Какие организационные меры защиты сайтов гарантируют отсутствие взлома и заражения вирусами, компрометацию доступов, раскрытие конфиденциальных данных. Как управлять доступами, как организовать работу сотрудников и подрядчиков с клиентскими сайтами внутри компании, о чем нужно помнить фрилансерам при работе с сайтами заказчиков.

1. Как обеспечить безопасность
клиентских сайтов
в процессе оказания услуг
// SEO Conference 2016
Григорий Земсков, компания «Ревизиум»

2. Безопасность сайта требует
внимания

3. Не до безопасности
— Агентство, студия, SEO-специалисты
• постоянно работает с сайтом
• профессионально (или не очень :) решает задачи
• не задумывается о безопасности (не до нее / нет компетенций)
— Владелец сайта
• постоянно или не очень работает с сайтом
• решает бизнес-задачи, нет технической экспертизы
• не задумывается о безопасности (не до нее)

4. Проблема неуправляемых доступов
• email
• IM: skype, whatsapp, viber, соц.сети, sms
• своя CRM или сервис
• чаты на сайтах, фриланс-сайтах
• хостинг клиента

5. Как «утекают» пароли

6. Правильные вопросы про безопасность
— Кто отвечает за безопасность сайта?
— Кто и как управляет доступами?
— Как обеспечить безопасную передачу и хранение
доступов?
— Что такое «гигиена безопасности»?
— Чем грозит взлом и заражение сайта?
— Как снизить риски? …

7. Возможные проблемы клиента

8. Примеры взломанных сайтов

9. «Японский дорвей»

10. Дефейс

11. Хулиганство

12. Шантаж

13. Вирусы

14. Как чаще всего взламывают
— Перехватывают (крадут) пароли от FTP, «админки»
— Подбирают пароли от FTP , «админки»
— Взламывают через инструменты специалистов на сайте (adminer,
phpmyadmin, filemanager,…)
— Раскрывают доступы в результате «социальной инженерии»
— Взламывают из-за ошибок в настройке сайта и сервера
— Компрометируют из-за «нелицензионных» плагинов и шаблонов
или
— Атакуют через уязвимости в ПО (около 80% взломов)

15. Повторный взлом сайтов
— Не поменяли пароли
— Восстановили сайт из резервной копии
— Перенесли на prod-сервер зараженную версию с
dev-сервера
— Отключили защиту
или
— Одна из причин, по которой взломали в первый раз

16. Причины проблем

17. Комплексная безопасность
сайта
=
Технические средства
+
Организационные меры

18. Организационные меры
— Делаем безопасным рабочее место
— Защищаем сетевое подключение (канал данных)
— Управляем доступами к домену, сайту и хостингу
— Выбираем надежных подрядчиков, работа по договору
— Разрабатываем памятку безопасности и контролируем
исполнение предписаний
— Инструктируем сотрудников и подрядчиков
— Выполняем регулярный аудит безопасности

19. Рабочее место
— Выбираем операционную систему
— Регулярно обновляем компоненты ОС (браузер, плагины
браузера, софт для работы с сайтом)
— Устанавливаем антивирусное ПО
— Регулярно выполняем полную проверку антивирусом
— Используем менеджеры паролей
— Отдельный рабочий компьютер или терминал
— Устанавливаем мониторинговые (например, антифишинговые)
расширения

20. Сетевое подключение
— Выбираем безопасное подключение
(роутер, 3G/LTE)
— Используем VPN для открытых [WIFI] сетей

21. Кто управляет доступами?
— Если разовое обращение -
клиент
— Если разработка/сопровождение -
агентство или веб-студия (менеджер)

22. Управление доступами
— Выдаем сотрудникам и (суб)подрядчикам доступы с минимальными
полномочиями на минимально-необходимый срок
— Меняем / деактивируем доступы сразу после завершения работы
— Регулярно меняем пароли от панели хостинга, FTP, SSH, админ-панели
сайта, базы данных
— Устанавливаем сложные и разные пароли
— Включаем логгирование операций в панелях и логи сервисов
— Включаем двухфакторную аутентификацию, где возможно
— Используем SSH ключи для подключения вместо стандартной парольной
аутентификации
— Не используем FTP (используем SFTP, крайний случай FTPS)

23. Инструктаж
— «Инструкция по безопасности» сайта:
— Знакомим (суб)подрядчиков с предписаниями и памяткой по
безопасной работе с сайтом
— Проверяем выполнение предписаний
• Используемое ПО при работе с сайтами
• Варианты сетевых подключений к серверу
• Работа с доступами (прием, передача, хранение, смена)
• Работа с продуктовой и тестовой версиями сайта
• Работа со средствами защиты и безопасными настройками сайта
• Тестирование и сдача проекта
• Реагирование на инциденты (что делать, в каком порядке, к кому обращаться)

24. Резервное копирование
— Вырабатываем стратегию резервного копирования:
— Выбираем место для хранения (не на сервере)
— Проверяем резервные копии
• период
• интервал
• количество копий
• автоматизация

25. Аудит безопасности
— Проводим аудит перед публичным анонсом
проекта
— Выполняем регулярные проверки на вирусы,
взлом в процессе работы
— Проводим аудит после работы
(суб)подрядчиков
— Своими силами или привлекая ИБ
специалистов

26. Диагностика
— Сканирование файлов: https://revisium.com/ai/
— Сканирование страниц сайта: https://rescan.pro
— Проверка базы данных
— Сканер «AI-BOLIT»
— Сервис ReScan.Pro

27. Лирическое отступление
про пароли

28. Печальная статистика
— 4,7% пользователей используют пароль password;
— 8,5% пользователей выбирают один из двух вариантов: password или 123456;
— 9,8% пользователей выбирают: password, 123456 или 12345678;
— 14% пользователей выбирают один из 10 самых популярных паролей;
— 40% пользователей выбирают один из 100 самых популярных паролей;
— 79% пользователей выбирают один из 500 самых популярных паролей;
— 91% пользователей выбирает один из 1000 самых популярных паролей.

29. «Словарные» пароли

30. Правила работы с паролями
— Длинный (>8 знаков)
— Сложный (цифры, буквы, спецсимволы)
— Храниться в менеджере паролей или надежном
хранилище (не в FTP клиенте, не в браузере)
— Передаваться безопасно
— Регулярно меняться

31. Неудобная безопасность

32. Безопасность и комфорт
— Безопасность - это ограничения и запреты
— Безопасность - это неудобно
— Задача - найти соотношение между
безопасностью и удобством работы
— Решение: Автоматизация рутины,
мониторинг, готовые предписания и
безопасность как аутсорс

33. Резюме
— Кто управляет безопасностью сайтов?
— Внедрение организационных мер
— Памятка / инструктаж сотрудников и
подрядчиков
— Учетные записи, бэкапы, аудит и мониторинг

34. Спасибо! Вопросы?
Григорий Земсков
Компания «Ревизиум»
http://revisium.com
http://facebook.com/Revisium
http://twitter.com/revisium
Telegram - @sitesecurity