ჰოსტინგის გარემოს პლაგინებით, თემებით, სატესტო სკრიპტებით და გამოუყენებელი ფაილებით შევსება ძალიან მარტივია. ამან შეიძლება არა მხოლოდ შეანელოს საიტის მუშაობა, არამედ გახადოს ის დაუცველი ინფექციის მიმართ. ამ სტატიაში ჩვენ გაჩვენებთ, თუ როგორ უნდა გაასუფთაოთ თქვენი სერვერის გარემო, რათა დაამყაროთ წესრიგი, ოპტიმიზაცია გაუკეთოთ მას და უზრუნველყოს თქვენი ვებსაიტის უსაფრთხოება.
1. შექმენით სარეზერვო ასლები
საიტის სარეზერვო ასლი არის დაზღვევა გაუთვალისწინებელი სიტუაციის შემთხვევაში. ეს არის საიტის უსაფრთხოების კრიტიკული ღონისძიება და აადვილებს თქვენი გარემოს დაბრუნებას ბოლო კონფიგურაციაზე პრობლემის წარმოქმნის შემთხვევაში.
სარეზერვო ასლი უნდა აკმაყოფილებდეს რამდენიმე მოთხოვნას:
- უსაფრთხოდ უნდა ინახებოდეს საიტის მიღმა და რამდენიმე ადგილზე;
- უნდა იქმნებოდეს ავტომატურად;
- უნდა მოწმდებოდეს საფუძვლიანად, რომ დარწმუნდეთ, რომ ის საიმედოა.
სანამ რაიმე მნიშვნელოვან ცვლილებას განახორციელებთ უნდა დარწმუნდეთ, რომ გაქვთ ყველა ფაილის, საქაღალდის და მონაცემთა ბაზის საიმედო სარეზერვო ასლი.
2. წაშალეთ გამოუყენებელი ფაილები
როდესაც გარემოში ამატებთ უამრავ ფაილს, კომპონენტს და სხვა მონაცემებს, ამან შეიძლება გაზარდოს საიტის ზომა და, შესაბამისად, გაზარდოს დატვირთვა და რეაგირების დრო. უფრო მეტიც, ამან შეიძლება გაართულოს საიტის მართვა.
ამიტომ აუცილებელია პერიოდული გაწმენდა. ეს დიდ ძალისხმევას არ მოითხოვს და საგრძნობლად გაზრდის საიტის სისწრაფეს.
რაც უფრო მეტი ფაილი, სატესტო სკრიპტები ან დანამატები აქვს საიტს, მით უფრო დიდია შეტევის ფართობი თავდამსხმელებისთვის. უნდა მოიცილოთ ყველაფერი, რაც არ არის გჭირდებათ და ზედმეტად იკავებს ადგილს სერვერზე.
წაშალეთ გამოუყენებელი ფაილები, თემები და დანამატები იმის გასარკვევად, თუ რა უნდა წაშალოთ, ჯერ უნდა გაარკვიოთ, რა ფაილები არის საჭირო თქვენი საიტისთვის.
თუ იყენებთ WordPress-ს, Core ფაილებში ცვლილებების აღმოჩენა შესაძლებელია ძირითადი ფაილის მთლიანობის შემოწმების გაშვებით – ეს ძირითადი ფაილები ახორციელებენ პლატფორმის ძირითად ფუნქციონირებას და შედგება PHP და მასთან დაკავშირებული საწყის ფაილებისგან.
თუ თქვენ არ შეგიტანიათ ცვლილებები ძირითად ფაილებში,
“/wp-admin/” და “/wp-includes/” გვერდების შინაარსი უნდა იყოს ორიგინალური პროგრამული უზრუნველყოფის იდენტური WordPress.org-დან ან ოფიციალური “https: //core. svn.wordpress.org/“.
იმის გასარკვევად, თუ რამდენად მნიშვნელოვანია ფაილი, მიუმატეთ “test”. ფაილის სახელს, რათა გაარკვიოთ თქვენს ვებსაიტზე მისი გავლენის დონე (მაგალითად, “test.wp-config.php”). ეს ნაბიჯი მარტივად შეიძლება გაკეთდეს cPanel ფაილ მენეჯერის ან FTP (ფაილის გადაცემის პროტოკოლის) მეშვეობით.
შედეგად, თქვენ უნდა ამოიღოთ ყველაფერი, რასაც არ იყენებთ თქვენი სერვერის გარემოდან, მათ შორის:
• “dev”, “backup”, “old” და “temp”-ით მონიშნული ფაილები და საქაღალდეები;
• დეაქტივირებული თემები ან დანამატები;
• არასწორად ან შემთხვევით დასახელებული საქაღალდეები;
• 0 ბაიტის ზომის უცნობი ფაილები *;
• შეცდომების ძველი ჟურნალები;
• ძველი ქეშირებული ფაილები.
