TIETOTURVA · WORDPRESS

WordPress-sivustojen murrot jatkuvat: näin suojaat sivusi

WordPress-murrot eivät ole katoamassa mihinkään, ja syy on yksinkertainen. WordPress on maailman käytetyin julkaisujärjestelmä, joten se on myös kannattavin kohde hyökkääjille. Hyvä uutinen on, että valtaosa murroista on estettävissä muutamalla peruskohdalla. Käymme ne läpi ja kerromme, miksi moni yritys tekee lisäksi pitkän aikavälin suunnitelman siirtyä pois WordPressistä.

Miksi juuri WordPress on niin suosittu hyökkäyskohde?

WordPress pyörittää valtavaa osaa maailman verkkosivuista. Kun jokin alusta on näin yleinen, siitä tulee automaattisesti houkuttelevin kohde. Hyökkääjän ei tarvitse etsiä käsin yksittäisiä sivustoja: hän voi automatisoida saman hyökkäyksen miljoonia sivustoja vastaan ja odottaa, mitkä niistä eivät ole ajan tasalla.

Tämä ei tarkoita, että WordPress olisi huonoa ohjelmistoa. Sen ydintä ylläpitää iso yhteisö, ja tietoturvapäivitykset tulevat nopeasti. Ongelma syntyy siitä laajasta ekosysteemistä, joka WordPressin päälle rakennetaan. Jokainen lisäosa ja teema on oma ohjelmistonsa, jonka tietoturvasta vastaa joku muu omalla aikataulullaan. Mitä useampi liikkuva osa, sitä useampi mahdollinen reitti sisään.

Mistä WordPress-murrot oikeasti tulevat?

Kun murtoja tutkitaan, sama kuva toistuu. Ydin-WordPressin oma nollapäivähaavoittuvuus on suhteellisen harvinainen. Sen sijaan valtaosa murroista tulee kolmesta suunnasta: vanhentuneista tai haavoittuvista lisäosista, samoista ongelmista teemoissa sekä heikoista tai uudelleenkäytetyistä salasanoista.

Kuvio on looginen. Suosittu lisäosa voi olla asennettuna sadoilla tuhansilla sivustoilla. Kun siitä löytyy haavoittuvuus, hyökkääjät tietävät tarkalleen, mitä etsiä, ja skannaavat verkkoa löytääkseen sivustot, joilla korjattua versiota ei ole vielä asennettu. Heikot salasanat taas kaatuvat automatisoituun arvaamiseen, jossa botti kokeilee tuhansia yleisiä tunnus- ja salasanayhdistelmiä väsymättä.

Tästä seuraa tärkeä johtopäätös. Suurin osa WordPress-murroista ei vaadi nerokasta hyökkääjää, vaan hyödyntää sitä, ettei jokin on jäänyt päivittämättä tai suojaamatta. Juuri siksi peruskohtien kuntoon laittaminen estää valtaosan murroista.

Mitkä viisi asiaa julkaisujärjestelmästäsi kannattaa käydä läpi?

Laadimme listan viidestä tärkeimmästä kohdasta, jotka kannattaa käydä läpi. Perehdymme näihin alempana kohta kohdalta:

1. Lisäosien laatu, lähde ja lisäosan julkaisija
2. Päivitysten asentaminen usein
3. Turhien lisäosien välttäminen
4. Kommentointi- ja rekisteröitymismahdollisuuden poistaminen käytöstä
5. Hyvä tunnus- ja salasanahygienia kaikilla käyttäjillä

Miten varmistat lisäosien laadun ja lähteen?

Lisäosat ovat WordPressin yleisin murtoreitti, joten niiden valinnalla on suurin merkitys. Ennen asennusta kannattaa tarkistaa muutama asia. Milloin lisäosaa on viimeksi päivitetty? Kuukausia tai vuosia sitten päivittämätön lisäosa on varoitusmerkki, koska sen mahdolliset haavoittuvuudet jäävät korjaamatta. Kuinka monta aktiivista asennusta ja millaisia arvosteluja sillä on? Suuri ja tyytyväinen käyttäjäkunta tarkoittaa yleensä, että ongelmat huomataan ja korjataan nopeasti.

Vältä lisäosien lataamista epävirallisilta sivustoilta tai "ilmaisversioita" maksullisista laajennoksista. Ne ovat klassinen tapa saada haittakoodia sisään sivustolle jo asennusvaiheessa. Sama koskee teemoja: käytä vain lähteitä, joihin voit luottaa, ja suosi teemoja, joita ylläpidetään aktiivisesti.

Miksi päivitykset pitää asentaa usein?

Kun lisäosasta löytyy haavoittuvuus, sen tiedot tulevat usein julkisiksi korjauksen yhteydessä. Tämä on hyvä asia, mutta se tarkoittaa myös, että hyökkääjät saavat samat tiedot. Alkaa kilpajuoksu: joko sivuston omistaja asentaa päivityksen ensin, tai hyökkääjä ehtii käyttää aukkoa hyväkseen. Jokainen päivittämättömäksi jäänyt viikko on avoin ikkuna.

Käytännön suositus on selkeä. Kytke automaattiset tietoturvapäivitykset päälle ydin-WordPressille aina kun mahdollista. Käy lisäosien ja teemojen päivitykset läpi säännöllisesti, esimerkiksi viikoittain. Isommat päivitykset kannattaa tehdä varmuuskopion jälkeen, jotta voit palata edelliseen versioon, jos jokin lakkaa toimimasta. Tässä piilee WordPress-ylläpidon jatkuva luonne: työ ei lopu koskaan.

Miksi turhat lisäosat kannattaa poistaa kokonaan?

