Как защитить сайт от взлома и заражения?

Личная маленькая предыстория

Никогда не думал, что это может меня коснуться.
Однако, как нынче говорится, от сумы да от тюрьмы да от взлома сайта не зарекайся...

В общем, как я ранее писал, в конце декабря 2012 г. взломали меня. Вот вам и мини-конец мини-Света :) Причем красиво так взломали, что я сам это понял совершенно случайно спустя только пару недель.

На лечение и ликвидацию последствий в сумме ушло около 3 недель.

Поначалу я был уверен, что пострадал один мой сайт, но, как потом выяснилось, взломали и заразили аж 3 моих ресурса... О симптомах заражения я, возможно, расскажу как-нибудь в другой раз, ок?

Здесь же постараемся максимально обезопасить и предотвратить...

Чуть позже был взломан мощнейший сервис рассылок Smartresponder.ru — об этом много писали. Еще у троих моих знакомых взломали сайты буквально за несколько дней до меня...

Короче, не застрахован никто, ломают всех — от малышей-блоггеров до гигантов-мамонтов.

Взлом и заражение сайта: кому и зачем это нужно?

Для того, чтобы заразить сайт, то есть разместить на нем вредоносный код, его, как правило, сначала нужно тем или иным способом взломать. А взломанный сайт, помимо заражения, можно использовать для самых различных целей.

Например, в моем случае все посетители, которые приходили на сайты именно с поисковых систем, автоматически перенаправлялись на левые ресурсы, в том числе на порносайты. То есть у меня просто-напросто воровали поисковый трафик. Помимо этого, от меня несколько раз рассылали спам, о чем мне любезно сообщил мой хостер.

При этом те, кто заходил на сайт напрямую, набирая его адрес в строке браузера, не замечали ничего подозрительного.

В случае Смартреспондера и некоторых моих друзей, хакеры сначала немного хулиганили, а затем сами выходили на связь с сайтовладельцами и предлагали устранить дыры в безопасности сайтов, которые были ими обнаружены и использованы. Естественно, не безвозмездно.

Мне все это напоминает забавную ситуацию. Ну да ладно, итак я что-то разошелся. Если интересно, обсудим в комментариях.

Так как все-таки защитить сайт от взлома и заражения?

Прежде всего, конечно, нужно понимать, что ЛЮБЫЕ действия, направленные на то, чтобы защитить сайта от взлома или заражения не дают 100% гарантии того, что ваш сайт не взломают.

Развиваются технологии защиты, а вместе с ними — и способы эти технологии обойти. Так было и так будет. Всегда может объявиться талантливый хакер, для которого преодоление любых рвов с кислотой и стен с артиллерией, возведенных вокруг вашего детища, окажется плевым делом.

Однако есть набор действий, которые создадут дополнительные препятствия, по крайней мере, для заурядных злоумышленников. Если придерживаться некоторых правил, то можно уберечь себя хотя бы от мелких хулиганов, которым будет проще найти менее защищенную жертву, чем возиться с вами.

Все, что я перечислю ниже, не является чем-то новым, об этом уже писало множество блоггеров, специалистов по безопасности и т. д. Я постарался обобщить наиболее популярные публикации и добавил личные соображения.

Итак, чтобы сильно снизить вероятность взлома вашего сайта хотя бы посредственными хакерами, старайтесь соблюдать следующие пункты.

1. Пользуйтесь хорошим антивирусом и регулярно обновляйте базы

Установите на все ваши рабочие компьютеры антивирусные программы (лучше платные), и настройте автоматическое обновление антивирусных баз. Не лишним будет также проводить периодические проверки ваших машин.

У вас установлен антивирус? И базы свежие?

2. Следите за актуальностью версий CMS и плагинов

Если ваш сайт построен на базе популярного движка (CMS), нужно постоянно обновлять его до последних проверенных версий, а также не забывать обновлять все плагины, компоненты и расширения, которые вы используете.

У вас последние версии CMS и всех компонентов?

3. Не ходите по ссылкам, в которых не уверены

Не кликайте все подряд, что бы и кто бы вам ни подсовывал. Если не уверены в ссылке или в человеке, который вам ее прислал, лучше умерьте свое любопытство.

Вы игнорируете ссылки, присланные от незнакомых людей и приглашающие посетить заманчивые ресурсы?

4. Используйте сложные пароли

Для доступа куда бы то ни было: в администраторскую зону сайта, по FTP-протоколу, в консоль SSH и т. д. — старайтесь использовать как можно более сложные пароли, состоящие из букв (маленьких и больших), цифр, а также из спецсимволов. Такими символами могут быть: _, *, #, знаки пунктуации и т. п.

Ваши пароли содержат цифры? А буквы? Маленькие и большие?

5. Храните пароли исключительно в надежных местах

Ни в коем случае не храните пароли доступа в админку сайта (в панель хостинга) в браузерах, пароли FTP в программах FTP-клиентах, а также в текстовых файлах на своем компьютере, в особенности — все пароли в одном файле. Лучше используйте для этого специальные программы — так называемые менеджеры паролей.

Вы сохранили пароль для входа на сайт в браузере? А в FTP-клиенте?

6. Не оставляйте шансов злоумышленникам

Если даете кому-то доступ к своему сайту, например, для проведения каких бы то ни было работ, то по их завершении обязательно меняйте данные. Многие хостинги позволяют создавать дополнительные FTP-аккаунты — используйте эту возможность для того, чтобы в случае необходимости предоставлять доступ только к тем папкам, к которым нужно, а потом просто удаляйте такой аккаунт.

Вы меняли данные для доступа после того, как пускали кого-то внутрь?

7. Регулярные бекапы позволяют избежать множества проблем

Не ленитесь периодически делать резервные копии баз данных и файлов ваших сайтов. Само по себе это не защитит сайты от взлома, но может сильно помочь в восстановлении, если вдруг что-то случится. Плюс, не просто делайте резервные копии, но и скачивайте их себе, чтобы они всегда были под рукой в случае чего.

Есть ли у вас свежий бекап файлов и баз данных всех ваших сайтов?

8. Заранее проверьте, как у вас обстоят дела с безопасностью

Отличный вариант — проведение аудита безопасности сайта. Теперь я могу вам порекомендовать, куда обратиться, чтобы заранее проверить, насколько ваш сайт неуязвим для проникновения извне. Мне самому помогли эти ребята, правда, я нашел их уже после того, как пострадал.

Кроме того, я договорился о специальной скидке на их услуги для моих читателей.

Напишите мне, и я сообщу вам куда обратиться, а также дам вам код скидки.

Вы хоть раз профессионально проверяли свой сайт на внешние уязвимости?

Личное маленькое резюме

Как видите, все не так и сложно — рекомендации вполне выполнимы. Стыдно признаться, но я ведь сам не уделял должного внимания безопасности своих сайтов, даже зная о большей части перечисленных пунктов. За что, собственно, и поплатился.

Искренне желаю вам не наступить на эти же грабли!

Мой вам совет: прямо сразу, не откладывая, не поленитесь и пробегите все 8 пунктов без исключения — насколько у вас все в порядке?..

Лучше подстраховаться заранее, чем потом, хватаясь за голову, бросать все силы на ликвидацию последствий взлома! Не повторяйте чужих моих ошибок!

А в следующих публикациях я расскажу о симптомах заражения и взлома сайта.

Еще посты по теме: