Neuvot verkkosivuston suojaamiseen hakkereilta esitetään usein pitkänä tarkistuslistana. Ongelma on, ettei kaikilla listan kohdilla ole yhtä suurta painoarvoa. Pieni joukko toimenpiteitä kattaa suurimman osan hyökkäysreiteistä, jotka johtavat todellisiin murtoihin, ja tieto siitä, mitkä niistä kannattaa priorisoida, erottaa tehokkaan tietoturvan sen vaikutelmasta.
Verkkosivustoihin kohdistuvat hyökkäykset ovat lähes kokonaan automaattisia. Skannerit tutkivat miljoonia sivustoja kerralla ja etsivät tunnettuja haavoittuvuuksia ohjelmistoversioista, yleisiä salasanoja ja paljastuneita asetustiedostoja. Sivuston ei tarvitse olla suuren liikenteen tai tunnettu joutuakseen kohteeksi. Sen tarvitsee vain olla verkossa ja käyttää jotain, jossa on tunnettu vika. Täyden kuvan siitä, mitä on pelissä, kun nämä toimenpiteet puuttuvat, saat artikkelista miksi verkkosivuston tietoturva on tärkeää.
Näin suojaat verkkosivustosi hakkereilta vahvalla tunnistautumisella
Tunnusten murtohyökkäykset ovat yksi yleisimmistä tavoista, joilla hyökkääjät pääsevät verkkosivustoille. Vahva salasana yksinään ei riitä. Automaattiset raa'an voiman työkalut pysäyttää oikeasti vahvan salasanan, kirjautumisyritysten rajoituksen ja toisen tunnistautumistekijän yhdistelmä.
Vahvat ja yksilölliset salasanat
- Ylläpitäjätilien salasanojen pitäisi olla pitkiä, satunnaisia ja sivustolle yksilöllisiä. Ei uudelleen käytettyjä miltään muulta palvelulta
- Lyhyet salasanat ja yleisiin sanoihin tai kuvioihin perustuvat salasanat kokeillaan ensin automaattisilla raa'an voiman työkaluilla, jotka voivat yrittää tuhansia yhdistelmiä minuutissa
- Salasanahallinta luo ja tallentaa vahvat tunnukset, joita sinun ei tarvitse opetella ulkoa
Kaksivaiheinen tunnistautuminen
- Kaksivaiheinen tunnistautuminen edellyttää hallintapaneeliin kirjauduttaessa salasanan lisäksi toista vahvistusvaihetta
- Vaikka salasana varastettaisiin tietomurrossa tai phishing-hyökkäyksessä, kaksivaiheinen tunnistautuminen estää hyökkääjää käyttämästä sitä ilman toisen tekijän hallintaa
- Sen ottaminen käyttöön jokaisella ylläpitäjätilillä on yksi vaikuttavimmista yksittäisistä muutoksista verkkosivuston tietoturvalle
Kirjautumisyritysten rajoitukset
- Raa'an voiman työkalut toimivat kokeilemalla tuhansia salasanoja nopeassa tahdissa. Epäonnistuneiden kirjautumisyritysten määrän rajoitus ennen IP-osoitteen lukitsemista pysäyttää tämän tavan
- Monissa verkkosivustoalustoissa kirjautumisyritysten rajoitus on sisäänrakennettu asetus tai sen saa tietoturvalaajennuksella
Käyttämättömien tilien poistaminen
- Jokainen aktiivinen ylläpitäjätili, jolla on heikko tai uudelleen käytetty salasana, on mahdollinen sisäänpääsykohta
- Entisille työntekijöille, alihankkijoille tai kehittäjille luodut tilit pitää poistaa heti, kun niitä ei enää tarvita
Näin suojaat verkkosivustosi hakkereilta ohjelmistohygienialla
Vanhentunut ohjelmisto on verkkosivustojen eniten hyödynnetty haavoittuvuusluokka. Kun tietoturva-aukko löydetään ja korjataan, tiedot julkaistaan tyypillisesti korjauksen mukana. Sivustot, jotka käyttävät vielä vanhaa versiota, ovat tämän jälkeen dokumentoitu, tunnettu kohde.
