Безопасность и масштабируемость данных. От пользовательской безопасности к Google Cloud. Игорь Сазонов.

1. Безопасность и
масштабируемость данных
От пользовательской безопасности к Google Cloud

2. Виды атак и взломов
• Пользовательские
• DDoS (инфраструктура)
• Уязвимости в коде
• Непродуманная защита сайта
«Какие-то хакеры вскрыли почту
Демократической партии США»

3. Пользовательские

4. Пользовательские
Двухфакторная авторизация

5. Инфраструктурные атаки (DDoS)

6. Инфраструктурные атаки (DDoS)

7. Инфраструктурные атаки (DDoS)
1. Отключаем через IPTables все неиспользуемые порты (FTP, SSH), открываем только IP админа
2. Nginx: лимит подключений с одного IP
3. Лимиты hashlimit
4. Отключаем пинг сервера
5. Анализируем состояние сервера: Happyapps.io, Anturis.com
CloudFlare plugin https://ru.wordpress.org/plugins/cloudflare/

8. Уязвимости в коде
1. Отсутствие защиты от Brute-Force (перебор сочетаний логин-пароль)
2. Слабая проверка или отсутствие проверки входных данных
3. Отсутствие проверки XSS-атак
4. Отсутствие проверки CSRF-атак (межсайтовая подделка запросов)

9. Brute-force
1.Если агент использует cookie, пишем ему в сессию инкремент попыток, считаем время между попытками,
если время короткое и попыток много – записываем ip в список заблокированных
2. Если клиент не использует cookie…
2.1 Если нет cookie – пишем сразу его в таблицу БД (время + IP)
2.2 Анализируем его по данной таблице

10. Входные данные ($_POST и $_GET)
1. Число – intval()
2. Sanitize & escape WP -
https://codex.wordpress.org/Validating_Sanitizing_and_Escaping_User_Data
3. Библиотека HTMLPurifier - http://htmlpurifier.org/

11. CSRF-атаки (межсайтовая подделка запроса)

12. Content Security Policy
Политика безопасности сайтов, разработанная Mozilla, Google, Opera
https://content-security-policy.com/
https://ru.wordpress.org/plugins/wp-content-security-policy/
script-src 'self' www.google-analytics.com ajax.googleapis.com;
Header set Content-Security-Policy "default-src 'self';"

13. Безопасность БД и масштабируемость
Google Cloud Services - https://cloud.google.com/

14. Безопасность БД и масштабируемость

15. Безопасность БД и масштабируемость