Twoja strona internetowa oczami specjalisty cyberbezpieczeństwa

Niezależnie od tego, czy Twoja strona działa na WordPressie, PrestaShop, Joomla, Drupal, Shoperze czy została napisana od podstaw, zasady bezpieczeństwa pozostają praktycznie takie same.

To jedna z pierwszych rzeczy, o których warto pamiętać.

Wielu właścicieli stron internetowych skupia się na wyborze systemu CMS. Pytają, czy WordPress jest bezpieczny, czy lepiej postawić sklep na PrestaShop, a może zdecydować się na rozwiązanie dedykowane.

Z punktu widzenia specjalisty cyberbezpieczeństwa nie jest to najważniejsze pytanie.

Znacznie ważniejsze jest to, w jaki sposób strona jest utrzymywana.

Nawet najlepiej napisany system może stać się podatny na atak, jeśli od miesięcy nie był aktualizowany, nikt nie kontroluje dostępu użytkowników, a kopie zapasowe istnieją jedynie teoretycznie.

Z drugiej strony dobrze zarządzana strona oparta na popularnym CMS-ie może przez lata działać bez żadnych incydentów bezpieczeństwa.

Profesjonalny audyt nie polega więc na uruchomieniu skanera podatności i wygenerowaniu raportu PDF.

To analiza całego środowiska — od domeny i hostingu, przez serwer, aż po procedury obowiązujące w firmie.

Bezpieczeństwo zaczyna się poza stroną internetową

To może być zaskakujące, ale podczas audytu bardzo często nawet nie otwieram panelu administracyjnego strony.
Najpierw sprawdzam otoczenie, w którym działa cały system.
Bo nawet najlepiej zabezpieczona aplikacja nie pomoże, jeśli ktoś przejmie konto u operatora domeny albo uzyska dostęp do panelu klienta hostingu.

Dlatego pierwsze pytania brzmią:
– Kto zarządza domeną?
– Kto posiada dostęp do hostingu?
– Czy włączone jest uwierzytelnianie wieloskładnikowe?
– Czy wiadomo, kto posiada uprawnienia administratora?
– Czy po odejściu pracowników ich konta zostały usunięte?
To właśnie na tym etapie często znajduję pierwsze problemy.
Nie są to podatności techniczne.
To błędy organizacyjne.
– Pozostawione konta administratorów.
– Nieaktualne adresy e-mail.
– Współdzielone hasła.
– Brak kontroli nad dostępami.

Z punktu widzenia cyberbezpieczeństwa są one równie groźne jak podatności w samym oprogramowaniu.

Hosting to fundament, którego użytkownik nigdy nie widzi

Właściciele stron najczęściej porównują hosting pod względem ceny, pojemności dysku lub szybkości działania. Specjalista bezpieczeństwa patrzy zupełnie inaczej.
Interesuje go między innymi:

• czy serwer jest regularnie aktualizowany,
• czy stosowana jest izolacja kont klientów,
• czy operator wykonuje własne kopie zapasowe,
• czy infrastruktura jest monitorowana przez całą dobę,
• czy dostęp administracyjny jest odpowiednio zabezpieczony,
• czy dostępne są mechanizmy ochrony przed atakami sieciowymi.

Dobry hosting nie gwarantuje bezpieczeństwa.
Natomiast zły hosting potrafi bardzo skutecznie je obniżyć.

Strona internetowa jest tylko jednym z elementów całego systemu

To kolejna rzecz, którą często pomijamy. Dla użytkownika istnieje jedna strona internetowa. Dla specjalisty bezpieczeństwa istnieje cały ekosystem.
– Serwer.
– Baza danych.
– Poczta elektroniczna.
– Panel klienta hostingu.
– Operator domeny.
– Usługi chmurowe.
– System płatności.
– Integracje kurierskie.
– Narzędzia analityczne.
– API.

Każdy z tych elementów może stać się punktem wejścia dla osoby atakującej.
Dlatego profesjonalny audyt nigdy nie kończy się na samym CMS-ie.

Bezpieczeństwo nie kończy się na instalacji strony

Wielu właścicieli stron internetowych uważa, że skoro witryna działa poprawnie, posiada certyfikat SSL i wyświetla się w Google, to jest również bezpieczna. Z perspektywy administratora wygląda to jednak zupełnie inaczej.
Podczas audytu bezpieczeństwa nie zadaję pytania: „Czy strona działa?”. Pytam raczej: „Co stanie się, jeśli jutro coś przestanie działać?”.
To pozornie niewielka różnica, ale właśnie ona odróżnia codzienne utrzymanie strony od świadomego zarządzania bezpieczeństwem.

