Рекомендації щодо керування публічними сайтами

Інтернет сьогодні — джерело безмежних знань, взаємодії та, на жаль, так само безмежних загроз. Бажаєте мати високий рівень безпеки вебресурсів вашої компанії? Дотримуйтеся наших рекомендацій, і ви зможете побудувати надійну систему захисту.

Основні правила

  • Приховуйте початкову IP-адресу вашого ресурсу.
  • Використовуйте шифрування SSL/TLS.
  • Налаштуйте фаєрвол для вебзастосунків (WAF).
  • Перевірте налаштування доступу до файлів і сервісів.
  • Переконайтеся, що контроль відбувається за доменом.
  • Налаштуйте безпеку поштових серверів і системи доменних імен (DNS).
  • Впровадьте політику керування обліковими записами.
  • Впровадьте політику резервного копіювання.
  • Затвердьте алгоритм реагування на інциденти.

Детальні рекомендації

Використовуйте проксі-сервіси

Налаштуйте проксі-сервіс — наприклад, Cloudflare, — щоб увесь вхідний трафік проходив через його мережу, перш ніж досягти вашого сервера. Проксі-сервіси пропонують багато функцій для виявлення та блокування шкідливого трафіку. Щоправда, якщо зловмисники знайдуть початкову IP-адресу вашого сервера, на якому розміщені ваші ресурси, вони зможуть атакувати безпосередньо сервери.

Ви також можете налаштувати фаєрвол вашого сервера так, щоб він приймав з’єднання тільки з IP-адрес Cloudflare. Налаштування доступу до сайту тільки через проксі-сервіс дасть змогу обмежити прямий доступ до серверів за IP-адресою, а також до деяких ресурсів.

Якщо ви використовуєте приватний віртуальний (VPS) або фізичний сервер, для додаткової безпеки налаштуйте тунель нульової довіри (Zero Trust). Цей засіб дасть змогу передавати дані більш захищеним шляхом. Так ваш вебресурс буде доступний через мережу Cloudflare, а сам сервер зможе залишатись у приватній мережі. Це суттєво зменшує загальну поверхню можливої атаки, а весь трафік до сайту надходитиме виключно через захищену мережу Cloudflare.

Увімкніть шифрування SSL/TLS

Сертифікати SSL/TLS шифрують інформацію користувача та гарантують його безпеку в інтернеті.

Вимкніть застарілі протоколи шифрування: попри те, що SSLv2 і SSLv3 не вважаються безпечними та мають відомі вразливості, багато вебресурсів за замовчуванням досі використовують протоколи SSL 2.0/3.0 і TLS 1.0/1.1, що ставить під загрозу будь-які дані, зашифровані цими методами. Тому SSLv2 і SSLv3, а також TLS 1.0 і 1.1 слід вимкнути, а замість них увімкнути TLS 1.2 і TLS 1.3.

Налаштуйте захист за допомогою фаєрволу вебзастосунків

Розгорнувши фаєрвол вебзастосунків (Web Application Firewall, WAF), ви можете зазначити, чи дозволяти типи вхідного та вихідного трафіку за допомогою набору правил (які часто називають політиками).

WAF-рішення також захищають від розповсюджених атак на сайти, як-от ін’єкцій SQL і XSS.

Перевірте налаштування файлів

Необхідно перевірити низку параметрів:

  • переконайтеся, що ви обмежили доступ до файлів, які не мають бути доступні публічно;
  • перевірте й налаштуйте файл htaccess для захисту вашого сайту від несанкціонованого доступу до певних файлів і каталогів;
  • переконайтеся, що ваші файли, зокрема robots.txt, не містять інформації, яку ви не хочете виставляти в публічний доступ;
  • переконайтеся, що всі конфігурації, які використовувалися для розробки або виправлення помилок, були видалені з фінальної версії сайту;
  • переконайтеся, що журнали подій та інші чутливі файли (.git, .env, Dockerfile, docker-compose тощо) не перебувають у публічному доступі;
  • переконайтеся, що індекс директорій на вашому сайті є недоступним. Вебсервери за замовчуванням можуть відображати вміст документів і файлів у кореневому каталозі, якщо файл index.html відсутній. Це означає, що потенційний зловмисник може переглянути всі файли та директорії.

Також варто додати налаштування, які приховають версію вашого сервера, щоб не розкривати додаткової інформації для сторонніх осіб.

Обмежте доступ до важливих сервісів

Обмежте доступ до SSH, FTP та бази даних, надавши його лише для довірених IP-адрес. Якщо ви обмежите доступ до SSH у загальнодоступній мережі, користувачі все одно зможуть отримувати доступ до пристрою через приватну мережу, але ризик несанкціонованого доступу невідомих користувачів до пристрою зменшиться.

Стежте за плагінами та сервісами

Регулярно оновлюйте плагіни та програми для виправлення потенційних вразливостей і зменшення ризику компрометації ваших ресурсів шляхом експлуатації відомих вразливостей у ваших плагінах або програмному забезпеченні.

Видаляйте плагіни та сервіси, якими ви більше не користуєтеся, — це допоможе зменшити поверхню атаки на ваші ресурси.