On tavallista, että WordPress-sivustolle kertyy vuosien varrella lisäosia, joita kokeiltiin kerran eikä koskaan poistettu. Moni ajattelee, että deaktivoitu lisäosa on vaaraton. Näin ei aina ole: deaktivoidun lisäosan tiedostot ovat yhä palvelimella, ja osa haavoittuvuuksista on hyödynnettävissä, vaikka lisäosa ei olisi käytössä. Se on koodia, joka odottaa sivustollasi.

Nyrkkisääntö on yksinkertainen. Mitä vähemmän lisäosia, sitä pienempi hyökkäyspinta ja sitä vähemmän päivitettävää. Käy asennetut lisäosat läpi ja kysy jokaisesta, käytätkö sitä oikeasti. Jos et, poista se kokonaan, älä vain kytke pois päältä. Sama koskee vanhoja teemoja, joita ei käytetä.

Kannattaako kommentointi ja rekisteröityminen sulkea?

Moni yrityssivu ei tarvitse lainkaan avointa kommentointia. Silti se on usein päällä oletuksena, ja lopputulos on tuttu: kommenttikenttiin valuu automatisoitua roskapostia, joka sisältää linkkejä epäilyttäville sivustoille. Pahimmillaan roskaposti näkyy kävijöille ja heikentää sekä sivuston uskottavuutta että hakukonenäkyvyyttä.

Sama koskee avointa rekisteröitymistä. Jos kuka tahansa voi luoda tilin, botit tekevät sen puolestasi tuhansia kertoja. Ellet ylläpidä sivustoa, jolla käyttäjien tulee oikeasti rekisteröityä, pidä rekisteröityminen suljettuna ja anna uudet tilit vain hallitusti. Molemmat asetukset löytyvät WordPressin keskustelu- ja jäsenyysasetuksista, ja niiden sulkeminen poistaa kokonaisen luokan ikäviä yllätyksiä.

Millainen tunnus- ja salasanahygienia riittää?

Heikot salasanat ovat lisäosien ohella toinen suuri murtoreitti. Automatisoitu hyökkäys kokeilee järjestelmällisesti yleisiä salasanoja ja tunnettuja tunnus- ja salasanavuotoja. Jos ylläpitäjän tunnus on "admin" ja salasana on arvattava, sivusto kaatuu ennemmin tai myöhemmin. Ratkaisu on tehdä arvaamisesta käytännössä mahdotonta.

Konkreettiset toimet ovat helppoja toteuttaa. Anna jokaiselle käyttäjälle pitkä, uniikki salasana, jota ei käytetä missään muualla. Ota käyttöön kaksivaiheinen tunnistautuminen, jolloin pelkkä salasana ei riitä sisäänpääsyyn. Vältä yleistä "admin"-käyttäjänimeä. Käy käyttäjälista läpi ja poista tilit, joita ei enää tarvita, sillä vanha unohtunut ylläpitotili on erityisen houkutteleva kohde. Anna jokaiselle vain ne oikeudet, joita hän oikeasti tarvitsee.

Mikä on hyvä pitkän aikavälin suunnitelma?

Yllä olevat kohdat estävät valtaosan murroista, ja jos pidät WordPressin, ne kannattaa tehdä. On kuitenkin rehellistä sanoa, mitä kovettaminen ei tee: se ei poista perusongelmaa. WordPress on rakenteeltaan laaja järjestelmä, jossa on tietokanta, kirjautumispaneeli ja usein kymmeniä liitännäisiä. Hyökkäyspinta on iso, ja sen pitäminen kunnossa on jatkuvaa ylläpitotyötä, joka ei lopu koskaan.

Siksi monen yrityksen kannattaa tehdä pitkän aikavälin suunnitelma, jolla se siirtyy WordPressistä pois ja ottaa käyttöön staattiset sivut. Staattisella sivulla ei ole tietokantaa, ei kirjautumispaneelia eikä liitännäisiä, joita murtaa. Hyökkäyspinta on murto-osa WordPressiin verrattuna, viikoittaisia tietoturvapäivityksiä ei tarvita, ja valmiiksi rakennettu sivu tarjoillaan nopean CDN:n kautta. Tämä ei ole ihmelääke kaikkeen, mutta tavallisen yrityssivun tapauksessa se poistaa juuri ne osat, joita hyökkääjät käyttävät.

Siirtymän ei tarvitse olla iso projekti. Kevyt polku näyttää tältä:

1. Inventoi nykyinen sisältö. Listaa sivut, tekstit, kuvat ja lomakkeet, jotka ovat oikeasti käytössä. Moni WordPress-sivusto sisältää paljon vanhaa, jota ei tarvitse siirtää lainkaan.
2. Rakenna vastaava staattisilla sivuilla. Tee samat sivut ja sisällöt kevyellä alustalla. Novavalossa tekoäly voi rakentaa vastaavan sivuston nopeasti kuvauksesi ja nykyisen sisällön pohjalta.
3. Ohjaa vanhat URLit. Tee uudelleenohjaukset vanhoista osoitteista uusiin, jotta hakukonenäkyvyys ja vanhat linkit säilyvät.
4. Sulje WordPress hallitusti. Kun uusi sivusto toimii ja ohjaukset ovat kunnossa, ota varmuuskopio ja aja vanha WordPress-asennus alas. Näin katoaa myös se hyökkäyspinta, jota et enää tarvitse.

Kirjoitimme erikseen tarinan siitä, miksi jätimme WordPressin ja miten staattinen sivu eroaa arjessa. Jos haluat laajemman kuvan siitä, miten tähän on tultu, lue myös verkkosivujen historia staattisista HTML-sivuista tekoälyaikaan.

Usein kysytyt kysymykset