TURVALISUS · WORDPRESS
WordPressi lehtede häkkimised jätkuvad: miks ja mida sellega peale hakata
WordPress on maailma kõige kasutatavam avaldamissüsteem ja just seetõttu ka kõige populaarsem rünnakusihtmärk. See ei tähenda, et WordPress oleks katkine tarkvara, aga see tähendab, et lehte tuleb aktiivselt kaitsta. Vaatame ausalt ja faktipõhiselt, kust häkkimised tegelikult tulevad ja mida sellega teha.
WordPressi lehti murtakse pidevalt, aga valdav enamik sissemurdmisi ei tule WordPressi tuumast, vaid pluginatest ja teemadest (vananenud või haavatavad) ning nõrkadest kasutajatunnustest. Tuum ise on mõistlikult turvaline.
Kui pead WordPressi alles, tuleb seda aktiivselt karastada: kvaliteetsed pluginad usaldusväärsest allikast, sagedased uuendused, tarbetute pluginate eemaldamine, vaikefunktsioonide (kommenteerimine ja registreerumine) sulgemine ning tugev tunnus- ja paroolihügieen.
Karastamine aitab, aga see on pidev töö ega kaota probleemi juurt. Seetõttu tasub paljudel ettevõtetel teha pikaajaline plaan üleminekuks staatilisele lehele, kus ei ole andmebaasi, sisselogimispaneeli ega pluginaid, mida murda.
Miks WordPressi lehti ikka ja jälle häkitakse?
Alustame faktist: WordPress paneb tööle väga suure osa maailma veebilehtedest. Just see teebki sellest atraktiivse sihtmärgi. Sissemurdja ei pea otsima üht kindlat lehte, vaid saab automatiseeritud robotitega skaneerida tuhandeid lehti korraga ja otsida sama teadaolevat nõrkust.
Oluline nüanss on aga see, et probleem ei ole enamasti WordPressi tuumas. Tuuma arendab suur kogukond, turvaaugud parandatakse kiiresti ja uuendused ilmuvad tihedalt. Valdav enamik sissemurdmisi tuleb hoopis mujalt: pluginatest ja teemadest, mis on vananenud või halvasti kirjutatud, ning nõrkadest kasutajatunnustest, mille lihtsat parooli robot lihtsalt ära arvab.
Lühike vastus: WordPressi häkitakse sageli mitte sellepärast, et tuum oleks halb, vaid sellepärast, et tüüpiline leht koosneb kümnetest eraldi pluginatest ja teemadest, mille kvaliteet ja uuendamine on kirju, ning kasutajatunnused on tihti nõrgad. Iga selline osa on omaette uks, mida keegi peab lukus hoidma.
Mida oma avaldamissüsteemist üle vaadata?
Kui otsustad WordPressi alles hoida, ei piisa sellest, et leht praegu töötab. Turvalisus on pidev seisund, mitte ühekordne seadistus. Koostasime nimekirja viiest kõige olulisemast kohast, mille tasub üle vaadata. Käsitleme neid allpool punkt-punkti haaval:
- Pluginate kvaliteet, allikas ja plugina avaldaja
- Uuenduste sage paigaldamine
- Tarbetute pluginate vältimine
- Kommenteerimise ja registreerumise võimaluse väljalülitamine
- Hea tunnus- ja paroolihügieen kõigil kasutajatel
Need viis punkti katavad ära suure osa sellest, kust tegelikud sissemurdmised läbi tulevad.
Kas pluginate kvaliteet ja allikas on tõesti olulised?
Jah, ja rohkem kui enamik arvab. Iga paigaldatud plugin käivitab sinu lehel võõrast koodi. Kui see kood on halvasti kirjutatud või hooldamata, on see otsene tee sinu lehe sisse.
Riskiks on siin kood, mille päritolu ja hooldust sa ei tunne. Tasuta pluginaid jagatakse tuhandeid ja kaugeltki kõiki neist ei uuendata. Hüljatud plugin, mida arendaja enam ei paranda, jääb haavatavaks igaveseks: keegi ei sulge auku, mille robotid lõpuks üles leiavad.
Praktikas: paigalda ainult lugupeetud ja aktiivselt hooldatud pluginaid usaldusväärsest allikast, näiteks ametlikust wordpress.org kataloogist või tuntud avaldajalt. Enne paigaldamist kontrolli, millal pluginat viimati uuendati, kui palju sellel on aktiivseid paigaldusi ja millised on hinnangud. Väldi pluginaid, mida ei ole kuude kaupa uuendatud või mis pärinevad tundmatust allikast. Vähem korralikke pluginaid on parem kui palju juhuslikke.
Kui tihti tuleks uuendusi paigaldada?
Nii sageli kui võimalik, ideaalis automaatselt turvauuenduste puhul. Uuendamata jäetud plugin on kõige levinum sissemurdmise põhjus, sest haavatavus on tihti juba avalikult teada.
Miks see nii oluline on: kui pluginas leitakse turvaauk ja arendaja avaldab paranduse, muutub auk samal hetkel avalikuks teadmiseks. Robotid hakkavad kohe otsima lehti, kus parandust ei ole veel paigaldatud. Iga päev, mil uuendus ootab, on päev, mil sinu leht on teadaolevalt lahti.