Слідкуйте також за тим, які порти відкриті на вашому сервері, і обов’язково закрийте всі порти, які не використовуєте. Загалом для вебресурсів достатньо доступності тільки порту HTTPS, який використовується браузерами.

Налаштуйте SPF

Інфраструктура політики відправника (Sender Policy Framework, SPF) — це технологія автентифікації електронної пошти, яка дає змогу власнику домену вказувати, які IP-адреси мають право надсилати електронні листи від імені цього домену.

Коли повідомлення електронної пошти отримане, сервер електронної пошти одержувача перевіряє запис SPF для домену відправника, щоб переконатися, що повідомлення надходить з авторизованої IP-адреси. Якщо перевірка SPF не вдається, повідомлення може позначатися як спам або відхилене.

Бажано використовувати політику жорсткої відмови (–all) листам, надісланим із неавторизованого сервера. Використання м’якої відмови (~all) залишає можливість підробити листи від імені вашого домену.

Налаштуйте DMARC/DKIM

Політика ідентифікації повідомлень, створення звітів і визначення відповідності за доменним іменем (Domain-based Message Authentication, Reporting, and Conformance, DMARC) допомагає запобігти фішинговим атакам на ваш домен. DMARC дає змогу вказувати поштовим серверам, що робити під час отримання повідомлень із вашого домену, забезпечуючи жорсткий контроль. Навіть для доменів, які не надсилають електронні листи, встановлення ефективної політики DMARC захистить репутацію вашої організації.

DKIM (DomainKeys Identified Mail) — це технологія автентифікації електронної пошти, яка використовує криптографічні підписи для перевірки автентичності електронних повідомлень. Коли повідомлення електронної пошти надсилається, DKIM додає цифровий підпис до заголовка повідомлення, який сервер електронної пошти одержувача може перевірити й переконатися, що повідомлення не було підроблено під час передавання та що воно походить із заявленого домену відправника.

Увімкніть DNSSEC

Набір розширень захисту системи доменних імен (Domain Name System Security Extensions, DNSSEC) створює захищену систему доменних імен, додаючи криптографічні підписи до наявних записів DNS. Ці цифрові підписи зберігаються на серверах імен DNS разом із поширеними типами записів, як-от A, AAAA, MX і CNAME.

Переконайтесь у відсутності неактуальних історичних записів

Перевіряйте й видаляйте застарілі записи DNS. Це допоможе зменшити можливість виникнення помилок і забезпечить актуальність налаштувань.

Забезпечте контроль за доменом

Закріпіть домен за офіційною корпоративною поштовою скринькою, а не за особистою поштою працівників. Так само зареєструйте всі облікові записи, пов’язані з контролем домену й інфраструктури сайту. Це забезпечить підконтрольність домену компанії, знижуючи ризик втрати контролю через змінення персоналу.

Працюйте з надійним хостинг-провайдером

Надійний хостинг-провайдер не лише гарантуватиме безпеку вашого сайту, а й забезпечить його тривалу роботу, швидке завантаження та просте налаштування.

Під час вибору хостинг-провайдера звертайте увагу на те, чи надає він SSL-сертифікат, автоматичне резервне копіювання, сканування шкідливих програм, конфіденційність домену, фаєрволи сервера та якісну підтримку.

Впровадьте політику резервного копіювання

Налаштуйте автоматичне та регулярне резервне копіювання вашого сайту й даних і зберігайте ці копії в безпечному місці. Наявність резервних копій допомагає швидко відновити дані в разі їхнього пошкодження або втрати, забезпечуючи безперервність бізнесу.

Впровадьте процес керування обліковими записами

Видаляйте облікові записи, які більше не використовуються. Контролюйте права доступу до наявних облікових записів, надаючи їх лише для необхідних дій і лише тим обліковим записам, яким це дійсно потрібно. Так ви зможете зменшити поверхню атаки.

Використовуйте складні й унікальні паролі для всіх облікових записів, особливо для адміністративних. Цей підхід знизить ризик несанкціонованого доступу за допомогою підбирання паролів.

Надійна система безпеки для вашого облікового запису є важливим кроком до забезпечення загальної безпеки вашого сайту. Двофакторна автентифікація (2FA) додатково підвищить рівень безпеки облікового запису, вимагаючи під час входу ще один фактор для підтвердження особи.

Впровадьте засоби для захисту входу

Щоб підвищити безпеку процесу входу на вашому сайті, подумайте про впровадження таких засобів, як додавання обмежень на спроби входу й інтеграцію CAPTCHA. Ці інструменти працюють у комбінації, щоб запобігти несанкціонованому доступу й автоматизованим атакам. Аналогічні механізми варто впровадити і для форм зворотного зв’язку.

Затвердьте алгоритм реагування на інциденти

Залучіть підрядників для технічного супроводу та реагування на випадок виникнення інцидентів, уклавши відповідні контракти. Співпраця з цими спеціалістами забезпечить вашій компанії швидке реагування на технічні проблеми й інциденти безпеки. Це своєю чергою дасть змогу заощадити кошти, оскільки в такому форматі вам не потрібно наймати до штату власних фахівців.