаки можно сделать максимально безопасными для сайта. Для этого потребуется сделать следующее:

1. Принять и осознать факт постоянного сканирования / атак на сайт, здраво оценить риски и последствия (взлом, компрометация доступов, доступ к конфиденциальной информации и т.п.)

2. Выполнить аудит безопасности сайта: просканировать на уязвимости, проверить настройки, файловую систему и базу данных. Это можно сделать самостоятельно или с привлечением соответствующих специалистов.

3. Внедрить технические меры защиты сайта от взлома: обновить CMS и плагины, выполнить “цементирование” сайта, разместить сайт за файрволлом (подключить к сервису облачного WAF и защиты от DDOS), установить мониторинг сайта.

4. Разработать политику безопасности при администрировании и поддержке сайта – организационные меры, которые повысят безопасность ресурса.

5. Постоянно помнить о том, что безопасность – это процесс, а не разовые меры, и она не бывает удобной.

Хорошая новость в том, что для защиты от нецелевых атак, которые составляют по нашим оценкам порядка 95%, достаточно внедрить хотя бы даже часть технических мер, и это уже существенно снизит риск взлома. Главное, чтобы ваш сайт не был «среднестатистическим». То есть даже небольшое внимание к вопросу информационной безопасности сайта сделает его более защищенным от агрессивного интернета.