ზოგიერთი 0-ბაიტის მოცულებოს ფაილი შეიძლება განთავსდეს გარკვეულ დირექტორიაში უსაფრთხოების მიზნით. მაგალითად, ცარიელი “index.html” ფაილები დაცულია დირექტორიაში. ვინაიდან “index.html” ფაილი არის სერვერის მიერ გამოძახებული პირველი ფაილი, ეს ხელს შეუშლის ამ საქაღალდეების ფაილებზე წვდომას.
3. განაახლეთ პროგრამული უზრუნველყოფა
ნებისმიერი პროგრამული უზრუნველყოფა უნდა იყოს განახლებული უახლესი პატჩებისა და უსაფრთხოების განახლებების მიხედვით. ეს უზრუნველყოფს საიტს შეუფერხებლად მუშაობას და გამოასწორებს დაუცველობებს, რომლებიც ვებსაიტების გატეხვის ერთ-ერთი მთავარი მიზეზია. დარწმუნდით, რომ თქვენს საიტზე არსებული ყველა თემა, დანამატი და კომპონენტი განახლებულია, დაწყებული თავად CMS-ით.
თუ იყენებთ PHP-ის მოძველებულ ვერსიას, ეს უფრო მეტ შესაძლებლობებს აძლევს კიბერკრიმინალებს. ვინაიდან PHP არის ჰოსტების უმეტესობის საფუძველი, ის ასევე უნდა განახლდეს.
4. გაასუფთავეთ თქვენი ვებსაიტის მონაცემთა ბაზა
მონაცემთა ბაზის გასუფთავება მნიშვნელოვანია, რადგან მონაცემთა დამატებისას ცხრილები ნაკლებად ეფექტური ხდება. მაგალითად, როდესაც ინახავთ ახალ გვერდს WordPress-ში, იქმნება რევიზია, რომელიც ზრდის მონაცემთა ბაზის ცხრილებს და ამატებს იშვიათად გამოყენებული მონაცემების მნიშვნელოვან რაოდენობას.
უმეტეს შემთხვევაში, მონაცემთა ბაზის გასუფთავება შეიძლება განხორციელდეს CMS-ის გამოყენებით. აქ არის ჩამონათვალი იმისა, თუ რა უნდა წაშალოთ პირველ რიგში:
• გამოუყენებელი მედია ფაილები;
• ძველი შეტყობინებების პროექტები და შესწორებები;
• დაუმტკიცებელი კომენტარები;
• მოძველებული მონაცემები.
წაშალეთ სპამის კომენტარები
სპამი არა მხოლოდ ქმნის უსაფრთხოების რისკს (მაგალითად, როდესაც ბოტი იყენებს სპამ შეტყობინებებს თქვენს საიტზე მავნე ბმულების დასამატებლად), არამედ მას ასევე შეუძლია გააფუჭოს თქვენი საიტი და შეანელოს მისი წარმადობა. სპამ კომენტარების ყველაზე მეტად გავრცელებული ტიპი აკეთებს შმდეგი ტიპის რეკლამებს:
• მიკროსესხები;
• სტუდენტური ნაშრომების წერის მომსახურება;
• გაცნობის ვებსაიტები;
• ონლაინ კაზინო;
• მეკობრული პროგრამული უზრუნველყოფა;
• მასალები მოზრდილებისთვის.
თუ თქვენი საიტი დაინფიცირებულია სპამ კომენტარებით, შეგიძლიათ გაუშვათ SQL ბრძანება მონაცემთა ბაზიდან ისეთი საკვანძო სიტყვების შემცველი შტყობინებების ამოსაღებად, რომლებიც არ არის კავშირში თქვენს ვებ გვერდიდან. პირველ რიგში, უნდა შექმნათ მონაცემთა ბაზის სარეზერვო ასლი.
მაგალითად, თუ თქვენი საიტი სავსეა გაცნობის სპამით, შეგიძლიათ გამოიყენოთ შემდეგი SQL ბრძანება, რომ წაშალოთ ყველა პოსტი, რომელიც შეიცავს საკვანძო სიტყვას „გაცნობა“ მათ სათაურში:
DELETE FR OM `wp_posts` WH ERE `post_title` LIKE ‘%dating%’;
ნებისმიერი ცვლილების განხორციელებამდე დარწმუნდით, რომ შქმნილი გაქთ სარეზერვო ასლი. თქვენ უნდა დარწმუნდეთ, რომ ლეგიტიმურ კომენტარებს არ აქვთ სპამის სიტყვები სათაურებში, რათა შეცდომით არ წაშალოთ ისინი.
