Majoritatea resurselor web verificate au în prezent o serie de vulnerabilități grave și nu îndeplinesc cerințele moderne de securitate. Aproximativ jumătate din toate vulnerabilitățile detectate au fost asociate cu așa-numitele injecții SQL, alte 42% dintre vulnerabilități sunt asociate cu vulnerabilități de tip cross-scripting (XSS, Cross Site Scripting), numite și cross-site scripting, 7% dintre vulnerabilități sunt asociate cu divulgare. cod sursa aplicație web server care accesează direct datele.

Securitatea aplicațiilor online devine una dintre preocupările majore pentru securizarea nu numai a site-urilor web, ci și a multor aplicații de întreprindere care rulează pe Internet.

Această evaluare are ca scop diagnosticarea modalităților de hacking a sistemelor, evaluarea securității site-urilor web și aplicațiilor web, precum și analiza riscurilor în timpul auditurilor, atunci când se evaluează securitatea unei organizații. Pe baza principiilor de confidențialitate, disponibilitate și integritate, evaluarea securității resurselor web ajută la asigurarea siguranței datelor, conturilor, acceselor și conexiunilor utilizatorilor.

Principala activitate care se desfășoară în timpul auditului pentru securitatea resurselor web:
- detectarea vulnerabilităților care permit accesul neautorizat în zone restricționate ale aplicațiilor web;
- încearcă să modifice informațiile serviciilor web;
- testarea posibilitatii de introducere si executare a unor malitioase arbitrare codul programului;
- verificarea rezistenței la atacurile de injecție SQL, Cross Site Scripting, XSS etc.;
- analiza codului de script;
- detectarea și identificarea vulnerabilităților pe sistemele de operare pe care funcționează serverele web și serviciile web;
- furnizarea unui raport privind vulnerabilitățile și riscurile constatate, precum și recomandări pentru eliminarea acestora;
- verificarea rezistentei la atacurile Dos/DDos.

Metodologie
Pe parcursul auditului, specialiștii companiei analizează atât aplicația web în sine, cât și sistemul de operare, precum și bazele de date. În același timp, folosim atât scanarea instrumentală, cât și analiza manuală, ceea ce îmbunătățește semnificativ calitatea muncii.
Analiza instrumentală - presupune scanarea unei resurse web cu un scanner de vulnerabilitati, precum si a altor aplicatii specializate.
Analiza manuala - al doilea tip de scanare, atunci când aplicația este implementată pe un server dedicat și verifică experții aceasta aplicație manual, folosind toate metodele și atacurile posibile asupra aplicațiilor. După aceea, se întocmește un raport detaliat cu privire la rezistența aplicațiilor la anumite atacuri, inclusiv atacurile de denial-of-service.

Procesul de testare la penetrare

Standarde
La efectuarea unei analize de securitate se folosesc evoluțiile personale ale specialiștilor noștri, precum și standardele și liniile directoare general recunoscute pentru asigurarea securității informațiilor, Clasificarea amenințărilor Web Application Security Consortium (WASC).Și Deschideți Ghidul de testare a Proiectului de securitate a aplicațiilor web (OWASP).
Lucrarea folosește instrumente avansate de analiză a securității, atât distribuite gratuit, cât și comerciale.

Raport
La finalizarea lucrării, clientului i se oferă un raport care conține o evaluare generală a securității aplicației și o listă a vulnerabilităților găsite cu descriere detaliata, demonstrații și sfaturi de depanare.

Servicii suplimentare oferite
Analiza codului sursă al aplicației - aceste lucrări sunt efectuate de programatori cu înaltă calificare, care determină siguranța codului scris, absența redundanței și setează marcaje. Acest tip de lucru este necesar la implementarea sistemelor legate de tranzacții financiare sau de facturare.

Figura 2. Aspect Aplicații web Mutillidae

Metodologia de testare

Acum că ne-am pregătit stand de testare, puteți lua în considerare procesul de testare, care va fi următoarea secvență de acțiuni:

1. Pregătirea unei aplicații de testare pentru scanare
2. Configurarea unui scanner de securitate
3. Pornirea procesului de scanare cu setările selectate
4. Analiza rezultatelor și introducerea lor într-un tabel

Tipul de vulnerabilitate	Găsite	fals găsit	Timp

Tabelul 1. Rezultatele scanării

După ce toate seriile de teste sunt efectuate pentru toate scanerele, vom introduce rezultatele într-un tabel rezumativ.