Ota päivitykset käyttöön heti, kun ne ovat saatavilla
- Verkkosivustoalustan, lisäosien, teemojen ja integraatioiden päivitykset pitäisi ottaa käyttöön viipymättä. Niihin sisältyy usein tietoturvakorjauksia, ja viivyttely jättää tunnetut haavoittuvuudet auki
- Päivitysten asettaminen tapahtumaan automaattisesti aina kun mahdollista poistaa riskin kriittisen korjauksen ohittamisesta
Poista käyttämättömät lisäosat ja teemat
- Käyttämättömät lisäosat ja teemat, joita ei pidetä ajan tasalla, pysyvät haavoittuvina, vaikka ne eivät olisi aktiivisia sivustolla
- Niiden poistaminen pienentää hyökkäyspinta-alaa vaikuttamatta mihinkään julkaistulla sivustolla
Käytä vain luotettavista lähteistä peräisin olevaa ohjelmistoa
- Epävirallisista lähteistä peräisin olevat lisäosat, teemat ja laajennukset ovat yleinen haittaohjelmien levityskanava
- Pelkästään alustan virallisesta kauppapaikasta tai tunnetuilta, vakiintuneilta kehittäjiltä peräisin olevan ohjelmiston käyttö pienentää riskiä asentaa valmiiksi tartutettua koodia
Miten HTTPS suojaa verkkosivustoasi?
SSL-varmenne ja HTTPS ovat perusvaatimuksia. Ne suojaavat siirrettävää dataa ja viestivät hakukoneille, että sivusto täyttää vähimmäistietoturvastandardit. Tarkat ohjeet varmenteen käyttöönottoon löydät artikkelista mikä SSL-varmenne on ja miten se toimii.
Mitä HTTPS tekee
- HTTPS salaa datan, jonka kävijät lähettävät lomakkeilla, kirjautumissivuilla ja kassaprosesseissa, ja estää sen lukemisen, jos se siepataan siirron aikana
- SSL-varmenne myös todentaa sivuston identiteetin ja suojaa tietyiltä liikenteen sieppauksen ja esiintymisen muodoilta
Mitä HTTPS ei tee
- HTTPS ei estä hyökkäyksiä itse sivustoa vastaan. HTTPS ei pysäytä SQL-injektiota, cross-site scriptingiä, raa'an voiman kirjautumisyrityksiä tai haittaohjelman syöttämistä
- Se on yksi suojakerros, ei korvike muille
Miten verkkosovellusten palomuuri auttaa?
Mitä se tekee
- Verkkosovellusten palomuuri sijaitsee saapuvan liikenteen ja verkkosivuston välissä ja tarkistaa pyynnöt ennen kuin ne saavuttavat palvelimen
- Se suodattaa pois pyynnöt, jotka vastaavat tunnettuja hyökkäysmalleja, mukaan lukien SQL-injektioyritykset, cross-site scripting -hyötykuormat ja liikenne tunnetuista haitallisista lähteistä
- Hyökkäykset, jotka eivät koskaan saavuta palvelinta, eivät voi hyödyntää sivuston koodin haavoittuvuuksia
Verkkotason ja sovellustason palomuurit
- Verkkotason palomuurit suodattavat liikennettä infrastruktuuritasolla ennen kuin se saavuttaa palvelimen. Niitä tarjoavat tyypillisesti palvelinpaikan tarjoajat ja CDN-palveluntarjoajat
- Sovellustason palomuurit toimivat sivustotasolla ja voivat olla täsmällisempiä siinä, mitkä pyynnöt sallitaan sivuston sisällön ja toiminnan perusteella
- Molemmilla tyypeillä on eri tarkoitus, ja niitä voi käyttää yhdessä
Miksi varmuuskopiot kuuluvat verkkosivuston suojaamiseen hakkereilta
Mikään tietoturvatoimi ei poista kaikkea riskiä. Kun jokin pääsee läpi, puhdas varmuuskopio ratkaisee, kuinka nopeasti toivut ja kuinka paljon menetät.
