Что такое кибербезопасность и как защитить сайт

Кибербезопасность касается любого сайта — от интернет-магазина с тысячами заказов до лендинга на три экрана. Большинство атак проводят не люди, а программы: боты обходят адреса подряд, ищут устаревшие плагины, подбирают пароли к админке и проверяют известные ошибки в CMS. Ботам не важно, насколько известен сайт, поэтому взламывают и небольшие сайты. Хорошая новость: от таких атак защищают несколько настроек, и на них уйдёт пара часов.

Защиту нельзя настроить один раз и закрыть этот вопрос — она держится на регулярных обновлениях, проверках файлов и контроле сотрудников, у которых есть доступ к панели управления, хостингу и почте. В статье разобраны основные киберугрозы и меры по снижению риска взлома.

Основные тезисы статьи

• Сайт защищают настройки и правила: кто и как входит в панель управления. Часть работы делает хостинг, часть — вы.

• Хостинг-провайдер отвечает за серверы и сеть. Владелец отвечает за учётные записи, обновления и код сайта.

• Чаще всего сайтам угрожают три вещи: кража паролей через фишинг, взлом через уязвимые плагины CMS и DDoS-атаки.

• Защиту начинают с восьми мер: двухфакторная аутентификация, минимальные права, обновления, HTTPS, резервные копии, проверка антивирусом, логи и обучение сотрудников.

• При подозрении на взлом действуют по порядку: фиксируют симптомы, ограничивают ущерб, восстанавливают сайт и устраняют причину.

• Для старта хватит плана из четырёх шагов, на который уйдёт пара часов.

Что такое кибербезопасность простыми словами

Кибербезопасность — это правила и настройки, которые не дают посторонним попасть на ваш сайт, в почту и панель управления, украсть или испортить данные и остановить работу сайта. Сюда входят защита серверов, защита самого сайта и правила для всех, у кого есть доступ к панели управления.

У защиты три задачи:

1. Конфиденциальность. Данные клиентов, пароли и переписку видят только те, кому это разрешено.

2. Целостность. Посторонние не могут менять файлы, цены в каталоге или содержимое базы.

3. Доступность. Сайт открывается и работает, когда к нему приходят посетители.

Если нарушить хотя бы одну из трёх, бизнес теряет заказы и доверие клиентов.

С какими угрозами сталкивается владелец сайта

Чаще всего сайты взламывают не хакеры, которые выбрали именно вас, а программы, которые проверяют тысячи сайтов подряд. Подробнее об уязвимостях сайтов — в рекомендациях НКЦКИ по защите веб-приложений.

Доступы и фишинг

Самый простой путь на сайт идёт через чужой пароль. Боты подбирают комбинации вроде admin/123456 к админке CMS, панели хостинга и FTP. Пароль могут и перехватить, если сайтом управляют через протоколы без шифрования, например обычный FTP.

Второй способ — фишинг, то есть поддельное письмо, которое выманивает пароль. Например, вам приходит письмо якобы от хостинга или регистратора с просьбой срочно подтвердить данные. Ссылка ведёт на поддельную страницу входа, и введённые логин и пароль сразу попадают к злоумышленнику.

Как распознавать такие сообщения и снижать риск заражения, НКЦКИ объясняет в рекомендациях по защите от фишинговых и вредоносных писем.

Уязвимости и вредоносный код

Другой частый путь — устаревший плагин. CMS — это система управления сайтом, например, WordPress или 1С-Битрикс. Плагин — дополнение к ней, которое добавляет новую функцию. Если в старой версии плагина нашли уязвимость, через неё можно попасть на сайт. Описания таких брешей публикуют открыто, а сканеры находят подходящие сайты за минуты. После взлома на сервер загружают вредоносное ПО:

• веб-шеллы — скрытые файлы, через которые злоумышленник управляет сайтом;

• майнеры — программы, которые за ваш счёт добывают криптовалюту и тормозят сайт;

• скрипты, перенаправляющие посетителей на мошеннические страницы.

Через такие файлы злоумышленники могут выгрузить базу с данными клиентов.

DDoS и отказ сервиса

При DDoS-атаке на сервер одновременно отправляют поток запросов с тысяч заражённых устройств. Ресурсы сервера заканчиваются, и сайт либо отвечает с большой задержкой, либо перестаёт открываться. Интернет-магазин в такой ситуации сразу теряет деньги: покупатели не могут оформить заказ и уходят к конкурентам.

Как распределяется ответственность с хостингом

За защиту сайта отвечаете вы и хостинг:

• Хостинг следит за серверами, сетью и дата-центром: отражает сетевые атаки и отделяет сайты клиентов друг от друга, чтобы взлом соседнего сайта не задел ваш.

• Вы отвечаете за то, что происходит внутри вашего аккаунта: надёжность паролей, обновление CMS и плагинов, права пользователей и код, установленный на сайте.

Точная граница зависит от типа услуги. На виртуальном хостинге провайдер обычно отвечает за серверную инфраструктуру и базовое программное окружение. На VPS часть задач по настройке и обновлению системы может лежать на клиенте. Распределение обязанностей прописывают в договоре или условиях тарифа.

Автоматическая защита на уровне хостинга

Какие меры нужно настроить в первую очередь

Эти восемь мер закрывают самые частые способы взлома. Почти все можно настроить самостоятельно, без программиста.

Надёжные пароли и вход с кодом из телефона

Для каждого сервиса нужен отдельный пароль длиной от 12 символов. Создавайте пароли в генераторе и храните в менеджере паролей — программе, которая запоминает их за вас.

Но даже надёжный пароль могут украсть, поэтому включите двухфакторную аутентификацию (2FA) в CMS, панели хостинга и почте. Это вход в два шага: сначала пароль, потом одноразовый код из приложения на телефоне или из SMS. Без кода злоумышленник не войдёт, даже если узнал пароль.