							Traversarea căii / Includerea fișierelor locale		Expunerea datelor sensibile		timpul scurs
		Detectat în mod fals		Detectare falsă		Detectat în mod fals		Detectat în mod fals		Detectat în mod fals

Tabelul 2. Tabelul rezumativ al rezultatelor

În procesul de efectuare a testelor, vom întâmpina mai multe probleme:

1. Scanerele de securitate diferă în ceea ce privește setările și funcționalitatea lor. Pentru a reflecta caracteristicile specifice ale scanerelor în testarea noastră, vom rula mai multe serii de scanări cu diferite configurații de setări pentru a obține un rezultat mai bun (dacă este posibil).
2. Scanerele de securitate fie sunt specializate într-un anumit tip de vulnerabilitate, fie pot detecta o gamă largă de vulnerabilități. Dacă scanerul este specializat pe un anumit tip de vulnerabilitate, de aceea, ar trebui să le determine mai calitativ, altfel ne vom concentra asupra unei vulnerabilități neidentificate sau fals identificate de către un scaner specializat.
3. Tipuri de vulnerabilități. Deoarece există un număr mare de tipuri de vulnerabilități, trebuie să decidem asupra tipurilor pe care le vom reflecta în raportul final. În această întrebare, ne vom ghida după clasificarea OWASP Top 10 2013 și vom selecta cinci tipuri de vulnerabilități din această listă.
4. Numărul de vulnerabilități dintr-o aplicație web. Aflați dinainte câte vulnerabilități sunt conținute în test aplicatie web, nu putem, așa că pentru numărul total vom lua suma vulnerabilităților găsite de toate scanerele.

Configurarea scanerelor și începerea testării

Skipfish

Acest scanner este un instrument complet automatizat cu o interfață de consolă și are un număr mic de setări, o listă completă a cărora poate fi găsită folosind comanda skipfish -h. Pentru a începe procesul de scanare, autorul oferă trei opțiuni de bază:

1. skipfish -W /dev/null -LV [...alte opțiuni...] - în acest mod Când este lansat, scanerul efectuează o plimbare ordonată în jurul țintei și funcționează în principiu la fel ca și alte scanere. Nu este recomandat din cauza acoperirii limitate a resurselor tinta, dar procesul de scanare dureaza mult mai putin in comparatie cu alte moduri;
2. skipfish -W dictionary.wl -Y [...alte opțiuni...] – în acest mod, scanerul fuzează numai numele de fișiere sau extensiile. Acest mod este preferat dacă există o limită de timp și este necesar un rezultat acceptabil;
3. skipfish -W dictionary.wl [...alte opțiuni...] – în acest mod, scanerul parcurge toate perechile posibile de nume și extensii. Acest mod este mult mai lent decât cele anterioare, dar în același timp realizează o analiză mai detaliată a aplicației web. Dezvoltatorul scanerului recomandă utilizarea acestei opțiuni în mod implicit.

Skipfish -W dictionary.wl -o ~/report/ http://target/

W - specificați calea către dicționarul pe care îl vom folosi;

O - specificați directorul în care vom salva raportul.

Tipul de vulnerabilitate	Găsite	fals găsit	Timp
injecție SQL	6	5	3h18m
XSS	11	2
CSRF	1	1
	3	2
Expunerea datelor sensibile	128	0

Tabelul 3. Rezultatele scanării SkipFish

Figura 3. Terminarea procesului de scanare SkipFish

SkipFish a făcut față bine sarcinii, în ciuda un numar mare de false pozitive. Este de remarcat faptul că, deși scannerul nu are GUI, este foarte ușor de configurat. De asemenea, pe lângă rezultatele prezentate în tabel, SkipFish a găsit multe informații interesante despre o aplicație Web, analizând care puteți îmbunătăți securitatea aplicației

SQLMap

Scopul principal al acestui scaner este căutare automatăși exploatarea vulnerabilităților SQL. Are un număr mare de setări care vă permit să optimizați procesul de găsire și exploatare a vulnerabilităților. Pentru a începe scanarea, puteți folosi asistentul: sqlmap -wizard sau cea mai simplă comandă: sqlmap -u „http://www.target.com/vuln.php?id=1”. Vom încerca să automatizăm complet procesul de căutare și să maximizăm rezultatul. Vom începe procesul de scanare în două moduri:

sqlmap –u "http://target/" -o –v 4 --crawl=4 --level=3 --risk=2 --forms --batch --dbms=mysql sqlmap –l ~/burplog.log -o –v 4 --batch --level=3 --risk=2 --dbms=mysql

În prima metodă, folosim crawlerul SQLMap încorporat, iar în a doua, folosim fișierul jurnal Burp Suite. Acum să comentăm parametrii pe care i-am folosit:

