Get best of the week

驴C贸mo asegurar su sitio web?



En busca de m茅todos y herramientas modernos que nos permitan, al menos con cierto grado de certeza, afirmar que el sitio web est谩 protegido de futuros ataques de piratas inform谩ticos (que todos los tendr谩n, 驴despu茅s de todo, nadie tiene dudas? Y si no hubiera ninguno , entonces esto es solo cuesti贸n de tiempo), se encontraron recomendaciones que consideraremos en este art铆culo.

Esta es una lista peque帽a pero importante de acciones espec铆ficas que todos deber铆an tomar con su propio recurso web, si la reputaci贸n de la compa帽铆a, la seguridad de los recursos web y los datos del cliente no son palabras vac铆as para usted.

Hay varias formas b谩sicas de proteger su sitio:

  • proporcionar protecci贸n contra ataques DDoS;
  • conectar un certificado SSL;
  • usar alojamiento confiable ;
  • usar complementos / bibliotecas / frameworks / CMS seguros (en adelante denominados "m贸dulos de terceros");
  • SQL- XSS-;
  • - ;
  • - ;
  • , ;
  • , -, .

Naturalmente, cada elemento tiene su propio "pero" y una serie de sub-elementos en los que se debe prestar atenci贸n. Tambi茅n se pueden dividir en subgrupos en funci贸n de las siguientes consideraciones: algunas acciones requieren una conexi贸n 煤nica, configuraci贸n y comprobaciones de estado poco frecuentes (configuraci贸n de un certificado de hosting y SSL), mientras que otras implican constantes comprobaciones, actualizaciones y requieren mucha atenci贸n (todo lo dem谩s).

Hosting confiable y SSL


Entonces, para comenzar, nuestro arsenal tiene un servidor confiable o un alojamiento compartido, cuya administraci贸n permanecer谩 fuera del alcance de este art铆culo. En cuanto a la conexi贸n de un certificado SSL, esta es una medida obligatoria e incluso los comentarios son redundantes aqu铆.

Protecci贸n DDoS


Si su proveedor de alojamiento proporciona servicios de protecci贸n contra ataques DDoS o usted utiliza los servicios de servicios anti-DDoS, entonces esta pregunta puede considerarse cerrada, pero 驴por qu茅 no fortalecer la protecci贸n y organizarla usted mismo? usando las siguientes t茅cnicas: si Apache se usa como un servidor web, entonces necesita poner un proxy de almacenamiento en cach茅 delante de 茅l: Nginx o Lighttpd, pero es mejor usar Nginx en la interfaz, pero con varios complementos (limite el tama帽o de los buffers y conexiones en Nginx, configure tiempos de espera y etc.; use el m贸dulo testcookie-nginx; use el filtrado de URL y proporcione el c贸digo no est谩ndar 444, que le permite cerrar la conexi贸n y no devolver nada); en algunos casos, use bloqueo geogr谩fico;Automatice el proceso de an谩lisis de los registros del sitio web, prestando especial atenci贸n a la cantidad de tr谩fico, el tiempo de respuesta del servidor, la cantidad de errores y la cantidad de solicitudes por segundo.

Seguridad de terceros


En cuanto a la recomendaci贸n sobre el uso de m贸dulos seguros de terceros en sus aplicaciones, este tema es probablemente uno de los m谩s importantes, porque la mayor铆a de los ataques maliciosos se producen a trav茅s de m贸dulos de terceros. La esencia de este p谩rrafo es utilizar marcos y bibliotecas con caracter铆sticas de seguridad integradas que ayudar谩n a los desarrolladores a minimizar la aparici贸n de vulnerabilidades en el proceso de implementaci贸n. Me gustar铆a destacar recomendaciones m谩s detalladas con respecto a este art铆culo: use m贸dulos de terceros de fuentes confiables que sean compatibles con la comunidad y se desarrollen activamente; Mantenga actualizada la lista de todos los m贸dulos de terceros; Use solo la funcionalidad que se requiere dentro de su aplicaci贸n.

Inyecciones SQL y ataques XSS


La recomendaci贸n con respecto a la protecci贸n contra inyecciones SQL y ataques XSS requiere la explicaci贸n m谩s detallada, porque el prop贸sito de los atacantes aqu铆 es datos espec铆ficos de la base de datos (inyecci贸n SQL) y datos de usuario (ataque XSS). Tambi茅n vale la pena entender que los problemas relacionados con las inyecciones de SQL cubren una secci贸n extensa sobre el acceso seguro a todos los almacenes de datos, incluidas las bases de datos relacionales y las bases de datos NoSQL, e incluyen problemas de seguridad de consultas (debe evitar la entrada ileg铆tima como parte de SQL- comandos y la mejor soluci贸n es utilizar consultas parametrizadas que se puedan aplicar a construcciones SQL / OQL y procedimientos almacenados), configuraci贸n (debe asegurarse de que las herramientas de seguridad DBMS existentes y la plataforma en la que est谩 instalado est茅n configuradas correctamente),autenticaci贸n (debe realizarse a trav茅s de un canal seguro) y conexiones (debido a la existencia de varias formas de interactuar con la base de datos (a trav茅s de un servicio o API), es necesario garantizar la seguridad de las conexiones mediante encriptaci贸n y autenticaci贸n).

