14 Beste praktyke vir beveiliging van webhosting (2020) - Top gasheer en bedieners
As ons nadink oor die beste praktyke vir webhosting-sekuriteit, is dit dikwels in die konteks van wanneer dinge verkeerd gaan, soos die groot openbaarmaking van groot maatskappye. Sekuriteitslekkasies met 'n miljoen dollar wat blootgestelde kredietkaartinligting, aanmeldbewyse en ander waardevolle gegewens insluit, word breedvoerig deur die media gedek, en dit laat 'n mens glo dat slegs groot ondernemings vatbaar is vir aanlyn-veiligheidsrisiko's.
Moenie geflous word nie. Veiligheidstandaarde is noodsaaklik vir die welstand van enige webwerf, groot of klein. Daarom word webwerf-eienaars dikwels gebombardeer deur waarskuwings oor veiligheidsrisiko's in samehang met die verkoopspele van baie gasheerverskaffers. Hoe skei u die verkoopspeil van die werklike risiko's??
Onderwys is die eerste stap om u aanlyn handelsmerk te beskerm. Kom ons bespreek 'n paar beste praktyke wat u moet volg in u webwerfbestuurbedrywighede, asook 'n paar belangrike sekuriteitsfunksies waarna u kan soek in 'n voornemende webgasheeronderneming..
1 10 Verskaffers met die beste webhosting-sekuriteitstandaarde
1.1 Veilige gedeelde hosting
1.2 Veilige VPS-hosting
1.3 Veilige toegewyde hosting
1.4 Veiligstes algehele: # 1 Bestuurde gasheerverskaffer
2 Webgasheer sekuriteitsfunksies om na te soek
2.1 1. Rugsteun en herstelpunte
2.2 2. Netwerkmonitering
2.3 3. SSL, Firewalls en DDoS-voorkoming
2.4 4. Skandering en / of verwydering van antivirus- en wanware
2.5 5. Hoë beskikbaarheid en herstel van rampe
3 Bedieningspraktyke vir bedienerveiligheid
3.1 6. Toegangs- en gebruikertoestemmings
3.2 7. Lêerbestuur
3.3 8. Toepassings en aanmeldings
4 Beste praktyke vir kodering en webwerfveiligheid
4.1 9. Wagwoorde en gebruikers toegang
4.2 10. Inproppe, sagteware-opdaterings en rugsteun
4.3 11. Kode-oorsigte
4.4 12. kodering, firewalls en DDoS-beskerming
5 Beste praktyke vir die bestuur van sekuriteitsbestuur
5.1 13. Linux en Unix-gebaseerde bedryfstelsel
6 Bedreig bedreigings op u webwerf & Bediener deur hierdie standaarde te volg
10 Verskaffers met die beste webhosting-sekuriteitstandaarde
Voordat ons gaan kyk na al die tegniese besonderhede en genuanseerde beenwerk wat die webwerf behoorlik beskerm, moet ons u 'n hele klomp gasheerverskaffers wys wat dit alles vir u doen. U kan nog later in die artikel oor al die fasette van websekuriteit leer, maar hierdie maatskappye laat u leer en oefen met minder op die spel. Ons het verskillende vlakke van gasheerplanne nagegaan om die beste aanbieders daar te vind. Hier is ons aanbevelings gesorteer volgens die tipe gasheerplan.
Veilige gedeelde hosting
In 'n gedeelde hosting-scenario is u webwerf 'n lêergids op 'n bediener wat deur baie ander webwerwe gedeel word. Bedieningsvlakbedrywighede en sekuriteitsbehoeftes word deur die gasheeronderneming hanteer. Dit is 'n ekonomiese beginpunt vir webwerwe wat nie baie hulpbronne benodig nie.
Alhoewel gedeelde hosting beskou word as die minste beveiliging van die drie belangrikste hosting-emmers – gedeelde, virtuele en toegewyde bedieners – sal die beste gedeelde gashere op die mark verseker dat u werf heeltemal veilig is teen standaardbedreigings. Ons nommer 1-keuse vir gedeelde hosting is hieronder.