U - după acest parametru, specificați adresa țintei de scanare;

L - după acest parametru, specificați calea către fișierul cu jurnalele Burp Suite (sau WebScarab);

O - activare optimizare;

V - setați nivelul de detaliu al informațiilor afișate;

-dbms - instalați DBMS-ul pe care îl folosește ținta noastră;

-formulare - permit analizarea și analiza formularelor conținute în aplicația de testare;

--crawl - pornește crawler-ul încorporat care ne va scana ținta;

--batch - deoarece am decis să automatizăm complet procesul de căutare și exploatare, vom folosi acest parametru, forțează SQLMap să efectueze toate acțiunile în mod implicit și să nu ceară utilizatorului o decizie;

-level, -risc - crește numărul de teste utilizate, crescând în același timp semnificativ timpul de scanare.

Tipul de vulnerabilitate	Găsite	fals găsit	Timp
injecție SQL	14	0	4h27m
XSS	-	-
CSRF	-	-
Traversarea căii / Includerea fișierelor locale	-	-
Expunerea datelor sensibile	-	-

Tabelul 4. Rezultatele scanării SQLMap

Figura 4. Exploatarea vulnerabilității SQL descoperite

După cum am scris mai sus, SQLMap este un instrument specializat pentru găsirea și exploatarea vulnerabilităților SQL, a făcut față perfect acestei sarcini, deși automatizarea completă nu a dat un astfel de rezultat. Am reușit să obținem acest rezultat datorită analizei manuale. Este de remarcat faptul că timpul de testare este destul de lung, având în vedere că am căutat un singur tip de vulnerabilitate. Configurarea acestui scaner fără o cunoaștere detaliată a unei liste bogate de opțiuni este cea mai dificilă dintre toate scanerele prezentate în acest articol.

Acunetix Web Vulnerability Scanner (Acunetix WVS)

Acest instrument este singurul reprezentant plătit doar pentru Windows din testarea noastră. Scanerul are atât o interfață grafică, cât și o interfață de consolă. Pentru a începe procesul de scanare, trebuie să utilizați expertul, care vă va solicita să utilizați ambele setări standard si special configurat.

Deci, să începem configurarea scanerului:

1. La primul pas, ni se oferă să introducem adresa țintă, sau să selectăm un fișier cu structura site-ului care a fost obținut cu ajutorul instrumentului Site Crawler, vom alege prima opțiune
2. În al doilea pas, trebuie să selectăm un profil de scanare, sunt destul de multe, vom selecta profilul „Default”, deoarece conține teste pentru a căuta toate tipurile de vulnerabilități disponibile și setările de scanare pe care le vom lăsa ca Mod implicit
3. În al treilea pas, scanerul încearcă să determine tehnologiile pe care ținta le folosește și afișează valorile primite, în timp ce le puteți alege singur sau puteți seta valoarea la „Necunoscut”. În cazul nostru, toate valorile au fost definite corect și le vom lăsa neschimbate.
4. Următorul pas este alegerea unei metode de autentificare, deoarece nu avem nevoie de ea, vom sări peste acest pas
5. La ultimul pas, se propune salvarea setărilor și după ce faceți clic pe „Finish” începe procesul de scanare

Tipul de vulnerabilitate	Găsite	fals găsit	Timp
injecție SQL	1	0	2h 13m
XSS	31	0
CSRF	19	0
Traversarea căii / Includerea fișierelor locale	4	3
Expunerea datelor sensibile	231	0

Tabelul 5. Rezultatele scanării Acunetix WVS

Figura 5. Terminarea procesului de scanare Acunetix WVS

Ușurință de configurare și un minim de false pozitive, asta se poate spune despre acest instrument. Pe lângă rezultatele enumerate în tabel, Acunetix WVS a colectat o mulțime de informații referitoare la structura aplicației web și datele sensibile ale utilizatorilor. Una dintre caracteristicile utile ale scanerului este furnizarea de informații detaliate despre vulnerabilitatea și metodele de eliminare a acesteia, precum și link-uri către resurse care conțin informații cuprinzătoare.

Cadrul de audit și atac al aplicațiilor web (w3af)

Un cadru cu o interfață grafică și de consolă care vă permite să căutați și să exploatați vulnerabilități într-o aplicație web. Datorită unei game largi de plug-in-uri, puteți regla foarte fin procesul de scanare. De asemenea, w3af are șabloane gata făcute pentru scanare, utilizatorul trebuie doar să introducă adresa țintă.

