Как да предпазим сайта си от хакери?

Много собственици на сайтове често си мислят: че кой би се заинтересувал от моя „малък и скромен“ сайт? Не виждам причина точно моят сайт да представлява интерес за хакерите и да стане тяхна мишена.

За съжаление обаче, те се лъжат. Истината е, че всички уебсайтове са изложени на риск от хакване, и то по всяко време.

Всъщност по-голямата част от хакерите, които опитват да пробият сигурността на даден сайт, изобщо не се интересуват какъв точно е сайтът и на кого той принадлежи. Техните цели обикновено са две: първо – да докажат на самите себе си (и на своите приятели) какво могат, и второ – да се опитат да използват ресурсите на даден сайт (който може да се окаже Вашият) за свои собствени (обикновено неособено лицеприятни) цели.

Затова, не се лъжете: независимо колко малка и „незначителна“ може да Ви изглежда Вашата фирма в световен мащаб, Вашият сайт със сигурност вече е обект на интерес от хакери.

Какво мотивира хакерите?

Обикновено първата мотивация на хакерите са парите. Целта им е да използват Вашия сайт за дейности, които им носят добра печалба.

В някои случаи това може да е поръчка от Ваш конкурент, а в други целта може да е извършване на недотам етични или дори незаконни дейности чрез Вашия сайт, като накрая, като собственик на сайта, единственият отговорен ще се окажете Вие.

Както казахме, понякога Вашият сайт може да бъде атакуван по поръчка, като цените за това вече не са особено високи. Те започват от около 50 долара, което означава, че ако някой Ваш пряк конкурент просто завижда на успеха Ви, може лесно да плати на хакер, който да навреди на сайта Ви и то сериозно.

Друга причина може да бъде конкуренция в търсачките (най-вече Google). Ако Вие активно популяризирате Вашия сайт, редовно се грижите за неговата оптимизация и публикувате платени реклами, в резултат на което сайтът Ви се класира на челни позиции в Google, това също може да е мотив за хакване от конкуренти, дори и непознати за Вас.

Някои хакери пробиват сайтове и „за упражнение“. За развитие на уменията си или просто за „чесане на егото си“. Често, преди да се прицели към „сериозни задачи“ като хакване сайта на НАП например, начинаещият хакер иска да се „поупражнява“ с някой по-обикновен и незащитен уебсайт като Вашия.

В много случаи хакерите изобщо не се интересуват нито от Вашата фирма, нито от съдържанието на Вашия сайт. Те обикновено целят да използват ресурсите на Вашия сървър за цели, които им носят пари, като например изпращане на спам по имейла, или да се възползват Вашето уеб пространство за съхраняване и разпространение на файлове с незаконно съдържание.

В практиката ни имахме случай, в който клиенти потърсиха съдействието ни когато техният добре класиращ се в Google туристически сайт беше хакнат и запълнен с порнографски страници, при това без това да е видимо през основния сайт. За съжаление, собствениците не се бяха усетили с месеци, и бяха разбрали за хакването едва когато Google напълно беше декласирал сайта им като туристически, и беше започнал да го класира като порнографски. Разбира се, от този момент нататък сайтът стана практически неизползваем и се наложи фирмата да регистрира съвсем нов домейн и да стартира Интернет присъствието си от нулата.

Всъщност тук най-неприятното е, че когато тези злоупотреби или дори престъпления най-накрая бъдат разкрити, крайният виновник и потърпевш почти винаги се оказвате единствено Вие.

Видове хакерски атаки

DDoS атака

Значението на термина DDoS е „Distributed Denial-of-Service“, в превод – „Разпределен отказ от услуга“. Принципът на този вид атака е пределно прост: чрез множество компютри се генерират голям брой заявки към една страница от сайта, докато сървърът, на който е инсталиран сайта, се претовари и изчерпи ресурсите си за обработката им.

Тогава, обикновено автоматично, сървърът прекратява достъпа до атакувания сайт като мярка за сигурност. Резултатът е, че вместо търсената страница от Вашия сайт, на екрана на потребителите се появява бяло поле. Вашият сайт просто изчезва, докато DDoS атаката не бъде прекратена.

Достъп до администрацията на сайта

Това е ситуация, при която нападателите по един или друг начин получават достъп до административния панел на Вашия сайт. Последиците могат да бъдат различни: от премахване на уебсайта като цяло, до частични промени в структурата или съдържанието на сайта. Като резултат от подобен достъп може да възникнат следните последици:

Инсталиране на зловреден код (вирус) в сайта

Това е усъвършенствана и изключително опасна форма за нанасяне на вреда на Вашия сайт и на бизнеса Ви като цяло. По този начин уебсайтът Ви ще започне зловредна и обикновено противозаконна дейност, и освен че може да навреди на много от потребителите си, ще придобие лоша репутация като разпространител на вируси, което може да бъде последвано от много неприятни санкции от страна на Google и други Интернет институции.

Получавайки достъп до Вашия сайт, хакерите също биха получили и достъп до поверителна информация като списък с клиентите Ви, базата данни на Вашия онлайн магазин, статистика за поръчките и т.н.

Една от особено неприятните и трудно откриваеми последици от хакерска атака е нанасянето на „дребни“ промени в настройките на сайта, като например изключването на достъпа до него от търсачките. В такъв случай уебсайтът Ви скоро напълно ще изчезне от резултатите в Google, Bing и други търсачки, а всичко в него на пръв поглед ще си работи напълно нормално.

SQL инжекция

При атака с SQL инжекция, нападателите могат да използват поле за уеб формуляр или URL параметър от Вашия сайт за достъп или манипулиране на Вашата база данни.

