Развитие цифровых технологий выдвигает более высокие требования к информационной безопасности, и онлайн-бизнесы следуют этой тенденции. Сегодня уже недостаточно просто сделать рабочий сайт, теперь он должен быть защищён от сетевых атак, а хостинг – надёжно хранить персональную информацию. Чтобы оставаться на волне, нужно выбрать безопасный хостинг сайта.

Хостинг выполняет функцию хранителя файлов сайта и базы данных. Если кто-то получит доступ к аккаунту, то он сможет:

  • Скопировать сайт
  • Удалить сайт
  • Заменить информацию
  • Украсть данные пользователей

Администратор ресурса обязан применять доступные методы защиты сайта, которые зависят от используемого движка, веб-сервера и др. Но не всё зависит от него, хостинги также делятся на надёжные и опасные. Самыми безопасными хостингами являются давно известные и зарекомендовавшие себя компании, обязательно прочитайте детальные обзоры таких сервисов здесь. В отличии от тысяч мелких хостингов, крупные компании имеют за плечами большой опыт обеспечения безопасности клиентских аккаунтов.

Существует и «нулевая» опасность для персональных данных – физическое уничтожение информации. Поэтому, и не только, рекомендуется обращать внимание на хостинг, основанный на Дата-Центре с уровнем отказоустойчивости не ниже TIER III. Этот уровень на сегодня является самым востребованным, ввиду оптимальных параметров надёжности и цены.

Бизнесам, которые могут выделить в несколько раз больший бюджет, рекомендуется остановить свой выбор на хостинге максимального уровня отказоустойчивости — TIER IV. Более дорогая стоимость, со временем, окупает затраты, ведь сайт практически всегда доступен онлайн, и не происходит простоев в работе, связанных со сбоями или профилактикой оборудования.

Безопасность сервера, в первую очередь, обеспечивается системными администраторами хостинга, ведь именно они настраивают операционную систему. К сожалению, мы не можем заранее выяснить, насколько хорошие специалисты работают у хостера, но можем оценить качество работы поддержки через систему тикетов. Достаточно найти в интернете пару технически сложных вопросов на специализированных форумах, и переадресовать их техподдержке. Ответ будет весьма показательным.

Программное обеспечение хостинга

Вероятность успешной атаки на сайт будет тем выше, чем реже обновляется ПО на хостинге. Это относится к:

  • Операционная система, особенно если это Windows-хостинг
  • Панель управления сайтом (cPanel, ISP Manager, DirectAdmin)
  • Антивирус
  • Версия сервера базы данных SQL
  • Веб-сервер (nGinx, Apache)
  • Интерпретатор PHP, Python и др.

Не составит труда узнать текущие версии ПО на хостинге и сравнить с последними стабильными релизами. Почти никогда на хостинге не будет установлена самая последняя версия, т.к. сначала должно пройти время на «обкатку» и поиск ошибок. Но если обновлений не было уже полгода, то это плохой звоночек.

Также, на хостинге обязательно должен работать антивирус в режиме реального времени. Работает он подобно антивирусу на компьютере, т.е. сканируются все файлы, в т.ч. только что созданные. Если обнаруживается зловредный код, то на почту придёт алерт. По умолчанию, антивирус хостинга не будет удалять скрипт, т.к. это может нарушить работу сайта, а детект может быть ложным.

Важно, удалить вирус раньше, чем вы получите оповещение в сервисе для вебмастеров Яндекса. Рекомендуется настроить оповещения на письма от хостинга на случай обнаружения вируса и других важных писем. Странно, но факт, что не всегда замечают письмо о необходимости продления хостинга, и сайт становится недоступным.