La configurarea crawler-ului, ne vom baza pe șabloanele „full_audit” și „full_audit_spider_man”, diferența lor constă în faptul că primul șablon folosește web_spider, un web spider clasic, ca plugin crawler, iar al doilea spider_man folosește un proxy local. Pentru scopurile noastre, nu vom avea nevoie de pluginurile „bruteforce” activate implicit în șabloanele selectate, așa că le vom dezactiva. Rămâne să configurați pluginuri din grupul „ieșire”. În mod implicit, informațiile colectate sunt scoase numai în consolă, ceea ce nu este foarte convenabil pentru analiza rezultatelor, așa că vom activa pluginul „html_file”, care vă permite să salvați toate informațiile primite într-un fișier HTML.

Acum puteți introduce adresa țintă și puteți începe scanarea.

Tipul de vulnerabilitate	Găsite	fals găsit	Timp
injecție SQL	4	2	2h57m
XSS	3	1
CSRF	25	0
Traversarea căii / Includerea fișierelor locale	4	3
Expunerea datelor sensibile	17	0

Tabelul 6. Rezultatele scanării w3af

Figura 6. Detalii ale interogării care conține vulnerabilitatea SQL

Nu degeaba acest instrument este un cadru, cu anumite abilități de reglare este capabil să colecteze informații complete despre obiectiv într-un timp rezonabil. Dar nu este lipsit de defecte, în procesul de testare am întâlnit o problemă cu stabilitatea scanerului, care nu a putut decât să deranjeze.

Rezultatele testului

Ce au arătat testele noastre? Dacă aveți sarcini legate de efectuarea unui audit de securitate a aplicației web, ar trebui să vă aprovizionați cu răbdare și timp. În tabelul de mai jos, puteți acorda atenție timpului necesar procesului de scanare pentru fiecare dintre instrumente. Nu este foarte mare, motivul este următorul: în primul rând, aplicația de testare și scanerele de securitate au fost pe aceeași mașină fizică și, în al doilea rând, de această dată nu include procesul de analiză a rezultatelor obținute, în condiții reale, timpul de testare. va dura mult mai mult. După cum ați observat deja, rezultatele oferite de scanere variază: unele scanere au făcut o treabă mai bună în găsirea unei anumite vulnerabilități, altele au furnizat mai multe informatii detaliate despre aplicația în ansamblu. În acest sens, atunci când auditați securitatea, nu trebuie să vă bazați pe un singur instrument, ar trebui să utilizați un complex de instrumente diferite, inclusiv analiza manuală a unei aplicații web. De asemenea, merită spus că tehnologiile web se dezvoltă într-un ritm rapid, iar scanerele de securitate nu țin pasul cu dezvoltarea lor, așa că înainte de a efectua un audit, ar trebui să vă familiarizați cu tehnologiile utilizate în aplicația web testată pentru a putea fi mai precis selectați un set de instrumente și tehnici.

	injecție SQL

Problema securității site-ului web nu a fost niciodată mai acută decât în ​​secolul 21. Desigur, acest lucru se datorează răspândirii cuprinzătoare a Internetului în aproape toate industriile și zonele. În fiecare zi, hackerii și experții în securitate găsesc câteva noi vulnerabilități ale site-urilor web. Multe dintre ele sunt imediat închise de proprietari și dezvoltatori, în timp ce unele rămân așa cum sunt. Acesta este ceea ce folosesc atacatorii. Însă, cu ajutorul unui site piratat, puteți provoca un mare rău atât utilizatorilor săi, cât și serverelor pe care este găzduit.

Tipuri de vulnerabilități ale site-ului web

Te va interesa:

La crearea paginilor web se folosesc multe tehnologii electronice conexe. Unele sunt perfecte și testate în timp, iar altele sunt noi și încă nu au fost instalate. În orice caz, există multe tipuri de vulnerabilități ale site-ului:

• XSS. Fiecare site are forme mici. Cu ajutorul lor, utilizatorii introduc date și obțin un rezultat, se înregistrează sau trimit mesaje. Prin înlocuirea unor valori speciale în aceste forme, puteți provoca execuția unui anumit script, ceea ce poate provoca o încălcare a integrității site-ului și poate compromite datele.
• injecție SQL. O modalitate foarte comună și eficientă de a accesa date sensibile. Acest lucru se poate întâmpla fie prin bara de adresa sau prin forme. Procesul se realizează prin înlocuirea valorilor care nu pot fi filtrate prin scripturi și interogând baza de date. Și cu cunoștințe adecvate, acest lucru poate provoca o breșă de securitate.

Categorie: .