Mitä varmuuskopiot tekevät, mihin ennaltaehkäisy ei pysty
- Kiristysohjelmahyökkäykset, jotka salaavat sivuston tiedostot, ovat paljon vähemmän vahingollisia, kun tuore puhdas varmuuskopio on olemassa. Varmuuskopiosta palauttaminen poistaa hyökkääjän vipuvarren kokonaan
- Puhdas varmuuskopio antaa myös varmennetun vertailukohdan, kun yrität tunnistaa, mitä hyökkääjä on muuttanut
Mikä tekee varmuuskopiosta hyödyllisen
- Varmuuskopiot pitää säilyttää erillään sivuston palvelimesta. Samalla palvelimella oleva varmuuskopio vaarantuu tai salataan hyökkäyksessä kaiken muun mukana
- Varmuuskopioinnin tiheyden pitäisi vastata sitä, kuinka usein sivusto muuttuu. Päivittäin päivitettävä sivusto tarvitsee päivittäiset varmuuskopiot
- Sen testaaminen, että varmuuskopion voi oikeasti palauttaa, on yhtä tärkeää kuin itse varmuuskopio. Varmuuskopio, joka epäonnistuu palautuksessa, ei ole varmuuskopio
Täydellisen oppaan verkkosivuston varmuuskopioiden käyttöönottoon ja hallintaan löydät artikkelista miten varmuuskopioit verkkosivustosi. Siitä, mitä tehdä, jos sivustollasi on jo haittaohjelma, kerrotaan artikkelissa mikä verkkosivuston haittaohjelma on ja miten se poistetaan.
Miten WEMASY hoitaa verkkosivuston suojauksen
WEMASYn palvelininfrastruktuuriin kuuluu palomuurisuojaus ja DDoS-hyökkäysten torjunta verkkotasolla. SSL-varmenteet kuuluvat jokaiseen pakettiin ja otetaan käyttöön automaattisesti, joten kaikki sivustot tarjotaan oletuksena HTTPS:n kautta. Ohjelmistopäivityksiä hallitaan alustatasolla, jolloin korjausten asentaminen ei ole sivuston omistajan vastuulla.
Varmuuskopiot kuuluvat kaikkiin paketteihin ja niitä hallitaan automaattisesti, ja palautusvaihtoehdot ovat käytettävissä hallintanäkymästä. Kaksivaiheinen tunnistautuminen on käytettävissä WEMASY-tilin käyttöön, ja kirjautumisaktiivisuutta seurataan alustatasolla.
Katso, mitä kuuluu mukaan, WEMASY-sivustonrakentajasta tai tutustu pakettivaihtoihin hinnoittelusivulla.
Usein kysytyt kysymykset
Miten hakkerit pääsevät verkkosivustoille?
Suurin osa verkkosivustomurroista tapahtuu kolmea reittiä: vanhentuneen ohjelmiston tunnettuja haavoittuvuuksia hyödyntämällä, heikkojen tai varastettujen ylläpitäjän salasanojen kautta ja syöttämällä haitallista koodia haavoittuvien kolmannen osapuolen lisäosien tai skriptien kautta. Automaattiset työkalut skannaavat jatkuvasti suuria määriä sivustoja näiden haavoittuvuuksien varalta ja hyödyntävät niitä kohdistamatta hyökkäystä mihinkään tiettyyn sivustoon. Ohjelmistojen ajan tasalla pitäminen ja vahvat, yksilölliset ylläpitäjän tunnukset kattavat yleisimmät sisäänpääsykohdat. WEMASY-sivustonrakentajalla voit ottaa tämän käyttöön suoraan omalla verkkosivustollasi.