Praktikas: lülita sisse automaatsed turvauuendused, mida WordPress toetab. Vaata tuum, pluginad ja teemad regulaarselt üle, vähemalt kord nädalas. Tee enne suuremaid uuendusi varukoopia, et saaksid vajadusel tagasi minna. Kui mõnda pluginat või teemat enam ei uuendata, on see märk, et tasub see millegi hooldatuga asendada.
Miks tasub tarbetutest pluginatest lahti saada?
Sest iga plugin on rünnakupind, ka see, mida sa ei kasuta. Deaktiveeritud plugin on endiselt lehel olemas ja võib jääda haavatavaks. Kasutamata pluginad tuleks kustutada täielikult, mitte ainult välja lülitada.
Loogika on lihtne: mida rohkem liikuvaid osi lehel on, seda rohkem on kohti, kus midagi võib valesti minna. Aja jooksul kogunevad pluginad, mis kunagi lisati proovimiseks või ühe kampaania jaoks ja mida enam ei vajata. Nad jäävad koodina alles ja igaüks neist on potentsiaalne uks.
Praktikas: käi oma pluginate nimekiri regulaarselt läbi ja küsi iga plugina kohta, kas seda tegelikult vajad. Kustuta need, mida ei kasuta, täielikult, ära jäta neid lihtsalt deaktiveerituks. Väiksem kogum pluginaid on kergem hooldada, kiirem laadida ja lihtsam turvata.
Kas kommenteerimine ja registreerumine tuleks välja lülitada?
Kui sa neid ei vaja, siis jah. Avatud kommenteerimine ja avatud kasutajate registreerumine on kaks levinuimat automaatse rämpsu ja robotite sisenemise teed.
WordPress lubab vaikimisi külastajatel kommenteerida ja mõnel juhul ka kontosid luua. Kui su leht on tavaline ettevõtte tutvustusleht, ei ole neist funktsioonidest tihti mingit kasu, küll aga on neist kasu rämpsurobotitele: avatud kommentaarid täituvad kiiresti automaatsete linkidega.
Praktikas: kui sa ei halda kogukonda ega vaja arutelu, lülita kommenteerimine sätetes välja. Lülita välja ka külastajate registreerumine, kui sa seda ei kasuta. See sulgeb korraga kaks väga levinud automatiseeritud sissepääsu ja vähendab müra, mida muidu peaksid pidevalt koristama.
Kui oluline on kasutajatunnuste ja paroolide hügieen?
Väga oluline, sest suur osa sissemurdmistest ei kasuta üldse tarkvara auku, vaid lihtsalt arvab ära nõrga parooli. Tugevad unikaalsed paroolid ja kaheastmeline kinnitus katavad ära terve klassi rünnakuid.
Automaatsed robotid proovivad süstemaatiliselt levinud kasutajanime ja parooli kombinatsioone. Kui su administraatorikonto kannab nime admin ja parool on lühike või korduv, on see robotile kerge saak. Sama kehtib iga konto kohta lehel: nõrgim lüli määrab terviku turvalisuse.
Praktikas: kasuta iga konto jaoks tugevat ja unikaalset parooli, kõige mugavam on paroolihaldur. Lülita sisse kaheastmeline kinnitus (2FA), mis nõuab lisaks paroolile ka teist tegurit. Ära kasuta vaikimisi kasutajanime admin. Eemalda kasutajad ja rollid, mida enam ei vajata, sest iga aktiivne konto on omaette sissepääs, mida keegi peab valvama.
WordPressi karastamise kiirloend
- Kvaliteetsed pluginad. Ainult aktiivselt hooldatud pluginad usaldusväärsest allikast, kontrollitud uuendustiheduse ja hinnangutega.
- Sagedased uuendused. Automaatsed turvauuendused sisse, tuum, pluginad ja teemad üle vähemalt kord nädalas.
- Vähem pluginaid. Kustuta kasutamata pluginad täielikult, mitte ainult deaktiveeri.
- Sulge vaikefunktsioonid. Kommenteerimine ja registreerumine välja, kui sa neid ei vaja.
- Tunnuste hügieen. Tugevad unikaalsed paroolid, 2FA, ei mingit admin-kasutajat, tarbetud kontod eemaldatud.
Milline oleks pikaajaline plaan WordPressist loobumiseks?
Karastamine töötab ja ülaltoodud viis punkti vähendavad riski märgatavalt. Aus on aga öelda, et see ei kaota probleemi juurt. Juur on selles, et WordPressi leht on oma olemuselt lai rünnakupind: andmebaas, sisselogimispaneel ja hulk pluginaid, mis kõik vajavad pidevat uuendamist. Karastamine on seetõttu jätkuv hooldustöö, mis ei lõpe kunagi.
Just sellepärast tasub ettevõtetel teha pikaajaline plaan, millega liigutakse WordPressist eemale ja võetakse kasutusele staatilised veebilehed, näiteks Novavalo platvormil. Staatilisel lehel ei ole andmebaasi, ei ole kirjutuspaneeli ega pluginaid, mida murda. See tähendab, et rünnakupind on murdosa senisest. Ei ole iganädalasi turvauuendusi, mille tegemata jätmine avaks augu, ja valmis ehitatud failid serveeritakse kiirelt CDN-i kaudu.