Autor: Maksadkhan Yakubov, Bogdan Shklyarevsky.

Acest articol discută problemele de administrare a resurselor web, precum și metode, metode și recomandări pentru administrarea securizată și protecția împotriva hackurilor și atacurilor cibernetice.

Primul pas în proiectarea, construirea sau utilizarea unui site web securizat este să vă asigurați că serverul care îl găzduiește este cât mai sigur posibil.

Componenta principală a oricărui server web este sistemul de operare. Asigurarea siguranței sale este relativ simplă: este suficient de instalat Ultimele actualizări sisteme de securitate.

Trebuie amintit că hackerii tind să-și automatizeze atacurile folosind programe malware care accesează cu crawlere un server după altul în căutarea unui server pe care o actualizare este învechită sau nu a fost instalată. În acest sens, se recomandă să vă asigurați că actualizările sunt instalate în timp util și corect; orice server care are versiuni învechite actualizările pot fi atacate.

De asemenea, ar trebui să actualizați la timp toate programele care rulează pe serverul web. Orice software care nu este o componentă necesară (de exemplu, un server DNS sau instrumente administrare la distanță precum VNC sau Remote Desktop Services) ar trebui să fie dezactivate sau eliminate. Dacă mai aveți nevoie de instrumente de administrare la distanță, asigurați-vă că nu utilizați parole implicite sau ușor de ghicit. Această notă se aplică nu numai instrumentelor de administrare la distanță, ci și conturilor de utilizator, routerelor și comutatoarelor.

Următorul punct important este un software antivirus. Utilizarea sa este o cerință obligatorie pentru orice resursă web, indiferent dacă este utilizată ca Platforme Windows sau Unix. Combinat cu un firewall flexibil, software-ul antivirus devine unul dintre cele mai multe moduri eficiente protecție împotriva atacurilor cibernetice. Când un server web devine ținta unui atac, un atacator va descărca rapid instrumente de hacking sau programe malware pentru a exploata o vulnerabilitate de securitate. În absența unui software antivirus de înaltă calitate, o vulnerabilitate de securitate poate trece neobservată pentru o lungă perioadă de timp și poate duce la consecințe nedorite.

cu cel mai mult cea mai bună opțiune atunci când protejarea resurselor informaționale este o abordare pe mai multe niveluri. Pe flancul din față - firewallși sistemul de operare; antivirusul din spatele lor este gata să umple orice goluri care apar.

Pe baza parametrilor sistemului de operare și a funcționalității serverului web, pot fi date următoarele metode generale de protecție împotriva atacurilor cibernetice:

• Nu instalați componente inutile. Fiecare componentă poartă cu ea o amenințare separată; cu cât sunt mai multe, cu atât riscul total este mai mare.
• Instalați actualizările de securitate pentru sistemul de operare și aplicații în timp util.
• Utilizați un antivirus, activați instalarea automată a actualizărilor și verificați regulat dacă acestea sunt instalate corect.

Unele dintre aceste sarcini pot părea descurajante, dar rețineți că o singură gaură de securitate este suficientă pentru a ataca. Riscurile potențiale în acest caz sunt furtul de date și trafic, lista neagră a adresei IP a serverului, deteriorarea reputației organizației și instabilitatea site-ului web.

În funcție de gradul de criticitate al vulnerabilității, de regulă, se disting 5 niveluri, care determină starea în care acest moment există o resursă web (tabelul 1). De obicei, atacatorii, pe baza obiectivelor și calificărilor lor, încearcă să pună picior pe o resursă piratată și să le mascheze prezența.

Hackerea unui site nu poate fi întotdeauna recunoscută după semne externe (redirecționare mobilă, link-uri spam pe pagini, bannere altor persoane, deformare etc.). Atunci când un site este compromis, este posibil ca aceste semne externe să nu fie prezente. Resursa poate funcționa normal, fără întreruperi, erori și fiind inclusă pe lista neagră de antivirusuri. Dar asta nu înseamnă că site-ul este sigur. Problema este că este dificil de observat faptul că piratați și descărcați scripturi de hacker fără a efectua un audit de securitate, iar shell-urile web, ușile din spate și alte instrumente de hacker în sine pot fi găzduite pentru o perioadă destul de lungă și nu pot fi utilizate în scopul propus. . Dar într-o zi, vine momentul și încep să fie exploatate sever de către un atacator, în urma căruia proprietarul site-ului are probleme. Pentru spam, plasarea paginilor de phishing, site-ul este blocat pe gazduire (sau unele dintre functionalitati sunt dezactivate), iar aparitia de redirectari sau virusi pe pagini este plina de interzicerea antivirusurilor si sanctiuni de la motoare de căutare. Într-un astfel de caz, este necesar să se „trateze” de urgență site-ul și apoi să se protejeze împotriva hackingului, astfel încât complotul să nu se repete. Adesea, antivirusurile obișnuite nu recunosc unele tipuri de troieni și shell-uri web, motivul pentru care poate fi actualizările premature sau software-ul învechit. Când verificați o resursă web pentru viruși și scripturi, ar trebui să utilizați programe antivirus specializări diferite, în acest caz, un troian negăsit de un program antivirus poate fi detectat de altul. Figura 1 prezintă un exemplu de raport de scanare a unui software antivirus, este important să rețineți că alte programe antivirus nu au putut detecta malware.