Sien veiliger gedeelde gasheerplanne »
'N Virtuele privaatbediener (VPS) is 'n virtuele masjien, 'n program wat op 'n gasheerrekenaar bedryf word wat as sy eie entiteit of bediener optree. U deel die gasheermasjien met ander kliënte, maar elke virtuele bediener is 'n onafhanklike eenheid onder die volle beheer van die kliënt.
U kry nog steeds baie bedienervlakbeheer en -verantwoordelikhede met die VPS-roete, en u is minder vatbaar vir die raserige buurmankwessie wat gedeelde gasheerklante ervaar. Kyk na die beste keuse van die kundiges vir veilige virtuele bediener-hosting hieronder:
Sien veiliger planne vir virtuele bedieners »
Veilige toegewyde hosting
Met 'n toegewyde bediener is u die enigste klant. U het volle beheer oor – en verantwoordelikheid vir die instandhouding van – u bediener se hardeware, sagteware en omringende sekuriteit, hoewel die gasheeronderneming moontlik kan help met die opdatering van bedieningsstelsels en sekuriteitsreëlings op bedienervlak. Ons toonaangewende aanbeveling vir toegewyde bedieners is ook 'n voorbeeld as dit kom by veiligheidstandaarde.
Sien veiliger toegewyde bedienersplanne »
Veiligstes algehele: # 1 Bestuurde gasheerverskaffer
Beheerde hosting beteken dat u gasheer die hardeware hanteer terwyl u u webwerfinhoud en sagteware bestuur. Hierdie tipe premium-hostingdiens verminder die hoeveelheid praktiese IT-werk waarvoor u span verantwoordelik is, en die las van sekuriteitsinstandhouding – ten minste vanuit die oogpunt van 'n bedienerinfrastruktuur en bestuurstelsel – word oorwegend op die skouers van u gasheerfirma geplaas. Alhoewel daar verskillende bestuursvlakke beskikbaar is, afhangende van die aanbieder en plan wat u kies, vind ons dat bestuurde webhosting u die beste opsie is om moeitevrye, veilige webhosting te bied. Kyk na ons keur-gegradeerde keuse vir bestuurde hosting-dienste hieronder:
Sien meer veilige bestuurde bedienersplanne »
Webgasheer sekuriteitsfunksies om na te soek
Die meeste van ons sal 'n gasheerverskaffer gebruik en een van hul planne kies. Die dienste val op 'n spektrum wat wissel van gedeelde hosting tot toegewyde bedienerhosting. Die gasheerverskaffer sorg vir baie veiligheidsmaatreëls, maar afhangende van die plan wat u kies, moet u vrae vra om uit te vind watter funksies die onderneming bied en wat u moet doen..
1. Rugsteun en herstelpunte
Mense kyk dikwels na rugsteun as 'n element van veiligheid. Rugsteun bied beide sekuriteit en benodig dit. Rugsteun moet op 'n veilige plek weg van die hoofbediener gehou word, volgens die ander veiligheidsstappe wat ons uiteensit. 'N Veilige rugsteun bied 'n betroubare bewaarplek vir die nuutste kopieë van die stelsel en data wat ontplooi kan word om 'n bekende, skoon stelsel weer in werking te stel.
Oorbodige webwerf-rugsteun is 'n kritieke sekuriteitsfunksie waarna ons soek wanneer ons gasheerbeoordelings doen.
Dit is belangrik om navraag te doen oor die rugsteunskedule van 'n gasheerfirma en om die beleid te herstel. Hoe gereeld word rugsteun gedoen – weekliks, maandeliks of daagliks? Sal die ondersteunende verteenwoordigers u help om u webwerf vanaf rugsteunlêers te herstel, of is die rugsteun slegs bedoel vir gebruik? Sal die span verlore of beskadigde lêers vind en herstel, of doen hulle slegs 'n volledige vervanging van 'n onlangse rugsteun? Sal die gasheerdiens slegs die mees onlangse rugsteun gebruik, of kan u versoek om herstel van verder terug in die tyd, en as dit die geval is, hoe ver terug in die tyd kan u gaan??
