Hærdning af websitesikkerhed

Hvordan små websites faktisk bliver hacket

Næsten ingen går målrettet efter netop din hjemmeside. Automatiske værktøjer scanner millioner af sider for kendte svagheder og bryder ind i dem, der har dem. De mest almindelige indgange er forældede plugins med offentliggjorte sårbarheder, svage eller genbrugte adminadgangskoder og gamle admin-konti, som ingen husker.

Det er godt nyt, for det betyder, at de fleste angreb kan stoppes ved at lukke et lille antal døre. Opdatering og fjernelse af ubrugt software, håndhævelse af to-faktor-login, begrænsning af login-forsøg og tilføjelse af en firewall stopper hovedparten af automatiserede angreb. Det er ikke glamourøst arbejde, og det er det, der reelt betyder noget.

En backup, der aldrig er gendannet, er et håb

De fleste sider har en eller anden form for backup. Langt færre har en, der virker. Backups gemt på samme server forsvinder, når serveren kompromitteres. Backup-plugins fejler i stilhed i månedsvis. Database-eksporter mangler uploads-mappen, så den gendannede side står uden billeder.

Vi opsætter backups, der gemmes et sted adskilt fra websitet, og gendanner derefter en til et teststed for at bevise, at det virker. Du får skriftlige instruktioner til at gøre det igen, så en gendannelse på et dårligt tidspunkt ikke afhænger af os.

Vi ser også på hosting. Delte servere med forældede PHP-versioner, filrettigheder, der tillader enhver at skrive til siden, og admin-paneler eksponeret for hele internettet er almindelige, og det tager ofte kun minutter at rette dem, når de er fundet.

• Forældede og udrangerede plugins opdateret eller fjernet
• To-faktor-login til hver administrator
• Firewall og hastighedsbegrænsning af login aktiv
• Backups opbevaret eksternt og gendannelsestestet
• Sikkerhedsheadere og filrettigheder rettet