Troieni precum „PHP/Phishing.Agent.B”, „Linux/Roopre.E.Gen”, „PHP/Kryptik.AE” sunt folosiți de atacatori pentru telecomandă calculator. Astfel de programe se infiltrează adesea într-un site web e-mail, software gratuit, alte site-uri web sau o cameră de chat. De cele mai multe ori, un astfel de program acționează ca dosar util. Cu toate acestea, este un troian rău intenționat care colectează informațiile personale ale utilizatorilor și le transmite atacatorilor. În plus, se poate conecta automat la anumite site-uri web și poate descărca alte tipuri de malware în sistem. Pentru a evita detectarea și eliminarea, „Linux/Roopre.E.Gen” poate dezactiva funcțiile de securitate. Acest troian a fost dezvoltat folosind tehnologia rootkit, care îi permite să se ascundă în interiorul sistemului.

• PHP/WebShell.NCL este un troian care poate îndeplini diverse funcții, cum ar fi eliminarea fișiere de sistem, descărcarea de programe malware, ascunderea componentelor existente sau informațiile personale descărcate și alte date. Acest program poate ocoli verificarea generală anti-virus și se poate infiltra în sistem fără știrea utilizatorului. Acest program capabil să instaleze o ușă din spate pentru ca utilizatorii de la distanță să preia controlul asupra unui site web infectat. Cu acest program, un atacator poate spiona utilizatorul, gestiona fișiere, poate instala software suplimentar și poate controla întregul sistem.
• „JS/TrojanDownloader.FakejQuery. A" - un program troian, ale cărui ținte principale atacurile sunt site-urile dezvoltate folosind CMS „WordPress” și „Joomla”. Când un atacator accesează un site web, rulează un script care imită instalarea pluginurilor WordPress sau Joomla și apoi injectează JavaScript rău intenționat în fișierul header.php.
• PHP/mic.NBK - este un aplicație rău intenționată care permite hackerilor să obțină acces de la distanță la sistem informatic, permițându-le să modifice fișiere, să fure informații personale și să instaleze mai mult software rău intenționat. Aceste tipuri de amenințări, numite cai troieni, sunt de obicei descărcate de un atacator sau descărcate de un alt program. Ele pot apărea și în legătură cu instalarea de aplicații sau jocuri online infectate, precum și atunci când mergi pe site-uri infectate.

Din păcate, scripturile hackerilor nu sunt detectate de semne externe sau de scanere externe. Prin urmare, nici antivirusurile motoarelor de căutare și nici software-ul antivirus instalat pe computerul webmasterului nu vor raporta probleme de securitate ale site-ului. Dacă scripturile sunt plasate undeva în directoarele de sistem ale site-ului (nu în rădăcină și nu în imagini) sau injectate în scripturi existente, nici ele nu vor fi observate accidental.

Figura 1. Un exemplu de raport de scanare antivirus

Prin urmare, următoarele recomandări pot fi măsuri necesare pentru a proteja resursele web:

1. Regulat backup tot continutul Sistemul de fișiere, baze de date și jurnalele de evenimente (fișiere jurnal).
2. Actualizarea regulată a sistemului de management al conținutului la cea mai recentă versiune stabilă a CMS (sistem de management al conținutului).
3. Utilizarea parolelor complexe. Cerințe privind parola: parola trebuie să aibă cel puțin opt caractere, iar la crearea parolei trebuie folosite caractere majuscule, minuscule și speciale.
4. Utilizarea obligatorie a suplimentelor sau a pluginurilor de securitate pentru a preveni atacuri precum atacul XSS sau injectarea SQL.
5. Utilizarea și instalarea suplimentelor (plugin-uri, șabloane sau extensii) trebuie efectuate numai din surse de încredere sau site-uri web oficiale ale dezvoltatorilor.
6. Scanarea sistemului de fișiere cel puțin o dată pe săptămână cu programe antivirus și utilizarea semnăturilor de baze de date actualizate.
7. Prevăzuți utilizarea mecanismului „CAPTCHA” pentru a proteja site-ul web împotriva piratarii prin forță brută în timpul autorizării și introducerii datelor în orice formă de solicitări (formular părere, căutare etc.).
8. Restricționați capacitatea de a vă conecta la panoul de control administrativ al site-ului web după un anumit număr de încercări eșuate.
9. Configurați corect politica de securitate a site-ului web prin fișierul de configurare a serverului web, ținând cont de parametri precum:

