Dit lyk asof die daaglikse nuus 'n konstante stortvloed van sekuriteitshakke, data-oortredings en gevalle bevat waar persoonlike inligting op die internet gekompromitteer is. Dit kan kredietkaartinligting, e-posadresse, wagwoorde, nommer van sosiale sekerheid of selfs geklassifiseerde regeringsdata wees wat gekap word. Hackers het hul aanvalle vervolmaak en verdien 'n bestaan ​​deur op onvoorbereide webwerwe te gaan feesvier.
Alhoewel u dink dat u klein, onskuldige blog of besigheidswebwerf waarskynlik nie 'n teiken vir kwaadwillige hackers sal word nie, kan u verkeerd wees. En om verkeerd te wees in hierdie geval, kan duur wees. Wil u die kans waag? Ons dink nie jy moet dit doen nie.
Hackers kan u webwerf 'n spioenasiebot maak wat gebruik word om toegang tot klante se rekenaars te kry. Hulle kan toegang kry tot sensitiewe gebruikersdata sonder dat u dit eers weet. Erger nog, hulle kan dalk by u webwerf se databasis inskakel wat data beskadig of manipuleer, die webwerf met kwaadwillige skakels inspuit en ook 'n bediener se bediener oorneem om te gebruik in aanvalle op ontkenning van diens (DDoS).
Ons voel sterk dat kennis krag is, dus hier is 'n bietjie insig oor 5 van die algemeenste kwesbaarhede op die webwerf.
1 1. Skripsie oor die hele webwerf (XSS)
2 2. SQL-inspuiting (SQLi)
3 3. Verstek admin-aanmelding / swak wagwoord
4 4. HTTPS nie bygevoeg of sagteware bygewerk nie
5 5. Sekuriteite wat nie gekonfigureer is nie, soos ongeëvalideerde opdragte
6 Die veilige benadering
1. Skripsie oor die hele webwerf (XSS)
Oor-site scripting (of XSS) is verantwoordelik vir byna die helfte van alle aanvalle op die webwerf volgens Woordheining . phishing aanvalle is die enigste metode wat deur die afwykende soorte op die web die meeste gebruik word. En terwyl phishing individue via e-pos of bedrieglike skakels teiken, is webkripsies oor webwerwe gerig op webwerwe en die uitruil tussen gashere en besoekers.
Blootstelling of kwesbaarheid vir XSS ontstaan ​​wanneer webtoepassings gebruikersdata inneem sonder om dit eers te bevestig of te skrop. Hierdie kwesbaarhede stel hackers in staat om die webtoepassings te kaap en inhoud in die gebruiker te vertoon's blaaier. Die aanvaller kan uiteindelik die beheer van die blaaier van die eindgebruiker verkry en toegang tot hul rekenaar kry sonder om hulle op die aanval te laat weet. Groot spelers soos Google, Facebook en PayPal het op die een of ander tydstip die slagoffer geword van skripsies op die webwerf.
Suksesvolle XSS-aanvalle kan hackers toelaat om kliëntrekeninge te kaap, virusse te versprei, 'n gebruiker te beheer's blaaier op afstand, verkry toegang tot persoonlike inligting op 'n rekenaar, en gee selfs 'n toegangspunt vir verdere aanvalle op u webwerf.
Dink daaraan as 'n deuropening wat deur hackers gebruik word om u webwerf sowel as die rekenaar binne te gaan van almal wat u webwerf besoek. Suksesvolle XXS-aanvalle het die potensiaal om al die data van u webwerf, en denkbaar, u klante se rekenaars te benadeel.
Dit kan afskrikwekkend wees om te beskerm teen skrifte oor die hele terrein, veral as u van die hoëprofiel-slagoffers kyk, maar dit is moontlik. hier'Wys:
Valideer die invoer – stap invoerdata beperk en validering vir verwagte heelgetalle of karakters is stap nommer een
Gebruik ontsnap – ontsnap verwys na die neem van data en die veiligheid daarvan verseker voordat iets daarmee gedoen word
Sanitize – die gebruiker se insette verder ontsmet deur die kode te ontsmet, bied 'n ander vlak van beskerming teen skadelike opmaak van die stelsel
2. SQL-inspuiting (SQLi)
SQL-inspuitings kom voor wanneer hackers insetvelde gebruik (soos vorms, teksvelde, aanmeldings, ens.) om kwaadwillige SQL-opdragte in te spuit wat data in die gedrang kan bring óf ongemagtigde toegang tot kliente-blaaiers bied. As invoervelde nie gefiltreer of beskerm word teen SQL-kode nie.
SQL-inspuitings is, naas skripsie op verskillende terreine, een van die algemeenste aanvalmetodes. Die oplossing vir 'n SQL-inspuiting is relatief eenvoudig en eenvoudig.
Die kode word gebruik om seker te maak dat die invoervelddata beperk, gevalideer en veilig is. Daar is niks wat veilig is ten opsigte van veiligheid nie, maar daar moet stappe geneem word.