Mikä on tärkein askel verkkosivuston suojaamiseksi hakkereilta?
Kaikkien ohjelmistojen pitäminen ajan tasalla sekä vahvojen, yksilöllisten salasanojen ja kaksivaiheisen tunnistautumisen käyttö ylläpitäjätileillä kattavat yhdessä suurimman osan onnistuneista hyökkäyksistä. Ohjelmistopäivitykset sulkevat tunnetut haavoittuvuudet ennen kuin hyökkääjät ehtivät hyödyntää niitä. Vahva tunnistautuminen estää pääsyn tunnushyökkäysten kautta, vaikka salasana vaarantuisi jossain muualla. Varmuuskopiot eivät estä hyökkäyksiä mutta rajoittavat vahinkoa, kun hyökkäys onnistuu, joten ne ovat välttämätön osa jokaista kattavaa suojausstrategiaa.
Vaikuttaako verkkosivuston koko murtoriskiin?
Ei. Verkkosivustoihin kohdistuvat hyökkäykset ovat lähes kokonaan automaattisia. Skannerit tutkivat miljoonia sivustoja tunnettujen haavoittuvuuksien ja heikkojen tunnusten varalta sivuston koosta, liikenteestä tai toimialasta riippumatta. Pieni portfoliosivusto, joka käyttää vanhentunutta ohjelmistoa, on yhtä altis kuin suuri alusta samalla haavoittuvuudella. Sivustoa suojaavat toimenpiteet ovat samat koosta riippumatta.
Mikä on verkkosovellusten palomuuri ja tarvitsenko sellaisen?
Verkkosovellusten palomuuri suodattaa sivustolle saapuvaa liikennettä ja estää pyynnöt, jotka vastaavat tunnettuja hyökkäysmalleja, ennen kuin ne saavuttavat palvelimen. Se voi estää automaattisesti SQL-injektioyritykset, cross-site scripting -hyötykuormat ja liikenteen tunnetuista haitallisista lähteistä. Tarvitsetko erillisen verkkosovellusten palomuurin, riippuu web-hotellisi kokoonpanosta. Monet palvelinpaikan tarjoajat sisällyttävät palomuurisuojauksen verkkotasolla, ja se hoitaa merkittävän osan automaattisista hyökkäyksistä ilman, että sivuston omistajan tarvitsee määrittää mitään.
Kuinka usein verkkosivustoni pitäisi varmuuskopioida?
Oikea varmuuskopiointitiheys riippuu siitä, kuinka usein sivuston sisältö muuttuu. Sivusto, jota päivitetään päivittäin uudella sisällöllä, tilauksilla tai lähetyksillä, tarvitsee päivittäiset varmuuskopiot. Harvoin muuttuva sivusto voidaan varmuuskopioida harvemmin, mutta se pitää silti varmuuskopioida ennen jokaista merkittävää päivitystä tai alustan muutosta. Varmuuskopiot pitää säilyttää erillään sivuston palvelimesta ja testata ajoittain, jotta varmistetaan, että ne voi oikeasti palauttaa.
Voinko suojata verkkosivustoni hakkereilta ilman teknistä osaamista?
Kyllä. Vaikuttavimmat suojatoimet eivät vaadi teknistä osaamista. Vahvan, yksilöllisen salasanan käyttö ylläpitäjätileillä, kaksivaiheisen tunnistautumisen käyttöönotto ja ohjelmistopäivitysten asentaminen alustan sisäänrakennetuilla työkaluilla kattavat suurimman osan yleisistä hyökkäysreiteistä. Valitsemalla palvelinpaikan tarjoajan tai verkkosivustoalustan, joka sisältää palomuurisuojauksen, SSL:n ja automaattiset varmuuskopiot alustatasolla, infrastruktuuritason tietoturva hoituu ilman, että sinun tarvitsee määrittää mitään.