• limitarea numărului de adrese IP utilizate de administrator pentru a accesa panoul de control administrativ al site-ului web pentru a preveni accesul la acesta de la adrese IP neautorizate;
• împiedică transmiterea oricăror etichete prin orice alt mijloc decât decorarea textului (de exemplu, p b i u) pentru a preveni atacurile XSS.

1. Mutarea fișierelor care conțin informații despre accesul la baze de date, accesul FTP etc. din directoarele implicite în altele, cu redenumirea ulterioară a acestor fișiere.

Este destul de ușor chiar și pentru un hacker fără experiență să pirateze un site pe Joomla dacă nu ai oferit protecție. Dar, din păcate, adesea webmasterii amână protecția împotriva hacking-ului site-ului pentru mai târziu, considerând că nu este o problemă de primă necesitate. Restaurarea accesului la site-ul dvs. va necesita mult mai mult timp și efort decât luarea de măsuri pentru a-l proteja. Securitatea unei resurse web este o sarcină nu numai pentru dezvoltator și hoster, care este obligat să asigure securitatea maximă a serverelor, ci și pentru administratorul site-ului.

Există o mulțime de opțiuni pentru atacuri asupra unei resurse web, precum și consecințele acestor atacuri. Și, ca întotdeauna, sunt doar două scopuri - faima cu o bucurie banală de a-și arăta propriile capacități și beneficiul omniprezent, manifestat sub formă de câștig material direct sau indirect, cu alte cuvinte, bani. Deci, care este amenințarea? Iată un exemplu de atacuri cele mai frecvente asupra site-urilor web:

• substituţie pagina principala site-ul web este una dintre cele mai comune forme de hacking. În loc de conținutul obișnuit de pe coperta site-ului, orice se va arăta - de la numele unui hacker rău intenționat până la insulte banale.
• Eliminarea sistemului de fișiere - toate informațiile dispar pur și simplu, ceea ce devine un eșec dacă nu există o copie salvată a resursei. Este de remarcat faptul că baza de date a parolelor clientului, precum și alte date de valoare critică, pot fi, de asemenea, pierdute.
• Înlocuirea informațiilor – atacatorii pot înlocui telefonul sau alte date ale organizației. În acest caz, clienții tăi devin automat clienți ai atacatorilor.
• Plasarea troienilor - în acest caz, cel mai probabil nu veți observa vizita unui hacker, cel puțin totul va fi îndreptat către acest lucru. Programe malware poate îndeplini o varietate de funcții - redirecționează către site-ul intrușilor, fură datele personale ale clienților, infecta vizitatorii cu viruși și așa mai departe.
• Trimiterea de spam - site-ul dvs. poate fi folosit pentru a trimite spam, caz în care corespondența dvs. „reala” nu va ajunge la destinatar, deoarece domeniul organizației dumneavoastră va fi introdus în baza de date centralizată a spammerilor aproape imediat.
• Crearea unei încărcări mari - trimiterea de solicitări intenționat incorecte către adresa serverului web sau alte acțiuni din exterior, care vor duce la dificultăți de accesare a site-ului sau o blocare a sistemului de operare al serverului. Acest tip de atac este foarte răspândit pe internet.

Rezultatul tuturor acestor tipuri de atacuri este nu doar o oprire temporară a resursei, ci și o pierdere a încrederii în site-ul web în ochii clienților. Este puțin probabil ca un utilizator infectat cu cod rău intenționat pe resursa dvs. sau redirecționat de pe site-ul dvs. către un site cu conținut dubios, să îndrăznească vreodată să vă tasteze adresa în browser din nou.

Ce sa fac?

