У меня есть издание или блог. Что с ним могут сделать хакеры?

Нихау, бегущие в тенях! Привет, случайный подписчик. Данная статья в первую очередь будет полезна тем, кто так или иначе участвует в Media. Вы управляете сайтом издания или ведете собственный блог? Вы пишете, о чем и как считаете нужным, и кому-то это может не понравиться? Потенциально сайт вашего издания или блога находится под угрозой и может стать мишенью для хакерских атак. Чтобы их предотвратить, нужно уметь защитить свой сайт со всех сторон.

Поехали:

Защитить? Например, от чего?

От всего, что может помешать вам и дальше публиковать материалы. Например, от блокировки доступа к страницам, заражения сайта вирусами, кражи личных данных читателей, рассылки спама (вряд ли вам хочется, чтобы с вашего сайта внезапно начали рассылать, например, рекламу порно) и так далее. Ваш сайт может как стать жертвой целенаправленной атаки злоумышленников, так и попасть «под раздачу»: оказаться в числе других десятков тысяч сайтов, которые атакуются хакерами просто потому, что имеют уязвимости. Уже давно прошли времена, когда владельцы сайтов даже с не очень высокой посещаемостью чувствовали себя в безопасности и про атаки хакеров узнавали только из новостей.

Угрозы понятны. Что именно надо защищать?

Например, пароли к «админке» — системе управления контентом, или CMS (content management system — англ.). Если злоумышленники получат доступ к этой консоли, то смогут сделать с вашим сайтом практически что угодно. Поэтому пароли — одна из чувствительных точек, которую вам стоит защищать. Получить их злоумышленники могут с помощью разных приемов, например атаки брут-форс. Это способ взлома, когда хакер с помощью специальной программы перебирает все возможные комбинации паролей. Чтобы минимизировать риски, стоит почаще менять пароли от всех систем и почты, ввести двухфакторную аутентификацию, ограничить доступ к админке по IP-адресам.

Пароли защитили. На что еще обратить внимание?

На поиск технических уязвимостей. Например, в той же системе управления контентом. Хорошо поддерживаемые CMS всегда публикуют обновления после обнаружения таких уязвимостей, и ими не стоит пренебрегать. В противном случае хакеры смогут найти лазейку, чтобы внедрить на вашу страницу сторонний код или загрузить на хостинг внешние файлы.

Уязвимости может иметь и сам хостинг, если он не уделяет достаточного внимания обновлению и поддержке систем, которые обеспечивают работу вашего сайта. Через такие бреши хакеры взламывают сайты, чтобы переадресовать читателей на сторонние страницы или заражать их компьютеры вирусами.

Наконец, многие владельцы сайтов становятся жертвами «социальной инженерии» — целой коллекции методов обмана, к которой хакеры прибегают, чтобы получить контроль над сайтом. Например, это могут быть фальшивые письма, похожие на запросы от вашего хостинга, в которых вас попросят назвать пароль, обосновывая это какими-нибудь обновлениями в системе. Хостинг, впрочем, тоже от «социальной инженерии» не всегда защищен — злоумышленники могут обманом вынудить сервис удалить ваш контент или аккаунт. Поэтому стоит убедиться, что в хостинге уделяют достаточно внимания вопросам внутренней безопасности.

Чтобы всего этого избежать, нужно прежде всего внимательно выбирать хостинг сайта и DNS-хостинг, следить за всеми обновлениями, периодически сканировать сайт на наличие вредоносного кода, а еще — использовать двухфакторную авторизацию и не забывать делать бэкап, то есть сохранять копию данных в безопасном месте. Наконец, не нужно соглашаться на внезапные просьбы от «администраторов» выслать пароль или другие подозрительные попытки выманить персональные данные.

А еще часто слышу про DDoS-атаки. Их стоит опасаться?

Да, такая угроза тоже есть. Причем чем бюджетнее ваш хостинг, тем больше вероятность, что он вообще не защищен от DDoS-атак. Так называют атаки, при которых хакеры «заваливают» сайт таким количеством запросов, что он просто не в состоянии их все обработать, поэтому становится недоступен для пользователей. Чтобы провести DDoS-атаку, киберпреступники используют зараженные вирусами компьютеры (такую сеть компьютеров часто называют ботнетом). Жертвой DDoS-атаки ваш сайт может стать непосредственно из-за своей работы: такие атаки часто используют, чтобы сделать какую-либо информацию недоступной или надавить на владельцев издания или блога.

И как же защититься от таких атак?

Нужно найти какой-то внешний сервис, который сможет отфильтровать «вредный» трафик от «полезного» и таким образом обезопасить ваш сайт от DDoS-атак и подбора паролей. Такую услугу предоставляет, например, команда сервиса Deflect. Этот сервис разработала команда некоммерческой организации eQualitie— группа техноактивистов, которая отстаивает свободу слова в интернете, защищая сайты правозащитников и издания независимых журналистов от хакерских атак.

Что еще надо знать о безопасности сайта?

Самое главное — начинать думать о защите вашего сайта надо до того, как с его безопасностью возникнут проблемы. Предотвратить хакерскую атаку гораздо проще, чем устранять ее последствия. Нужно помнить, что чем сложнее устроен ваш сайт, тем более компетентный подход потребуется для его защиты.

На этом всё. Оставайтесь с нами. Берегите себя!