Минимальные права

Давайте каждому сотруднику только те права, которые нужны ему для работы. Контент-менеджеру хватит роли редактора, подрядчику хватит временного доступа. Когда работы закончены, доступ закрывают. Тогда, если взломают одну учётную запись, злоумышленник получит только её права, а не весь сайт.

Обновления

Обновления CMS, тем и плагинов закрывают уже известные уязвимости. Удаляйте плагины, которыми не пользуетесь. Отключать мало: файлы отключённого плагина остаются на сервере, и через его уязвимость можно попасть на сайт.

HTTPS

HTTPS — защищённое соединение: данные между браузером посетителя и сайтом передаются в зашифрованном виде, и их не перехватят в открытой сети. Для HTTPS нужен SSL-сертификат. Без него браузер покажет посетителям «Не защищено».

Резервные копии и тест восстановления

Резервная копия (бэкап) — это копия файлов и базы сайта на определённую дату. Она полезна, только если из неё получается восстановить сайт. Раз в один-три месяца восстанавливайте копию на тестовом адресе, например на поддомене test.вашсайт.ru, и проверяйте, что открываются страницы и работает корзина. Храните копии за несколько дат: если вирус попал на сайт неделю назад, вчерашняя копия тоже будет заражена. В Timeweb для этого есть резервное копирование на хостинге.

Проверка антивирусом

Антивирус находит изменённые файлы и вставки вредоносного кода. Запускайте проверку сайта антивирусом по расписанию и сразу, если сайт начал вести себя странно: перенаправлять посетителей, тормозить, рассылать спам.

Логи

Логи сайта — это журналы, куда сервер записывает каждое обращение к сайту: кто, когда и с какого IP-адреса заходил и какие были ошибки. По ним можно восстановить, как злоумышленник попал на сайт.

Обучение сотрудников

Взлом может начаться с одной ошибки сотрудника: кто-то открывает вложение из подозрительного письма, пересылает пароль в мессенджере или заходит в админку с чужого компьютера. Проводите короткий инструктаж для каждого нового сотрудника и раз в полгода для всех. 

Как выбирать хостинг с учётом безопасности

Когда выбираете хостинг, смотрите не только на цену и объём диска. Проверьте, есть ли у провайдера:

• автоматические резервные копии с хранением за несколько дней;

• изоляция аккаунтов, чтобы взлом соседнего сайта на сервере не затронул остальные;

• встроенный антивирус или сканер файлов;

• защита от DDoS-атак;

• двухфакторная аутентификация для входа в панель управления;

• доступ к логам.

Возможности и границы защиты на хостинге Timeweb

На хостинге Timeweb часть защиты работает по умолчанию. В панели управления доступны:

• антивирус, который проверяет файлы сайта и показывает заражённые скрипты;

• автоматическое резервное копирование с возможностью восстановить сайт из копии;

• фильтрация опасного трафика. Если сайт регулярно атакуют, можно подключить защиту от DDoS-атак в Timeweb.

При этом хостинг не обновляет плагины в CMS, не меняет пароли администратора и не правит код сайта. Это ваша часть работы. С чего начать, показали в плане ниже.

Геоблокировка и фильтры: когда они помогают

Геоблокировка и фильтры не пускают на сайт посетителей с определённых адресов или из определённых стран. Правила строят по нескольким признакам:

• IP-адреса, например вход в админку только с офисного IP;

• страны, если из них не бывает клиентов;

• поведение, например блокировка ботов, которые перебирают пароли или отправляют сотни запросов в секунду.

Геоблокировка полезнее всего для панели управления сайтом. Для всего сайта её включают осторожно, иначе можно отрезать покупателей в поездках, посетителей с VPN и поисковых роботов. На хостинге Timeweb ограничить трафик по странам можно через геоблокировку в настройках защиты от DDoS.

Что делать при подозрении на инцидент

Сайт, скорее всего, взломали, если: сайт перенаправляет посетителей на чужие страницы, на сервере появились незнакомые файлы, хостинг сообщает о рассылке спама, сайт стал тормозить или хостинг сообщил о превышении нагрузки. Если заметили что-то из этого, не паникуйте и действуйте по шагам. Если не уверены, напишите в поддержку — поможем разобраться.

Зафиксируйте, что произошло

Запишите, что происходит и с какого момента. Сделайте скриншоты, сохраните сообщения об ошибках, скачайте логи и список изменённых файлов. Подозрительные файлы сразу не удаляйте: по ним можно понять, как злоумышленник попал на сайт.

Остановите ущерб

Закройте сайт заглушкой «Ведутся технические работы». Смените все пароли: от FTP, SSH (доступа к серверу через командную строку), CMS, базы данных, панели хостинга и почты. Перенесите подозрительные файлы из папки сайта, которую видят посетители (обычно public_html), в другую папку.

Восстановите сайт и закройте причину

Восстановите копию, сделанную до взлома, обновите CMS и плагины, удалите лишние учётные записи. Если пострадали персональные данные клиентов, компания, которая собирает эти данные (по закону — оператор), должна в течение 24 часов уведомить Роскомнадзор, а в течение 72 часов сообщить результаты расследования. Сроки установлены статьёй 21 Закона № 152-ФЗ.

С чего начать: план из четырёх шагов

1. Включите двухфакторную аутентификацию в CMS, панели хостинга и почте, замените слабые пароли.

2. Удалите лишние учётные записи и пересмотрите права пользователей.

3. Обновите CMS, тему и плагины, удалите неиспользуемые.

4. Проверьте настройки резервного копирования и один раз восстановите сайт из копии на тестовом адресе.