Защита сайта — решение от «Ревизиум»

Наша защита блокирует любые веб-атаки злоумышленников. Сайт становится устойчивым к внешним вторжениям хакеров – несанкционированные действия (изменения в файлах и базе данных) становятся невозможны. После установки защиты вносить изменения на сайт сможет только администратор сайта или контент-менеджер.

Процедура защиты — это комплекс мероприятий, которые выполняются разово на хостинге и средствами хостинга, при этом действие защиты бессрочно. Для того чтобы защита работала, владельцу остается только следовать рекомендациям по безопасному администрированию сайта, разработанным специалистами «Ревизиум». Рекомендации получают все клиенты компании вместе с отчетом о проделанной работе.

При установке защиты мы выполняем разработанную персонально под каждую CMS процедуру «hardening» (так называемое «цементирование» сайта), при котором закрывается возможность эксплуатации уязвимостей и несанкционированного изменения в файлах и каталогах сайта за счет изменения прав на файлы и папки, закрытия админ-панели дополнительной аутентификацией (паролем или по IP), размещения конфигурационных файлов веб-сервера в открытых на запись каталогах и применение безопасных настроек php в файле php.ini. При этом функциональность сайта сохраняется, его по-прежнему можно наполнять, загружать файлы и изображения и т.п.

 

Установка защита состоит из следующих шагов:

  1. производится анализ файлов и директорий на необходимость записи или только чтения;
  2. в директории, которые осуществляется запись, размещаются .htaccess файлы, задача которых ограничить или запретить выполнение скриптов, либо разрешить выгрузку только определенных типов файлов;
  3. все директории и файлы (шаблоны, системные директории и файлы CMS, настройки) делаются «только для чтения»;
  4. вносятся изменения в конфигурацию php (если она доступна, то мы сами это делаем, если не доступна, пишем, что нужно изменить тех. поддержке хостинга) для запрета системных функции php, чтобы у хакера не было возможности изменить служебные файлы и их атрибуты;
  5. в корневом .htaccess размещается специальный код, который блокирует ботов, веб-атаки, ограничивает доступ к определенным директориям, из которых не нужно вызывать файлы, ограничивает доступ к системным файлам .ini, .sql и т.п.;
  6. устанавливается защита на панель администратора с помощью дополнительной аутентификации (доступ разрешается либо с определенных ip адресов, либо с помощью паролирования директории средствами веб-сервера).
  7. устанавливается проактивная защита, блокирующая веб-атаки, направленные на эксплуатацию различных классов уязвимостей
  8. настраивается расширенный мониторинг запросов, который аккумулирует информацию не только об адресах открываемых страниц, но и о содержимом запросов (в том числе POST) с длительным периодом хранения логов.

Процедура «hardening» («цементирование») сайта в разы эффективнее простого обновления CMS сайта до новой версии или установки патчей/плагинов безопасности. Данная процедура не влияет на работу сайта, который продолжает функционировать как прежде, наполняется и обновляется.

В результате установки защиты:

  1. злоумышленник не сможет модифицировать файлы, загружать вредоносный код, поскольку все служебные директории и файлы становятся доступны «только для чтения»;
  2. злоумышленник не может загрузить вредоносный код на сайт, поскольку большинство директорий только для чтения;
  3. даже если хакеру удается загрузить шелл-скрипт во временный каталог или каталог загрузки файлов, открытый на запись, то он не может воспользоваться загруженным скриптом, поскольку в этих директориях запрещено выполнение .php скриптов;
  4. автоматически закрываются часть уязвимостей с помощью корневого .htaccess файла, который отсеивает SQL инъекции, запросы от ботов и грабберов и т.п.;
  5. даже имея на руках логин и пароль администратора, хакер не сможет зайти в панель администратора сайта, поскольку на вход будет установлена дополнительная авторизация по ip адресу или паролю.

Заказать лечение сайта »