წაშალეთ ძველი მომხმარებლები შეამოწმეთ თქვენი საიტის მომხმარებლები და დაბლოკეთ წვდომა მათთვის, ვისაც ეს აღარ სჭირდება. ეს მოიცავს ყოფილი დეველოპერების, რედაქტორების ან არასანდო მომხმარებლების ანგარიშებს.
ყოველთვის დაიცავით მინიმალური პრივილეგიის პრინციპი. იგი ეფუძნება იმ ფაქტს, რომ თითოეულ მომხმარებელს უნდა ჰქონდეს წვდომა მხოლოდ იმ რესურსებზე, რომლებიც აუცილებელია საჭირო მოვალეობების შესასრულებლად. მაგალითად, გაყიდვების მენეჯერს არ უნდა ჰქონდეს წვდომა ფინანსურ ანგარიშებზე და ეტიკეტირების თანამშრომლის ანგარიშს არ უნდა ჰქონდეს ადმინისტრაციული პრივილეგიები. ეს ასევე ამცირებს თავდასხმის ზედაპირს, რაც ურთულებს თავდამსხმელებს არაავტორიზებული ქმედებების შესრულებას.
ამ კონცეფციის გათვალისწინებით, დაიცავით წვდომის მართვის საუკეთესო პრაქტიკა:
• ახალი მომხმარებლის ანგარიშების შექმნა ნებართვების ყველაზე დაბალი დონით;
• დროებითი ნებართვების მინიჭება და წვდომის გაუქმება, როდესაც ისინი აღარ არის საჭირო;
• წაშალეთ ანგარიშები, რომლებიც აღარ გამოიყენება;
• დარწმუნდით, რომ ნაგულისხმევი მომხმარებლის ანგარიში კონფიგურირებულია მინიმალური ნებართვით.
5. დაასკანირეთ თქვენი საიტი მავნე პროგრამებზე და ბექდორებზე
ვებსაიტების დისტანციური სკანერები დაგეხმარებათ მავნე პროგრამების, დაუცველობის, ინექციების და სხვა მავნე კოდის აღმოჩენაში. თუმცა, მათ არ შეუძლიათ სერვერის დონეზე სკანირება, ამიტომ შედეგები ყოველთვის არ არის გარანტირებული.
უმჯობესია გამოიყენოთ საიტის სკანერი და მონიტორინგის სისტემა ერთად, რომელიც დაგეხმარებათ დაასკანიროთ და შეამოწმოთ სერვერზე არსებული ყველა ფაილი მავნე პროგრამის ნიშნებზე. ეს სერვისები დაგეხმარებათ გამოავლინოთ ბექდორი, SEO სპამი, ფიშინგის გვერდები, DDoS სკრიპტები და ჰაკერული ნაკრებები.
6. გამოიყენეთ firewall CDN-ით (Content Delivery Network)
თუ გსურთ თავიდან აიცილოთ მავნე ტრაფიკი თქვენს საიტზე, გამოიყენეთ firewall. ის ფილტრავს მავნე ტრაფიკს რეალურ დროში, რათა დაიცვას თქვენი საიტი მავნე კოდისა და კიბერშეტევებისგან.
7. თავიდან აიცილეთ Cross-Site Contamination
მაშინაც კი, თუ საიტის მფლობელი მიიღებს უსაფრთხოების ყველა საჭირო ზომას, საიტი მაინც შეიძლება დაინფიცირდეს. ყველაზე ხშირად, ეს ხდება იმის გამო, რომ თავდამსხმელი იყენებს საიტის დაუცველობას, რათა შეაღწიოს კომპრომეტირებულ გარემოში. ეს შეინიშნება Cross-Site ინექციების დროს (განაკვეთური ინექცია, Cross-Site Contamination), როდესაც გატეხილი საიტი აინფიცირებს სხვებს იმავე სერვერის გარემოს გამოყენებით.
Cross-Site Contamination-ის ძირითადი მიზეზებია ცუდი იზოლაცია და ანგარიშის სუსტი პარამეტრები. ამიტომ, მნიშვნელოვანია სიფრთხილე გამოიჩინოთ ერთ სერვერზე მრავალი საიტის ჰოსტინგის დროს. Cross-Site ინექციის თავიდან ასაცილებლად საჭიროა თითოეული საიტის იზოლირება ცალკე ვირტუალურ მანქანაზე ან ჰოსტინგის გარემოზე ან ფეიერვოლზე თითოეული ინდივიდუალური ვებსაიტისთვის.
წყარო:
https://www.securitylab.ru/analytics/534348.php