При неправилно създадени онлайн формуляри е възможно по този начин в заявката на формуляра до сървъра да се „вмъкне“ зловреден код, така че например обикновена форма за контакт да се използва за промяна на таблици, извличане на информация, изтриване или промяна на информация от базата данни на Вашия сайт.

Какви са начините да намалите риска от хакерски пробиви?

Преди всичко, със съжаление трябва да споделим, че непробиваем и абсолютно защитен от хакерски атаки сайт не съществува. Съществуват обаче ред способи, чрез които да намалите до един приемлив минимум вероятността сайтът Ви да бъде „хакнат“.

Хакерски атаки винаги е имало, има, и ще има. Тях Вие не можете да спрете. Можете обаче да създадете пред хакерите пречки, които да не позволят атаките им да успеят, или поне да направите тези атаки по-трудни.

Винаги разполагайте с резервно копие на вашия уебсайт (бекъп)

Винаги трябва да сте подготвени за най-лошото! Каквито и предохранителни мерки да взимате, важно е във всеки момент да бъдете в състояние да възстановите сайта си „от нищото“.

Няма да се уморя да повтарям колко важно е редовно да архивирате сайта си. Това ще Ви спести наистина много време и нерви, ако нещо се обърка. Съществуват множество приставки (плъгини) за WordPress, които Ви позволяват точно това – да правите резервни копия на сайта си. Възползвайте се. Правете бекъп на сайта си при всяка по-съществена промяна в съдържанието му. Така ще си спестите много нерви, а най-вероятно и пари.

Скрийте версията на WordPress

Всички хакери знаят, че някои по-стари версии на WordPress са уязвими и често проблемите, които съществуват в тези по-стари версии, са добре описани по форумите, което ги прави основната цел на атаките. За съжаление, версията на WordPress която работи във Вашия сайт е лесно установима и това дава на хакерите ценна информация за това как да пробият Вашия сайт.

Затова, преди всичко редовно актуализирайте WordPress до последната възможна версия, а ако не можете да правите това наистина редовно, постарайте се да скриете версията на WordPress на сайта си. За тази цел също съществуват безплатни приставки (плъгини), които ще лишат Вашите потенциални хакери от ценен източник на информация за уязвимостите на Вашия сайт.

Ограничете достъпа до администрацията на WordPress по IP адрес

Това е един изключително ефективен метод за защита на Вашия сайт, но за съжаление той невинаги е приложим.

Както знаем, всеки компютър включен в Интернет има свой уникален IP, а в WordPress съществува възможност достъп до административния панел да се позволи единствено на определен IP адрес, примерно този на Вашия компютър. По този начин достъп до администрацията на WordPress ще бъде даван единствено от Вашия компютър.

За да се ползва този метод обаче, е нужно Вашият компютър да има постоянен (статичен) IP адрес, а в повечето случаи доставчиците на Интернет достъп у нас предоставят динамични IP адреси, тоест Вашият компютър вероятно ще има различен IP адрес при всяко свързване с Интернет. Затова и този метод за защита се ползва сравнително рядко.

Сменете адреса за достъп до администрацията на WordPress

При стандартна инсталация, достъпът до административния панел на Wordress се осъществява през постоянен URL адрес, който обикновено е vashiyat-domain.com/wp-admin/. Естествено, всички хакери добре знаят това и се опитват да влязат в администрацията именно през този URL адрес. Съществуват дори и ботове (компютърни програми), които автоматично опитват през този адрес да разкрият Вашите пароли за достъп посредством безкраен брой итерации (проби с различни буквено-цифрови комбинации).

Ако обаче Вие промените този адрес за достъп до администрацията, ще поставите още една допълнителна преграда през тях. Преди да се мъчат да разкриват Вашата парола, хакерите ще трябва да открият и този неизвестен за тях URL адрес. Затова, винаги го правете. Съществуват много безплатни Уърдпрес приставки (плъгини), които позволяват да смените URL адреса за достъп до администрацията.

Възможно най-редовно актуализирайте WP и всички нейни плъгини

Може да изглежда очевидно, но няма да се уморим да повтаряме, че актуализирането на целия софтуер, управляващ Вашия сайт, е жизненоважно за поддържане на сигурността му.

Както много пъти сме писали когато е ставало дума за уязвимостите на WordPress, фундаментален проблем на такъв вид системи с отворен код (open source) е че както самите системи, така и приставките към тях, се пишат от множество програмисти из цялата планета. В резултат на това понякога части от този софтуер съдържат „пробойни“ и слаби места, които са добре дошли за хакерите.

Добрата новина тук е, че обикновено авторите на WordPress и нейните плъгини бързо откриват грешките си и ги отстраняват още със следващата версия. Лошата новина е, че ако редовно не актуализирате тези версии във Вашия сайт, той може да остане уязвим дълго време, от което хакерите да се възползват.

Затова, нашият горещ съвет е възможно най-често (ако можете – дори ежедневно) проверявайте Вашата WordPress инсталация за плъгини, нуждаещи се от актуализация, и веднага ги актуализирайте.

Наемете специалисти

Ако всичко описано по-горе Ви се струва объркващо или неясно, наемете специалист или фирма като нашата, която да се грижи за сигурността и поддръжката на Вашия сайт.

Запомнете едно: оставянето без поддръжка и актуализация на сайт, базиран на CMS платформа от типа на WordPress, рано или късно ще Ви доведе до положение, в което не искате да се озовете. Не позволявайте това да се случи.

Успех в Интернет!
Атанас Георгиев