Monitor die gasheerverskaffer die interne netwerk vir indringers en ongewone aktiwiteite? Noukeurige monitering kan die verspreiding van malware tot die bediener stop, voordat dit by die bediener van u webwerf kom. Vra vir 'n paar besonderhede oor hoe die ondersteuningspan die netwerk monitor, of die personeel toegewyd is aan hierdie funksie en waarna die ingenieurs kyk. SolarWinds se handleiding vir die monitering van beste praktyke in die netwerk bevat verskillende prosedures en beleide wat enige goeie netwerkbestuurspan moet volg.
3. SSL, Firewalls en DDoS-voorkoming
Verspreide-ontkenning van die diens (DDoS) -aanvalle vind plaas wanneer 'n oorweldigende hoeveelheid verkeer na u webwerf gestuur word, wat dit nutteloos vir besoekers maak. Voorkoming begin aan die rand van die netwerk met 'n goeie firewall. Daar is egter grense vir hoe goed 'n firewall DDoS-aanvalle stop.
Kan u verskaffer u 'n idee gee van watter indringers die brandmure van die onderneming waarskynlik sal stop en watter ander maatreëls gebruik die veiligheidspan? As u 'n plan het waarin u u eie bediener bestuur, moet u weet hoe u die aanbiedingsdiens kan verbeter. In watter stadium sal mense wat die netwerk monitor monitor planneienaars inlig oor moontlike probleme wat hul werf kan beïnvloed?
Stel die verskaffer SSL-sertifikate beskikbaar? Dit is u verantwoordelikheid om SSL te implementeer, maar u kan nie as dit nie beskikbaar is nie. Ons sal weer in afdeling 12 hieroor terugkom.
4. Skandering en / of verwydering van antivirus- en wanware
U moet verstaan ​​watter beskermende aksies u gasheerverskaffer sal doen en wat u self moet doen om u webwerf te beskerm. Laat die ondersteuningspan skandeer op die lêers in u rekening, en kan u die verslae sien? Bevat die ondersteuningsplan hulp in die identifisering en verwydering van die wanware as u rekening besmet is? Die stapsekerheidstappe wat ons beskryf, begin met stap 6, sal u 'n lang pad neem om malware van u webwerf af te hou.
5. Hoë beskikbaarheid en herstel van rampe
Soek 'n gasheerfirma wat u webwerf met 99,9% uptyd of beter sal laat werk. Dit gaan verder as rugsteun op lêervlak. Is daar 'n kaalmetaalbeeld beskikbaar vir u bediener? Dit is 'n volledige kopie van 'n skoon, funksionerende bedienerstelsel vir 'n vinnige herstel van stelselfoute.
Die gasheer se netwerk moet oortollige hardeware hê om te voorkom teen stilstand wat deur hardeware-foute veroorsaak word. Firewalls kan gekonfigureer word om in pare te loop, met elkeen gereed om die volle lading oor te neem ingeval die ander een misluk. Dieselfde konsep geld vir bedieners. Hardeware-uitval is 'n belangrike komponent van netwerke met 'n hoë beskikbaarheid.
U gasheer moet u werf nie net met bedreiging verminder nie, maar ook daar wees om u te help herstel as 'n ramp opduik.
Lasbalansering is 'n ander funksie met 'n hoë beskikbaarheid. In hierdie geval is verskeie bedieners gereed om bedienerverkeer te hanteer. Hulle werk almal met dieselfde kopie van u webwerf-data wat op 'n gedeelde netwerkstasie gestoor is, en gee die verkeer aan mekaar oor, sodat niemand die bediener oorlaai kan hê nie.
Bedieningspraktyke vir bedienerveiligheid
As u 'n plan het wat 'n bediener bied sonder bestuursondersteuning, moet u dit of alles op u eie doen. As u plan wel 'n mate van ondersteuning vir hardeware en / of sagteware bestuur insluit, sal die volgende u 'n idee gee van watter vrae u moet vra of waaroor die ondersteuning mense praat..
6. Toegangs- en gebruikertoestemmings
Op die gasheervlak beteken toegang fisieke toegang tot die masjiene, sowel as die vermoë om by die bediener aan te meld. Fisieke toegang moet beperk word tot opgeleide tegnici met sekuriteitsklaring.