Implementeer 'n firewall – 'n firewall bied 'n uitstekende beskerming teen SQL-aanvalle, wat effektief stop met die data wat nie verwag word nie
Vertrou niemand – terwyl invoervelde en vorms moontlik agter veilige aanmeldings is, moet u seker maak dat u geen toevoer vertrou nie en dit altyd bevestig teen SQL-stellings
Opgradering van sagteware – daar is dikwels beter of sterker sagteware beskikbaar om aanvalle te voorkom. Kyk na opdaterings waar toepaslik
Monitor voortdurend vir aanvalle op SQL-inspuiting – U dophou is 'n goeie manier om vinnig op aanvalle te reageer en skade te beperk
Beperk invoervelde / inskrywingspunte – benader die gebruik van vorms en insetvelde altyd as potensiële risiko's en implementeer dit slegs indien dit absoluut noodsaaklik is. Hier is 'n gids om dit te doen.
3. Verstek admin-aanmelding / swak wagwoord
Webtoepassings, -konfigurasies en -sagteware bevat dikwels standaardadministrasie-aanmeldings en -wagwoorde wat bedoel is om onmiddellik verander en verbeter te word met veiliger geloofsbriewe. Die probleem is dat die gebruik van geloofsbriewe of 'n veiliger wagwoord gereeld verander word om interne, en in sommige gevalle, veelvuldige gebruikers te vereenvoudig.
Die aanmelding 'Admin1' of die wagwoord 'Password1' is nie moeilik vir hackers om te infiltreer nie. Admin-aanmeldings en wagwoorde moet dieselfde streng en streng riglyne hê as wat maatskappye gebruik vir al hul aanmeldbewyse en moet gereeld bygewerk / hersien word. Dit is 'n voorkombare probleem wat slegs aandag en ywer benodig om te vermy.
4. HTTPS nie bygevoeg of sagteware bygewerk nie
Dit kan lyk soos 'n no-brainer, maar die implementering van veilige (HTTPS) protokolle op 'n webwerf hou 'n groot hindernis en afskrikmiddel vir hackers in. Die veilige protokolle behels geënkripteerde data wat byna onmoontlik is om te hack. 'N Veilige webwerf is ook gerusstellend vir besoekers en byna 'n noodsaaklikheid vir enige soort finansiële transaksie wat op 'n webwerf plaasvind.
'N Ander voor die hand liggende stap is om sagteware te onderhou en seker te maak dat u die nuutste, mees opgedateerde weergawes gebruik om seker te maak dat u veiligheidsopdaterings ingeneem het en die moontlike kwesbaarhede wat deur die verskaffers aangespreek is, ingevul het..
5. Sekuriteite wat nie gekonfigureer is nie, soos ongeëvalideerde opdragte
Wankonfigurasie van sekuriteit kan verskillende ingangspunte of kwesbaarhede behels, maar hulle het almal 'n tipiese gebrek aan aandag en onderhoud vir die onderliggende webtoepassings. Veilige konfigurasies moet duidelik gedefinieer en ontplooi word in die kode wat die webwerf ondersteun's raamwerk, toepassings, webbediener, databasis, ens.
Elke komponent wat nie voldoende beveilig en gekonfigureer is nie, bied 'n geleentheid vir hackers om toegang tot data te verkry en selfs die hele stelsel in gedrang te bring.
Web rig weer waar die data ongeldig is is nog 'n algemene toegangspunt vir hackers. Deur 'n veilige sessie te neem en die gegewens deur te gee na 'n ongeëvalideerde regstreekse webblad, kan dit sensitiewe inligting en selfs gebruikersintekenbewyse openbaar..
Die veilige benadering
Die instel van gereelde onderhoudsbeoordelings en seker te maak dat veiligheidsmaatreëls korrek op elke ontwikkelings- en onderhoudsvlak geïmplementeer word, sal 'n lang pad lewer om hierdie openings vir hackers te sluit.
In die wêreld van internetveiligheid is die filosofie 'dit sal nie met my gebeur nie' 'n oneffektiewe benadering om veilig te bly. Suksesvolle aanvalle op u werf kan nie net duur data-oortredings tot gevolg hê nie, maar dit kan ook lei tot swartlys deur soekenjins en 'n volledige verlies aan handelsmerkintegriteit in die oë van verbruikers, kliënte en vennote..
Eienaars van webwerwe moet hulle aan die kant van versigtigheid begaan. Implementeer dadelik die stappe hierbo uiteengesit om te voorkom dat dit 'n teiken word vir hackers. Verder kan u ook seker maak dat u 'n betroubare webgasheer kies wat nie as 'n "koeëlvaste" gasheer beskou word nie. Totdat buitelandse regerings en internetprotokolle 'n manier vind om koeëlvaste gasheerwerwe te beperk, sal ons gedwing word om die hackers en misdadigers op hul eie voorwaardes toe te spreek..