Problema securității site-ului web poate fi pusă deja în faza de dezvoltare. Sunt multi sisteme CMS(Content Management System - sistem de management al conținutului), care este un șablon care simplifică gestionarea și dezvoltarea site-ului. Întreaga gamă de sisteme CSM poate fi împărțită în deschise (gratuite) și proprietare. Dintre cele deschise, putem distinge Drupal, Mambo, Joomla și Typo3, dintre cele plătite - 1C-Bitrix, NetCat, Amiro.CMS. Toate sunt mai mult sau mai puțin sigure, au o serie de avantaje și dezavantaje. Deci, ce CMS ar trebui să alegeți? Desigur, această problemă rămâne în considerare în fiecare caz specific, totuși, statisticile arată că, în Rusia, marea majoritate a studiourilor web care utilizează dezvoltarea terță parte pentru a crea site-uri utilizează produsul 1C-Bitrix. Există o serie de factori în spatele acestui lucru:

• Prin fuzionarea cu 1C, Bitrix a devenit neoficial standardul național pentru dezvoltarea web bazată pe CMS.
• 1C-Bitrix are un certificat de securitate de la Positive Technologies (despre care vom discuta mai târziu), care confirmă invulnerabilitatea sistemului la toate tipurile de atacuri cunoscute asupra aplicațiilor web.
• 1C-Bitrix este în prezent cel mai promițător sistem CMS de pe piața rusă, prezentând cea mai bună rată de creștere.
• Funcționalitatea produsului este suficientă pentru a crea site-uri corporative complexe, portaluri de informații și referințe, magazine online, site-uri media, precum și pentru a crea aproape orice alt tip de resurse web.

Crearea de site-uri bazate pe 1C-Bitrix, precum și transferul resurselor existente către motorul produsului, este una dintre opțiunile pentru rezolvarea unui număr de probleme de securitate, în primul rând probleme de vulnerabilitate, despre care vor fi discutate mai târziu.

Site-ul a fost deja creat - este vulnerabil?

Verificarea unei resurse web existente pentru o vulnerabilitate este o sarcină foarte laborioasă. Procesul nu se limitează la scanarea directă - site-ul trebuie încă reluat, găurile astupate și o serie de probleme vor trebui rezolvate din partea furnizorului. Deci, scanere de vulnerabilitate.

Scanere de vulnerabilitate- acest programe speciale conceput pentru a analiza securitatea rețelei prin scanare și sondare resursele rețeleiși identificați vulnerabilitățile acestora. Mai simplu spus, scanerul caută găuri și găuri de securitate tipice, ușurând astfel viața nu numai proprietarilor de site-uri web, ci și hackerilor. Toate scanerele de vulnerabilitate pot fi clasificate în funcție de metoda de lucru în 3 grupe:

• Local - instalat direct pe nodul verificat și oferă o fiabilitate ridicată. Lucrează în numele cont cu privilegii maxime și folosiți o singură metodă de căutare a vulnerabilităților - compararea atributelor fișierelor.
• Pasiv - folosesc traficul de rețea ca sursă de date, totuși, spre deosebire de traficul de rețea, permit reducerea la minimum a impactului scanerului asupra vulnerabilităților. În prezent, nu sunt răspândite, dar arată foarte promițătoare.
• Rețea - cea mai populară astăzi. Efectuați verificări de la distanță, conectându-vă prin servicii de rețea.

Există mulți producători de scanere de vulnerabilitate, există o mulțime de recenzii și teste care evidențiază produsul unei anumite companii. Iată câteva dintre cele mai comune scanere: Nessus, XSpider, IBM Internet Scanner, Retina, Shadow Security Scanner, Acunetix, N-Stealth.

XSpider (înlocuit de MaxPatrol) este un scaner de la producătorul rus Positive Technologies. Are o listă cu adevărat extinsă de caracteristici - analiza euristicași determinarea tipului de servere, scanarea completă a portului și maparea serviciului, verificarea parole standard, analiză de injecție SQL, atacuri XSS și actualizări aproape zilnice de vulnerabilități. În comparație cu concurenții, scannerul demonstrează o mai bună identificare a serviciilor și aplicațiilor, oferind astfel o detectare din ce în ce mai precisă a vulnerabilităților cu un procent minim de alerte false. Produsul este unul dintre cele mai bune solutii nu numai pe rus, ci și pe scena mondială, așa că am decis să-l scoatem în evidență.

Ce trebuie schimbat?

Securizarea unei resurse web este un proces care combină un anumit set de acțiuni. Se examinează mai întâi sistemul existent pentru securitate, apoi se determină o serie de măsuri și lucrări pentru a se realiza această securitate. Pot fi serviciile programatorilor care dezvoltă sau optimizează site-ul și serviciile inginerilor care rezolvă probleme tehnice și, desigur, un anumit set de măsuri organizatorice. Totul depinde de dorința și capacitățile clientului.