En cuanto a las secuencias de comandos entre sitios (ataque XSS), en este caso las consecuencias de una gravedad moderada pueden ser causadas por XSS o XSS reflejados en funci贸n del modelo de objeto de documento (DOM), y las secuencias de comandos entre sitios con ejecuci贸n de c贸digo en el navegador del usuario pueden tener graves consecuencias. para robar credenciales, interceptar sesiones o instalar software malicioso. La medida de protecci贸n principal en este caso es la detecci贸n (agregando ciertas combinaciones de caracteres antes de caracteres o l铆neas para evitar su interpretaci贸n incorrecta), codificando datos (convirtiendo ciertos caracteres en combinaciones de caracteres que no son peligrosos para el int茅rprete) en el lado del servidor y usando un conjunto de encabezados HTTP en particular, Set-Cookie con par谩metros HttpOnly y Secure,as铆 como X-XSS-Protection con un valor de 1.

Una medida de seguridad com煤n utilizada para evitar la inyecci贸n de SQL y las secuencias de comandos entre sitios es verificar todas las entradas para la sintaxis y la sem谩ntica. La norma sint谩ctica debe entenderse como la correspondencia completa de los datos de entrada con el formulario de presentaci贸n esperado, y la norma sem谩ntica indica que los datos de entrada no van m谩s all谩 de los l铆mites de una funci贸n espec铆fica.

Registro y monitoreo


La recomendaci贸n sobre el registro de todos los eventos y el monitoreo de eventos de seguridad ya se ha mencionado al considerar los m茅todos de protecci贸n contra ataques DDoS, pero en este caso el lado m谩s amplio del problema est谩 relacionado con la detecci贸n y la lucha contra los ataques, as铆 como con la investigaci贸n de incidentes de seguridad que ya han ocurrido. Por lo tanto, adem谩s de las herramientas de registro est谩ndar proporcionadas por el servidor web, debe asegurarse de que se registre la hora del evento y la identificaci贸n del usuario, as铆 como la actividad potencialmente peligrosa espec铆fica de su sitio web. En caso de detecci贸n de actividad maliciosa, su aplicaci贸n debe bloquear la sesi贸n del usuario o bloquear por direcci贸n IP, en general, tomar medidas e informar al administrador al respecto. Aqu铆 estamos hablando de herramientas como WAF o IDS / IPS.

Copias de seguridad


En cuanto a la copia de seguridad peri贸dica del sitio web y todos los datos, aqu铆 debe pensar en el lugar y el tipo de almacenamiento de estos datos. Una forma efectiva es cifrar el almacenamiento de datos cr铆ticos y copias de seguridad, as铆 como almacenar archivos de copia de seguridad no en el sistema de archivos, sino en un lugar diferente, cuya seguridad no hay duda, y que siempre estar谩 disponible para una implementaci贸n r谩pida.

12345 o qwerty?


La recomendaci贸n para usar contrase帽as seguras y complejas no es solo y no tanto sobre las contrase帽as, sino en general sobre la autenticaci贸n y la administraci贸n de sesiones de usuario. Hay tres niveles de autenticaci贸n, y el uso de solo contrase帽as se refiere solo al primero: el nivel m谩s simple (el segundo es la autenticaci贸n multifactor; el tercero es la autenticaci贸n basada en el cifrado). Sin embargo, incluso aqu铆 hay una serie de requisitos para las contrase帽as mismas, el mecanismo de recuperaci贸n de contrase帽a, as铆 como para el almacenamiento seguro de las contrase帽as. La administraci贸n de sesiones le permite monitorear el estado de la autenticaci贸n del usuario para trabajar con un sitio web sin volver a autenticarse. Tambi茅n se requieren sesiones para crear y completar.

Protecci贸n del panel de administraci贸n


La recomendaci贸n final es proteger el panel de administraci贸n del sitio web, ya que es una de las debilidades del sistema en general debido a la amplia funcionalidad asociada con agregar / editar publicaciones y p谩ginas, trabajar con archivos y mucho m谩s. Por lo tanto, una condici贸n importante es garantizar un control de acceso adecuado, as铆 como la m谩xima ocultaci贸n de la ubicaci贸n del panel administrativo de los ciberdelincuentes, implementado simplemente transfiriendo la direcci贸n a una no est谩ndar y maximizando la protecci贸n para este punto de entrada a trav茅s de la protecci贸n contra la fuerza bruta, filtrado por direcciones IP, etc. Al crear un sistema de control de acceso, se deben cumplir los siguientes principios: enviar todas las solicitudes a trav茅s de un sistema de control de acceso; Denegar el acceso por defecto (es decir, rechazar la solicitud, si no se autoriz贸 espec铆ficamente); privilegios m铆nimos para todos los usuarios,programas o procesos; negativa a usar el modelo a seguir del control de acceso, codificado en el c贸digo; registro de todos los eventos relacionados con el control de acceso.

Conclusi贸n


Este art铆culo de revisi贸n analiza algunas t茅cnicas para mejorar la seguridad del sitio web. Cada recomendaci贸n individual merece una revisi贸n por separado, pero incluso con una revisi贸n tan breve, una cosa queda clara: el enfoque para garantizar la seguridad debe ser integral y sistem谩tico y no debe tolerarse. Debe abordar cuidadosamente el control de acceso, mantener actualizados los m贸dulos de terceros, filtrar los datos de entrada y mucho m谩s. 驴Tienes algo que agregar? Aseg煤rese de compartir en los comentarios.


Como un anuncio


隆VDSina ofrece servidores confiables con pago diario o 煤nico, cada servidor est谩 conectado a un canal de Internet de 500 Megabits y est谩 libre de ataques DDoS!

More articles:


All Articles