U en u gasheeronderneming moet Secure Socket Shell (SSH), of gelykwaardig, gebruik om by die bediener aan te meld om die bedryfstelsel (OS) of die webwerf te onderhou. Gebruik RSA-sleutels wat deur 'n wagwoordfrase beskerm word, vir ekstra sekuriteit. Digital Ocean en Rackspace bevat albei tutoriale oor hoe om dit te doen.
Nog 'n goeie veiligheidsstap is om IP's te witlys wat toegang tot die bediener het vir onderhoud. Dit kan gedoen en gewysig word deur die bedieningsonderneming se kontrolepaneel wat vir u rekening voorsien word. U moet ook aanmeldings van die gebruikerswortel afskakel. Kwaadwillige spelers sal gewoonlik probeer om hierdie toegangspunt te benut omdat die wortelgebruiker volle administratiewe voorregte het. U kan altyd ekwivalente toestemming verleen aan gemagtigde admin-aanmeldings.
Lêers word beskerm deur lêertoestemmings. Verkeerde toestemmings veroorsaak tydrowende foute, en dit is aanloklik om hierdie foute reg te stel deur volle toestemmings aan alle lêers toe te staan. Moet dit nie doen nie. Dit gee aan enige kriminele hacker die volle beheer oor u stelsel as hulle inkom. Sucuri se gids tot sekuriteit op die webtuiste bevat 'n inleiding vir die regte lêertoestemmings.
Alle toegang tot u bediener is op afstand. Niemand sal na die bediener gaan om webwerfinhoudlêers by te voeg, te verwyder of te skuif nie. U moet veilige FTP (SFTP) gebruik met 'n veilige en robuuste wagwoord vir alle lêeroordrag en onderhoud, terwyl u ook ander FTP- en SFTP-beste praktyke volg..
8. Toepassings en aanmeldings
Die gasheeronderneming moet 'n streng wagwoordbeleid hê vir werknemers met gereelde tussenposes, sowel as wanneer toerusting of personeel verander. U moet soortgelyke beleide hê vir wagwoorde vir u bedienertoegang. Stel en handhaaf beleid vir sterk wagwoorde. Diegene wat wil, kan binne enkele ure swak wagwoorde ontgin.
Verwyder alle ongebruikte, onaangeraakte programme op die bediener, sodat niemand die ongeëwenaarde kwesbaarhede kan benut nie. Installeer – en onderhou – hulpprogramme wat die bediener-SVE, skyfgebruik, geheuegebruik en gebruikstyd monitor.
Die databasisse op u bediener is potensieel kwesbare teikens vir aanlyn-misdadigers. UC Berkeley bied 'n gids tot die verharding van databasisse teen aanvalle.
Beste praktyke vir kodering en webwerfveiligheid
Die veiligheid van u webwerf-sagteware en datalêers is u verantwoordelikheid, selfs met 'n bestuurde hostingplan. As 'n webmeester is u verantwoordelik vir die bestuur van u inhoud en die funksies van u werf. Die gasheeronderneming weet nie wat u op die webwerf wil hê, of hoe u wil hê dat dit vir u besoekers moet funksioneer nie.
9. Wagwoorde en gebruikers toegang
Op webwerf-vlak het u wagwoorde vir mense wat die webwerf administreer, gaste se outeurs en moontlik besoekers van die webwerf, afhangende van die aard van die webwerf. Stel en handhaaf 'n wagwoordsterktebeleid vir almal wat toegang tot die backend het.
Handhaaf die wagwoordsterktebeleid en vereis dat administrateurs en bydraers van hul werwe hul geloofsbriewe gereeld opdateer.
Bestuurspersoneel en gaskrywers het 'n sterker wagwoord nodig omdat hul rekeninge 'n groter impak op u webwerf kan hê. Handhaaf veranderinge na enige vermoedelike inbraakpoging of wanneer die inhoudbestuurstelsel (CMS) of ander sagteware opgedateer word. Die adres / gebruikersnaam [email protected] word gereeld aangeval en moet nie gebruik word nie. Gebruik veilige wagwoordbestuurders om unieke komplekse wagwoorde te genereer.