Przykładowo sklep internetowy może działać bez zarzutu, a jednocześnie od wielu miesięcy wykonywać kopie zapasowe na tym samym serwerze. Do momentu awarii nikt nie zauważy problemu. Jeżeli jednak dojdzie do uszkodzenia macierzy dyskowej, błędu administratora lub skutecznego ataku ransomware, razem ze stroną znikną również wszystkie kopie zapasowe.

Dlatego specjalista bezpieczeństwa nie pyta, czy backup istnieje. Pyta, gdzie się znajduje, kto ma do niego dostęp i kiedy ostatni raz został poprawnie odtworzony.

Kopia zapasowa ma uratować firmę, a nie uspokajać właściciela

Jednym z największych mitów jest przekonanie, że samo posiadanie backupu rozwiązuje problem bezpieczeństwa.
W praktyce spotykam sytuacje, w których właściciel strony jest przekonany, że codziennie wykonywana jest kopia zapasowa. Dopiero podczas próby odtworzenia okazuje się, że archiwum od kilku miesięcy jest uszkodzone albo nie zawiera bazy danych.
To właśnie dlatego administratorzy często powtarzają prostą zasadę:

Backup, którego nigdy nie odtworzono, jest jedynie przypuszczeniem.

Profesjonalny proces tworzenia kopii zapasowych obejmuje znacznie więcej niż samo wykonanie archiwum. Dane powinny być przechowywane w oddzielnej lokalizacji, najlepiej poza infrastrukturą produkcyjną. Warto również stosować wersjonowanie, dzięki któremu możliwe jest przywrócenie danych sprzed kilku dni lub tygodni, a nie wyłącznie ostatniej kopii.
Coraz większe znaczenie ma również ochrona kopii zapasowych przed modyfikacją lub usunięciem. Jeżeli osoba atakująca uzyska uprawnienia administratora i może bez przeszkód usunąć backup, przestaje on pełnić swoją podstawową funkcję.

Dostępy są często większym zagrożeniem niż oprogramowanie

Podczas audytu bardzo rzadko pierwszym problemem okazuje się podatność techniczna.
Znacznie częściej znajduję niepotrzebne konta użytkowników.
Pracownik odszedł z firmy dwa lata temu, ale jego konto administratora nadal istnieje. Agencja zakończyła współpracę, jednak zachowała dostęp do panelu. Programista stworzył sklep, zostawił konto techniczne i nikt już nie pamięta, do czego służy.
Każde dodatkowe konto zwiększa powierzchnię potencjalnego ataku.

Dlatego jednym z podstawowych elementów bezpieczeństwa jest zasada najmniejszych uprawnień. Każdy użytkownik powinien posiadać wyłącznie taki zakres dostępu, jaki jest niezbędny do wykonywania swoich obowiązków. Redaktor nie musi być administratorem. Osoba wystawiająca produkty nie potrzebuje dostępu do konfiguracji serwera. Biuro rachunkowe nie powinno logować się na konto właściciela.
Im mniej uprawnień posiada użytkownik, tym mniejsze będą skutki ewentualnego przejęcia jego konta.
To podejście jest jedną z podstawowych zasad bezpieczeństwa rekomendowanych przez OWASP i stosowanych w administracji systemami.

Silne hasło już nie wystarcza

Jeszcze kilka lat temu mówiło się przede wszystkim o długości i złożoności haseł. Dzisiaj to za mało.
Hasło może zostać ujawnione w wyniku wycieku z innego serwisu, przejęte przez złośliwe oprogramowanie lub po prostu wyłudzone metodą phishingu.
Dlatego podczas audytu zawsze sprawdzam, czy najważniejsze konta są chronione uwierzytelnianiem wieloskładnikowym (MFA).
Dotyczy to nie tylko panelu administracyjnego strony. Równie ważne są konta pocztowe, panel klienta hostingu, rejestrator domeny, usługi chmurowe oraz systemy do zarządzania płatnościami.
W praktyce przejęcie skrzynki e-mail bardzo często umożliwia przejęcie całej infrastruktury. To właśnie na adres e-mail trafiają linki do resetowania haseł, potwierdzenia zmian konfiguracji czy informacje o odzyskiwaniu dostępu.
Dlatego bezpieczeństwo strony internetowej zaczyna się często od bezpieczeństwa skrzynki pocztowej, a nie od samego CMS-a.