(Голосов: 5, Рейтинг: 5)
Читайте нас в Telegram - digital_bar

Есть о чем рассказать? Тогда присылайте свои материалы Ане Макаровой


Новые 
Новые
Лучшие
Старые
Сообщество
Подписаться 
Подписаться на дискуссию:
E-mail:
ОК
Вы подписаны на комментарии
Ошибка. Пожалуйста, попробуйте ещё раз.
Отправить отзыв
ПОПУЛЯРНЫЕ ОБСУЖДЕНИЯ НА SEONEWS
Что скрывает «Прогноз бюджета Яндекс.Директ»?
Михаил Мухин
14
комментариев
0
читателей
Полный профиль
Михаил Мухин - Здравствуйте! 1-2. Считает стенд. Ссылка на него дана, но могу повторить: online.p-c-l.ru/competition/task/card/id/106. Нажмите на кнопку "Начать" и заранее приготовьте прогноз бюджета Яндекс. Суть расчета: перебор комбинаций всех ставок на всех фразах, построение бюджетных когорт - бюджетов с одинаковым СРС, отбор в каждой когорте бюджета с максимальным количеством кликов и ..., да упорядочивание этих бюджетов по мере возрастания СРС, причем берем не все, а с фиксированным шагом. 3. Гугл считается через поправочные коэффициенты. Мы перевариваем океан данных и представляем их. На удивление, получается не менее, хотя и не более точно, как и прогноз Яндекс. Конечно, нужно понимать, что это очень примерные прикидки, фактически перевод неточного прогноза Яндекс в удобочитаемую форму, не больше. Самое интересное начинается, когда применяешь метод бюджетных когорт к измерению показателей фраз на реальной рекламной кампании в режиме 48х7. Первые результаты очень хорошие. Если хотите присоединиться к бесплатному тестированию, напишите Эльвире r-support@r-broker.ru. В теме укажите "хочу присоединиться к тестам Умного управления рекламой"
#SEOnews14: мы празднуем – вы получаете подарки!
Анна Макарова
362
комментария
0
читателей
Полный профиль
Анна Макарова - Гость, добрый день! С победителями мы связывались сразу после розыгрыша. Если мы вам не написали, значит, ваш номер не выпал. Но не расстраивайтесь, у нас обязательно будут новые розыгрыши!
Ссылочное продвижение локальных сайтов: ТОП худших SEO-методов
Блорик Саакашвили
2
комментария
0
читателей
Полный профиль
Блорик Саакашвили - Ну а так конечно согласен видно что у автора статьи не такие и глубокие знания...
Как ускорить сайт на WordPress, чтобы получить 100/100 в Google PageSpeed Insights
Георгий
1
комментарий
0
читателей
Полный профиль
Георгий - Все что рекомендуется в этой статье есть у w.tools. Ни разу не пожалел что подключился. Своя CDN сеть, кеш статики и динамики, минификация js\css и кешируемого html, оптимизация всех типов картинок и еще куча всего полезного. Сайт летает и я не знаю проблем. Могу рекомендовать от души.
«Аудит, чтобы ты заплакала…», или Что делать, когда получил сторонний аудит сайта
Евгений
1
комментарий
0
читателей
Полный профиль
Евгений - Воообще, на самом деле здесь двоякое впечатление от таких аудитов. Конечно, для полного глубокого анализа и подготовки рекомендаций по сайту - нужны доступы к системам аналитики и инструментам вебмастера. Но если оценивать подобные аудиты с точки зрения чистого SEO (которое все больше и больше становится лишь малой частью digital-маркетинга, лишь одним из каналов) - они имеют место быть. Но с оговоркой, что они сделаны с учетом анализа конкурентов/отрасли. Современные инструменты и алгоритмы позволяют делать это маркетологам в автоматическом режиме, и даже давать рекомендации - возможностями машинного обучения уже никого не удивишь. Да, полное перечисление "мифического" списка ошибок, построенного по предикативным правилам, да еще и с учетом устаревших особенностей ПС - это явный признак некачественного аудита. В первую очередь потому, что эти "ошибки" следует рассматривать в качестве рекомендаций от ПС (как и говорится в справочнике вебмастера у Яндекса/Google). Однако если эти данные даются с отсылкой на данные о конкурентах, об отрасли, используются методы ML и Natural language processing для обработки исходных данных, кластеризации запросов, классификации страниц/запросов/сайтов, определения структуры документа - такие отчеты имеют право на существование. Но ключевым моментом является то, что подобные инструменты достаточно сложны в разработке, а значит требуют квалифицированных специалистов для их разработки. Которых просто нет у студий рассылающих подобные "сео отчеты". Подобные отчеты по "ошибках" тоже неплохой источник информации, но лишь на 0 этапе анализа сайта. И в принципе, теоретически, возможно почти полное составление "хороших аудитов" без участия маркетолога, на основе лишь открытых данных сайта/внешних источников, но только при соответствующем применении всех современных возможностей анализа данных и рекомендательных систем. И в любом случае подобный "хороший отчет" требует конечного заключения от эксперта.
От мечты стать юристом к собственному SMM-агентству. Как найти себя в современном цифровом мире
Виктор Брухис
5
комментариев
0
читателей
Полный профиль
Виктор Брухис - Статья выглядит так, как пожелали редакторы и интервьюер) Вопросы к интервью подбирал не я)) Хотя, в целом я согласен с вашим видением. А за пожелание удачи большое спасибо!
BDD 2019: Как перестать убивать время на сбор и обработку тонны данных для SEO-аудита
Kosta Bankovski
4
комментария
0
читателей
Полный профиль
Kosta Bankovski - Спасибо за приятные слова! Буду и дальше делиться наработками ;)
Как провести анализ содержания страниц товаров и категорий
Никита Седнин
3
комментария
0
читателей
Полный профиль
Никита Седнин - Спасибо!
Как вывести сайт в ТОП 10 Google в 2019 году
Роман
1
комментарий
0
читателей
Полный профиль
Роман - Вот скажите пожалуйста, Мне разработали сайт на мою фирму, www.линк.kz и теперь надо решить, сео продвижение у нас стоит около 25000 - 30000 руб. в месяц, для меня сумма не маленькая стоит ли оно того? или можно просто оптимизировать сайт в плане СЕО и выходить в ТОП за счет трафика?
Как я пытался купить CRM-систему, но мне ее поленились продать
Kristina
1
комментарий
0
читателей
Полный профиль
Kristina - Очень рекомендую CRM-систему польской фирмы Firmao. Все функции настраиваются в соответствии с индивидуальным потребностям компании! Советую попробовать бесплатную демо-версию, чтобы попробовать все необходимые функции, без лишних кнопок и траты дополнительных финансов! :) Сайт: firmao.ru/info
ТОП КОММЕНТАТОРОВ
Комментариев
910
Комментариев
834
Комментариев
554
Комментариев
540
Комментариев
483
Комментариев
373
Комментариев
362
Комментариев
262
Комментариев
249
Комментариев
171
Комментариев
156
Комментариев
137
Комментариев
121
Комментариев
107
Комментариев
97
Комментариев
97
Комментариев
96
Комментариев
82
Комментариев
80
Комментариев
77
Комментариев
67
Комментариев
60
Комментариев
59
Комментариев
57
Комментариев
55

Отправьте отзыв!
Отправьте отзыв!