Üleminek ei pea olema järsk ega valus. Kerge tee näeb välja umbes selline:
- Inventeeri praegune sisu. Pane kirja lehed, tekstid ja pildid, mis tegelikult vajavad alles jäämist. Tihti selgub, et suurt osa vanadest pluginate-põhistest funktsioonidest ei kasutata.
- Ehita vastav sisu staatiliste lehtedena. Sama avaleht, teenused, kontakt ja blogi, aga ilma andmebaasi ja pluginateta.
- Suuna vanad URL-id ümber. Hoia otsingunähtavus alles, juhtides senised aadressid uutele vastetele.
- Sulge WordPress kontrollitult. Kui uus leht on üleval ja ümbersuunamised paigas, saab vana süsteemi rahulikult maha võtta.
Novavalos saab tehisintellekt ehitada vastava lehe kiiresti: kirjeldad oma ettevõtet ja saad valmis staatilise lehe, mida hallatakse otse brauseris ilma pluginate hoolduseta. Miski ei muuda veebi täiesti riskivabaks, aga staatiline leht eemaldab just need osad, mille kaudu WordPressi tüüpiliselt murtakse. Sama loogika taga on ka meie enda valik, millest kirjutasime pikemalt loos miks me WordPressist loobusime.
Ehita turvaline leht ilma pluginate hoolduseta
Novavalo.net-teenuses kirjeldad oma ettevõtet ja tehisintellekt ehitab lehed staatilistena. Ei ole andmebaasi ega pluginaid, mida murda, ega iganädalasi turvauuendusi, mida jälgida. Kui tahad taustaks laiemat pilti, loe ka veebilehtede ajaloost: staatilisest HTML-ist WordPressini ja tagasi staatilise juurde.
- Räägid oma tegevusala ja stiili, tehisintellekt pakub valmis lehe
- Muudad tekstid ja pildid otse brauseris, ilma pluginateta
- Avaldad ühe vajutusega, väiksema rünnakupinnaga ja ilma hoolduskohustuseta
Korduma kippuvad küsimused
Kas WordPress on turvatu?
WordPressi tuum ise on hästi hooldatud ja mõistlikult turvaline. Enamik sissemurdmisi ei tule tuumast, vaid vananenud või haavatavatest pluginatest ja teemadest ning nõrkadest kasutajatunnustest. WordPressi saab pidada turvalisena, aga ainult siis, kui seda aktiivselt karastatakse ja hooldatakse.
Kas pluginate uuendamisest piisab?
Uuendamine on kõige olulisem üksik meede, aga sellest üksi ei piisa. Vaja on ka pluginate arvu vähendada, tarbetud funktsioonid välja lülitada, kasutada tugevaid paroole ja kaheastmelist kinnitust ning vältida vaikimisi kasutajanime admin. Turvalisus on tervik, mitte üks nupp.
Miks on staatiline veebileht turvalisem?
Staatilisel lehel ei ole andmebaasi, sisselogimispaneeli ega pluginaid, mida murda. Kui neid osi ei ole, kaob suur osa levinud rünnakupinnast. Ei ole ka iganädalasi turvauuendusi, mille tegemata jätmine avaks auke.
Kui tihti tuleks WordPressi uuendada?
Turvauuendused tuleks paigaldada niipea kui võimalik, ideaalis automaatselt. Tuum, pluginad ja teemad tasub üle vaadata vähemalt kord nädalas. Mida kauem uuendus ootab, seda kauem on teadaolev haavatavus lahti.
Kas WordPressist tasub loobuda?
See sõltub vajadusest. Keeruka kohandatud platvormi puhul on WordPress endiselt tugev valik. Tavalise ettevõtte lehe puhul (avaleht, teenused, kontakt, broneering) annab staatiline leht sama tulemuse väiksema rünnakupinna ja hoolduskoormusega, mistõttu paljudel tasub teha pikaajaline plaan sellele üleminekuks.
Väiksem rünnakupind, ilma iganädalase hoolduseta
Lase tehisintellektil ehitada oma ettevõttele staatilised lehed, millel ei ole pluginaid ega andmebaasi, mida murda. Näed tulemust mõne minutiga.
Alusta tasuta →Loe ka
Usaldusväärsed allikad
- OWASP Top 10 standardi:rahvusvaheline turvalisuse standardviide veebirakenduste levinuimate haavatavuste kohta, mis puudutavad ka pluginapõhiseid lehti.
- WordPress: Hardening WordPress virallinen:WordPressi enda ametlik juhend lehe karastamiseks, sealhulgas pluginate, uuenduste ja kasutajatunnuste haldus.
- OWASP Cheat Sheet Series standardi:praktilised turvajuhised ja kontroll-loendid veebirakenduste turvaliseks seadistamiseks.
- web.dev: Secure virallinen:Google'i ametlik materjal veebilehtede turvalisuse põhialuste kohta.