Почему взламывают даже защищенные cms на безопасном...
TRANSCRIPT
![Page 1: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/1.jpg)
Почему взламывают даже защищенные CMS на безопасном хостинге
// BITRIX 2016
Григорий Земсков, компания «Ревизиум»
![Page 2: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/2.jpg)
Чтобы защитить сайт от взлома, нужно знать, как
сайт могут взломать
![Page 3: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/3.jpg)
Заблуждение про взлом—Веб-атаки - как единственный вариант взлома сайтов
—Защищенная CMS на безопасном хостинге гарантирует безопасность сайта
—Технических мер достаточно
![Page 4: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/4.jpg)
Варианты взлома сайтов
![Page 5: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/5.jpg)
Варианты взлома сайтов
![Page 6: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/6.jpg)
Атаки и взлом через веб— эксплуатация уязвимостей:
— в скриптах CMS
— плагинах и модулях
— доработках
— брутфорс админ-панелей сайтов
— DOS/DDOS атаки
![Page 7: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/7.jpg)
Защита от веб-атак— обновление CMS и плагинов
— минимизация плагинов
— доработки опытными разработчиками
— проксирование трафика, WAF
— антибрутфорс плагины и сервисы (fail2ban, Login LockDown)
— антиDDOS на хостинге
![Page 8: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/8.jpg)
Если CMS неуязвима?— взломают сайт через соседний по аккаунту
— перехватят доступы через WI-FI в кафе, украдет троян на компьютере, уведут через «фишинг» или взломанный email
— «сбрутят» пароль от FTP/SSH
— внедрят вирусный код через phpmyadmin в базу данных
— сам веб-мастер установит зараженный компонент
— «рутанут» сервер VPS/хостинга
![Page 9: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/9.jpg)
Найти пароль в Google
![Page 10: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/10.jpg)
Взлом не через веб— перехват (кража) доступов
— брутфорс атака на FTP/SSH/панель хостинга
— взлом сайта через соседние сайты на аккаунте
— компрометация сервера хостинга
![Page 11: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/11.jpg)
Защита от взлома— грамотный выбор хостера
— изолированное размещение сайтов
— ограничение по IP, двухфакторная аутентификация
— регулярная смена паролей
— работа по безопасному каналу (VPN)
— нет FTP, да - SFTP или хотя бы FTPS
— минимизация доступных функций в панели
![Page 12: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/12.jpg)
Когда виноват подрядчик— недобросовестный подрядчик (веб-мастер, программист, контент-менеджер) оставляет «закладки»
— подрядчик устанавливает зараженные компоненты (nulled, не покупает)
— утечка доступов к хостингу/сайту у подрядчиков
— социальная инженерия / фишинг
![Page 13: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/13.jpg)
Безопасная работа с подрядчиками
— управлять доступами (сразу менять после завершения работ, предоставлять минимальные привилегии на минимальный срок)
— аудит после проведения работ
— инструктаж подрядчиков
— работа по договору
![Page 14: Почему взламывают даже защищенные CMS на безопасном хостинге](https://reader033.vdocuments.mx/reader033/viewer/2022042723/58eb491c1a28ab5f398b467d/html5/thumbnails/14.jpg)
Общие рекомендации— выработать политику безопасности
— технические меры защиты
— организационные меры защиты
— информирование подрядчиков/персонал, контроль за исполнением
— уязвимостью часто бывает сам человек
— безопасность - это процесс
— только комплексный подход гарантирует безопасность