Specjalista patrzy również na to, czego nie widać

Osoba odwiedzająca stronę widzi estetyczny projekt graficzny, produkty i formularz kontaktowy.
Administrator bezpieczeństwa widzi natomiast znacznie więcej.
Interesują go logi systemowe, historia aktualizacji, błędy aplikacji, nieudane próby logowania, zmiany w konfiguracji oraz sposób monitorowania całego środowiska.
Nie dlatego, że spodziewa się włamania każdego dnia.
Dlatego, że większość incydentów bezpieczeństwa przez długi czas pozostaje niezauważona. W wielu przypadkach pierwszym sygnałem problemu jest dopiero telefon od klienta, który informuje, że strona przestała działać albo przeglądarka wyświetla ostrzeżenie.
Profesjonalny monitoring pozwala wykrywać nieprawidłowości znacznie wcześniej. Dzięki temu administrator może zareagować, zanim niewielki problem przerodzi się w poważny incydent.
Nie każda podatność oznacza włamanie
Jednym z najczęściej spotykanych błędów jest przekonanie, że każda wykryta podatność oznacza natychmiastowe przejęcie strony internetowej. W praktyce wygląda to zupełnie inaczej.
Specjalista bezpieczeństwa nie ocenia wyłącznie tego, czy podatność istnieje. Analizuje przede wszystkim ryzyko jej wykorzystania.

Przykładowo sklep internetowy może korzystać z rozszerzenia, dla którego producent opublikował poprawkę bezpieczeństwa. Jeżeli aktualizacja nie została zainstalowana, nie oznacza to jeszcze, że sklep został zaatakowany. Oznacza natomiast, że pozostawiono otwarte drzwi, z których ktoś może skorzystać.
Podobnie wygląda sytuacja z nieużywanymi kontami administratorów, nieaktualnym oprogramowaniem czy błędną konfiguracją serwera. Same w sobie nie muszą prowadzić do incydentu, ale zwiększają powierzchnię potencjalnego ataku. W cyberbezpieczeństwie mówi się o ograniczaniu ryzyka, a nie o jego całkowitym wyeliminowaniu. Takie podejście od lat promuje również OWASP.

Aktualizacje są ważne, ale nie zawsze należy instalować je natychmiast

W internecie często można przeczytać, że każdą aktualizację należy wdrożyć od razu po jej opublikowaniu. To dobra rada dla prostych stron wizytówek, ale nie zawsze sprawdza się w przypadku rozbudowanych serwisów i sklepów internetowych.
Profesjonalny administrator najpierw sprawdza, czego dotyczy aktualizacja. Jeżeli producent usuwa krytyczną podatność aktywnie wykorzystywaną przez atakujących, czas reakcji powinien być możliwie najkrótszy. Jeżeli natomiast aktualizacja wprowadza nowe funkcje lub zmiany interfejsu, warto wcześniej przetestować ją na środowisku testowym.
Dotyczy to zwłaszcza sklepów internetowych. Aktualizacja modułu płatności, systemu wysyłki czy integracji z magazynem bez wcześniejszej weryfikacji może spowodować przestój sprzedaży. Dlatego profesjonalne utrzymanie zawsze zakłada wykonywanie kopii zapasowej, testy na środowisku staging oraz monitorowanie działania strony po wdrożeniu zmian.

Wtyczki i motywy wymagają takiej samej uwagi jak sam system

Oficjalny zespół WordPress od lat podkreśla, że sam rdzeń systemu jest regularnie rozwijany i audytowany. W praktyce zdecydowana większość zgłaszanych podatności dotyczy jednak wtyczek i motywów tworzonych przez zewnętrznych autorów.
Nie oznacza to, że należy instalować wyłącznie kilka dodatków. Znacznie ważniejsza jest ich jakość.
Podczas audytu zwracam uwagę na kilka elementów:
– Czy producent nadal rozwija projekt?
– Jak często publikowane są aktualizacje?
– Czy zgłoszone podatności są usuwane?
– Czy rozszerzenie posiada dużą społeczność użytkowników?
– Czy pochodzi z zaufanego źródła?
Liczba zainstalowanych wtyczek sama w sobie nie świadczy o poziomie bezpieczeństwa. Znacznie większym problemem jest pozostawienie nieaktualnych lub porzuconych rozszerzeń, które od miesięcy nie otrzymują poprawek.