Elke rekeninghouer moet die minste voorregte hê om hul werk te doen. Moet byvoorbeeld nooit administratiewe regte aan 'n gasskrywer gee nie. U CMS moet 'n vlak van voorregte hê wat hulle in staat stel om hul pos op te laai en te redigeer en niks meer nie. Elke persoon moet sy of haar eie aanmelding hê, sodat hulle verantwoordelik gehou word vir alle veranderinge wat op daardie rekening aangebring word. Administrateurs op hoë vlak kan die aktiwiteit van alle rekeninge monitor.
Moet nooit onbeperkte oplaai van lêers toelaat nie. Beperk oplaaie tot die soorte lêers wat u gebruikers regtig moet oplaai, en sluit skrifte of ander uitvoerbare kode uit. 'N Opgelaaide uitvoerbare lêer, tesame met swak instellings vir lêertoegang, gee die indringer direkte beheer van u webwerf.
U bediener-opstellinglêers bevat instellings wat toegang tot u lêers, soos blaaigidse, beperk en dopgehou wat sensitiewe inligting bevat. Raadpleeg die OS-spesifieke afdeling vir meer besonderhede.
10. Inproppe, sagteware-opdaterings en rugsteun
Hou u CMS en sagteware altyd op datum. Die nuutste weergawes is reggemaak om alle bekende veiligheidsgate te herstel. Verander enige standaardinstellings, soos die admin-aanmeldnaam, wat individue kan vind en kan gebruik om in te breek.
Wanneer u plugins en ander sagteware installeer, moet u die ouderdom van die kode of die datum van die laaste opdatering daarvan oorweeg, asook die aantal installerings. Hierdie statistieke gee u 'n idee van die veiligheid en betroubaarheid van die produk. As dit nie aktief is nie, is dit waarskynlik nie deur veiligheidsgate gebruik nie. Pasop vir die bron van die aflaai van hierdie sagteware. Webwerwe van derdepartye het moontlik malware in die pakket gevoeg.
U webwerfinhoud is nie veilig voordat u outomatiese, gereelde en oortollige rugsteun gedoen het nie. Die rugsteun moet apart van u hoofbediener geberg word. Die idee is om u inhoud te beskerm teen die moontlike mislukking van die bediener. Afhangend van die aard van die ramp, sal 'n rugsteun wat op die bediener is, dikwels misluk. Die rugsteun moet gereeld genoeg geskied om veranderende en nuwe inhoud vas te lê, en dit moet gebeur sonder dat iemand nodig het om te onthou om dit elke keer te begin. Toets die rugsteun om seker te maak dat die stelsel werk. Gaan hierdie kritieke praktyke vir beste webwerf na vir meer maniere om 'n goeie rugsteunstrategie te ontwikkel.
As u persoonlike temas, plugins of soortgelyke sagteware het, is dit 'n goeie idee om vars eksemplare van die installeringslêers te bewaar. As die probleem nie gefunksioneer het nie, is die probleem op die rugsteun gestoor. Die installeringslêers verseker dat u weer kan terugkeer na 'n ongerepte werkskopie.
Hou in gedagte dat 'n rugsteun u werf haastig terugkry, maar dit los nie die onderliggende probleem op wat dit neergestort het nie. Byvoorbeeld, as iemand 'n uitputting gebruik het om u webwerf binne te dring, bestaan ​​die kwesbaarheid steeds in die rugsteunkopie en moet dit dadelik reggestel word.
'N Kode-oorsig is 'n diepgaande ondersoek van die aansoek nadat die ontwikkeling voltooi is en gereed is om vrygestel te word. Dit word die beste gedoen met 'n mengsel van outomatiese gereedskap en menslike inspeksie. Die hersiening word uitgevoer in die volledige konteks van die gebruik van die app – van aanmelding en verifikasie tot dataverwerking, kodering en berging.
Kode-oorsigte en QA behoort 'n ononderhandelbare deel van u ontwikkelingswerkstroom te wees.
Wees versigtig vir SQL (Structured Query Language) wat deur 'n derde party op u eie lêers ingevoeg word. SQL-inspuiting is 'n metode waarop 'n aanvaller reageer op 'n invoerversoek, soos gebruikersnaam, met 'n geldige SQL-opdrag. Hierdie opdragte kan toegang tot data verkry of dit uitvee. Microsoft se handleiding vir SQL-inspuiting beskryf die aanvalle in detail en stel maniere voor om die risiko te verminder, soos met die gebruik van sessieveranderlikes.