Защита аккаунта от хакеров

Самые узкие места сайта – это скрипты с «дырами» безопасности, включая скрипты CMS, и панель управления сайтом на хостинге. Подобрав пароль к личному кабинету, злоумышленник получит полный доступ к ресурсам. Здесь можно дать общие советы, о которых все знают, но не все применяют, получая плачевный результат:

  • Используйте сложный пароль и никому его не отправляйте
  • Никогда не используйте пароль более одного раза
  • Не переходите по ссылкам из писем от неизвестных отправителей
  • Переходя по ссылке из письма хостера, убедитесь, что вы точно попали на сайт хостера, с точностью до каждой буквы в домене
  • Хранить пароли только в зашифрованном хранилище, например, с помощью менеджера паролей
  • Используйте на рабочем компьютере надёжный антивирус
  • В общественных местах выходите в сеть через VPN

Но даже соблюдая все рекомендации, ваш пароль может быть скомпрометирован. Для дополнительной защиты аккаунта ваш хостинг должен поддерживать технологии двухфакторной авторизации:

  • Вход с помощью подтверждения по СМС
  • Вход с помощью ввода одноразового кода доступа Google Authenticator или Authy

Рекомендуется установить использовать приложение Google Authenticator из магазина Google Play Store. Пользоваться им не сложно: просто отсканируйте QR-код с монитора, и введите код, который генерируется каждую минуту. Но, не забудьте сохранить QR-код или цифровой код в зашифрованном месте. Он вам понадобится для восстановления доступа, в случае утери смартфона. Способ с приложением выигрывает у SMS-кодов тем, что он работает даже при отсутствии мобильной связи, например, в другой стране. К тому же, не нужно ждать, когда придёт СМС.

Защита доступа по SSH

Злоумышленник может получить доступ по протоколу SSH, который используется для администрирования VPS/VDS сервера. Некоторые Shared-хостинги тоже поддерживают такой метод администрирования в урезанном варианте. Для доступа к серверу по SSH достаточно указать его IP-адрес в специальной программе-терминале. Вы можете скачать популярную программу Putty на официальном сайте.

Чтобы авторизоваться в системе по SSH нужно ввести логин и пароль для пользователя «root». Это довольно небезопасно, т.к. двухфакторная аутентификация в SSH не поддерживается. Существует более жёсткий способ авторизации с помощью зашифрованного ключа. Ваш хостинг должен поддерживать авторизацию SSH с помощью файла ключа.

В панели управления хостинга необходимо сгенерировать два ключа: публичный (открытый) и приватный (закрытый). Эти два ключа подобны элементам паззла, они подходят только друг к другу. Открытый ключ хранится на сервере, а закрытый – у вас на компьютере. Приватный ключ загружается в программу-терминал и используется вместо пароля для авторизации по протоколу SSH. Сам приватный ключ также защищается сложным паролем для двойной защиты.

Обратите внимание, что закрытый ключ нуждается в усиленной защите, т.е., его надо хранить на съёмном носителе – флэшке. Пароль от ключа не должен храниться в текстовом файле в открытом виде.

Защита от DDoS и брандмауэр на хостинге

Для защиты от сетевых атак хостинг должен поддерживать защиту от DDoS, т.е. от множественных непрекращающихся запросов на сайт. DDoS атака способна «положить» сервер или сильно замедлить работу сайта. Прямой угрозы персональным данным это не несёт, но является признаком хорошей безопасности сервера в общем.

Дополнительный брандмауэр (фаервол) на хостинге станет дополнительным плюсом. Брандмауэр защищает сервер от потенциально опасных запросов на сайт. Хакеры «прощупывают» уязвимые места сервера, чтобы нанести точечный удар. Фаервол анализирует любые внешние запросы, их частоту и характер, и если есть совпадение по базе данных, то IP-адрес злоумышленника блокируется.

В панели cPanel брандмауэр может называться Modsecurity. Включите его и понаблюдайте за работой сайта и его админки. Некоторые служебные запросы движка или плагинов могут быть расценены как нежелательные, поэтому может потребоваться дополнительная настройка модуля Modsecurity перед дальнейшим использованием.

Блог Денежные ручейки