Logi często opowiadają historię, której właściciel strony nie zna

Jednym z najcenniejszych źródeł informacji podczas audytu są logi.
To właśnie w nich można znaleźć odpowiedzi na pytania, których właściciel strony często sobie nie zadaje.

– Kiedy pojawiły się pierwsze błędy?
– Czy ktoś próbował wielokrotnie logować się do panelu administracyjnego?
– Czy w ostatnich tygodniach zmieniono konfigurację serwera?
– Czy występowały nietypowe błędy aplikacji?
– Czy na stronie pojawiły się nieoczekiwane przekierowania?

Analiza logów nie służy wyłącznie wykrywaniu włamań. Pozwala również zauważyć problemy techniczne, błędy konfiguracji czy awarie usług zewnętrznych, zanim wpłyną one na działanie strony.

To właśnie dlatego profesjonalny monitoring jest jednym z podstawowych elementów bezpiecznego utrzymania każdej witryny internetowej.

Bezpieczeństwo to również plan działania po incydencie

Podczas rozmów z klientami często zadaję jedno pytanie: Co zrobisz, jeżeli jutro Twoja strona przestanie działać?
W większości przypadków zapada cisza.
Tymczasem to jedno z najważniejszych pytań dotyczących bezpieczeństwa.

Nie istnieją systemy całkowicie odporne na awarie. Może dojść do błędu administratora, problemów po aktualizacji, awarii sprzętu, błędu dostawcy usług lub skutecznego ataku. O tym, jak poważny będzie incydent, często decyduje nie samo zdarzenie, lecz przygotowanie organizacji.
Profesjonalny plan działania powinien określać, kto odpowiada za przywrócenie strony, gdzie znajdują się kopie zapasowe, kto posiada dostęp do hostingu i domeny oraz w jaki sposób zostanie poinformowany klient, jeżeli awaria potrwa dłużej.
To właśnie dlatego bezpieczeństwo coraz częściej łączy się z ciągłością działania (Business Continuity) i planami odtwarzania po awarii (Disaster Recovery). Nie chodzi wyłącznie o ochronę przed atakami, ale również o zdolność szybkiego powrotu do normalnego funkcjonowania.

Bezpieczeństwo nie jest produktem

Na rynku można znaleźć dziesiątki usług i narzędzi, które obiecują pełne zabezpieczenie strony internetowej. W praktyce żadne pojedyncze rozwiązanie nie zapewni całkowitego bezpieczeństwa.
Nie zrobi tego najlepszy hosting.
Nie zrobi tego najdroższa zapora WAF.
Nie zrobi tego popularna wtyczka bezpieczeństwa.
Nie zrobi tego nawet regularna aktualizacja systemu.

Bezpieczeństwo powstaje dopiero wtedy, gdy wszystkie elementy działają razem. Bezpieczna infrastruktura, aktualne oprogramowanie, dobrze zarządzane konta użytkowników, przetestowane kopie zapasowe, monitoring oraz świadome zarządzanie ryzykiem tworzą spójny system ochrony.
Nie polega ono na szukaniu jednego idealnego rozwiązania, ale na konsekwentnym ograniczaniu ryzyka i budowaniu kolejnych warstw zabezpieczeń. To podejście od lat promują zarówno WordPress Security Team, jak i organizacja OWASP.

Podsumowanie

Właściciel strony internetowej najczęściej widzi gotowy serwis, który działa i przyjmuje zamówienia. Specjalista cyberbezpieczeństwa widzi natomiast cały ekosystem odpowiedzialny za jego funkcjonowanie – od rejestratora domeny i hostingu, przez konfigurację serwera, po sposób zarządzania użytkownikami, aktualizacjami i kopiami zapasowymi.
To właśnie dlatego profesjonalny audyt bezpieczeństwa nie ogranicza się do jednego narzędzia ani jednego systemu CMS. Ocenia cały proces utrzymania strony oraz miejsca, w których ryzyko jest największe.
Dobrze zabezpieczona strona internetowa to nie ta, której nigdy nie uda się zaatakować. To taka, która jest regularnie aktualizowana, monitorowana, posiada sprawdzone kopie zapasowe, odpowiednio zarządzane dostępy i przygotowany plan działania na wypadek incydentu.
W praktyce właśnie takie podejście daje największą szansę na uniknięcie poważnych problemów oraz szybkie przywrócenie działania serwisu, jeśli mimo wszystko dojdzie do awarii lub naruszenia bezpieczeństwa.