12. kodering, firewalls en DDoS-beskerming
'N Webtoepassings firewall (WAF) monitor HTTP-verkeer na en van spesifieke webtoepassings. Dit bied meer spesifieke sekuriteit as 'n netwerk firewall, wat wel HTTP monitor, maar nie die spesifieke vereistes van 'n webtoepassing verstaan ​​nie. 'N WAF kan gekonfigureer word om SQL-inspuitings te voorkom, sowel as ander tegnieke soos skripsie op die terrein en ondersoek na kwesbaarhede..
Alhoewel DDoS-voorkoming op die netwerkvlak uitgevoer moet word, mag aanvallers een of 'n kombinasie van verskillende metodes gebruik om u bedieners oor te laat, en moet eienaars van die werf reageer en hulself dienooreenkomstig beskerm. Verskeie opmerklike veiligheidsleiers, waaronder Cloudflare en Incapsula, bied gevorderde versagtings- en voorkomingsinstrumente en dienste wat gebruik kan word om werwe veilig te hou.
Laastens is SSL-tegnologie (beveiligde sokke-laag) nodig wanneer sensitiewe data na en van die bediener oorgedra word. 'N SSL-sertifikaat beveilig nie u bediener teen aanvalle of wanware nie, maar kodifiseer en beveilig eerder kommunikasie tussen u bediener en die persoon wat u webwerf gebruik. Deur SSL te gebruik, beveilig u die inligting van u klante en vertrou u op u webwerf.
Beste praktyke vir die bestuur van sekuriteitsbestuur
Sommige maatreëls wat u tref, sal afhang van die bedryfstelsel van u bediener. Webbedieners word op Linux / Unix of op Windows uitgevoer. U kies dit meestal as u die gasheerplan kies.
13. Linux en Unix-gebaseerde bedryfstelsel
Die server-konfigurasie-lêer op Linux-bedieners word .htaccess genoem. U kan reëls in hierdie lêer instel wat die blaai van gidse en ander aktiwiteite voorkom wat sensitiewe inligting kan blootstel of die bediener vir ander kwesbaarhede kan oopmaak..
Alhoewel die PHP (hiperteksvoorverwerker) taal meer beskikbaar en gerieflik is, is daar risiko's om dit op hierdie bedieners te gebruik. Hierdie OS's het 'n toestemming genoem uitvoerbaar, wat beteken dat die lêer kode kan uitvoer. Dit is belangrik om uitvoerbare opdragte te beperk wanneer u PHP gebruik. Dit is waar 'n kode-oorsig voordelig is.
Oor die algemeen het Linux / Unix OS's minder bekende bedreigings en 'n vinniger reaksie. SELinux en AppARMOR is twee sekuriteitsuitbreidings wat saam met hierdie bedieners gebruik word.
Windows-bedieners het gebruikersvoorregte, soos uitvoerbaar, word standaard beperk, en beheerders moet wagwoorde invoer om regte op hoë vlak te kry. Veiligheidsmaatreëls word gelei deur die Security Compliance Manager-funksie op hierdie bedieners. Die config-lêer waar toegangsbeperkings gestel word, is web.config. Microsoft bied 'n handleiding vir beste praktyke vir sekuriteit. Alhoewel daar meer bekende sekuriteitsgate met die Windows OS is, is opgeleide Microsoft-programmeerders foute en opdaterings beskikbaar en is dit beskikbaar om op voorvalle te reageer.
Bedreig bedreigings op u webwerf & Bediener deur hierdie standaarde te volg
Alhoewel sekuriteit skrikwekkend lyk, bestuur webmeesters wat aandag gee en die hulp van 'n goeie gasheerdiensvennoot het, webwerwe bestuur sonder om enige ernstige ontwrigting te ervaar. 'N Bietjie kennis is te ver, en moenie toelaat dat die leerproses stop sodra u webwerf bekendgestel is nie. Die matriks vir bedreigings vir aanlyn-beveiliging is besig om voortdurend te ontwikkel, en dit is nodig dat u op die hoogte bly van die nuutste neigings, standaarde en opkomende bedreigings. Mag die veilige webgasheer by u wees!