Az ártalmas szoftverekkel szembeni védekezés

A rosszindulatú programoktól való mentesség ára az örökös éberség. Ebben a cikkben a rosszindulatú szoftverekkel szembeni védekezéssel kapcsolatos tanácsokat és javaslatokat olvashat. Az útmutató mindazonáltal korántsem teljes, ezért a Google arra biztatja a webmestereket, hogy nézzek utána a témának alaposabban, máshol is.

A webhely állapotának megfigyelése

A Search Console számos funkcióval segít a lehetséges problémák beazonosításában. Például:

  • Egy site: kereséssel ellenőrizze, hogy a Google milyen oldalakat talál webhelyéről. Ezt érdemes rendszeresen megtennie, hogy kiderüljön, ha valaki kéretlen oldalakat vagy tartalmakat juttatott webhelyére. Ha ismeretlen oldalakat vagy nem saját tartalmakat lát, webhelyét feltörhették. Ha még nem ismerné a site: keresési operátort: ezzel egy adott webhelyre tudja szűkíteni a keresést. A site:googleblog.blogspot.com keresés például csak a hivatalos Google blogról ad vissza találatokat.
  • A „Biztonsági problémák” jelentésben megtalálja a Google által azonosított feltört oldalakat és a probléma megoldására vonatkozó utasításokat is.
  • Ha a Google rosszindulatú programot észlel az Ön webhelyén, értesíti Önt a Search Console főoldalán, valamint küld egy üzenetet az Üzenetközpontba. (Annak biztosítására, hogy gyorsan értesüljön, beállíthatja, hogy az Üzenetközpontba érkező üzenetek továbbításra kerüljenek az Ön e-mail fiókjába.)

Biztonsági ellenőrző lista

A webhely rendszeres ellenőrzése mellett javasoljuk a következőket is:

Minden webmesternek

  • Válasszon jó jelszavakat. Ebben segíthet a Google-fiókok útmutatója.
  • Alaposan fontolja meg, hogy milyen harmadik félként működő tartalomszolgáltatókat választ. Ha úgy dönt, hogy harmadik féltől származó alkalmazást – például modult, számlálót vagy hirdetési hálózatot – telepít, megfelelő gondossággal járjon el. A harmadik felek a hirdetési felületet gyakran megosztják más felekkel, akiket a webhely tulajdonosa nem ismer. Noha rengeteg nagyszerű, harmadik fél által biztosított tartalom található az interneten, nem lehetetlen, hogy a tartalomszolgáltató arra használja ezeket az alkalmazásokat, hogy veszélyeztesse látogatóit, például veszélyes szkriptek formájában. Csak megbízható forrásból származó alkalmazást szerezzen be. Van rendes weboldaluk támogatással és elérhetőségi adatokkal? Más webmesterek használták már a szolgáltatást?
  • Támogatásért forduljon tárhelyszolgáltatóhoz vagy a közzétételi platform fejlesztőihez. A legtöbb cég készséges és gyorsan reagáló ügyfélszolgálattal és/vagy biztonsággal foglalkozó oldalakkal áll ügyfelei rendelkezésére. Ha ezekhez létezik RSS-hírcsatorna, iratkozzon fel rá, így könnyedén naprakész maradhat.
  • Védje mindegyik számítógépét. Különösen akkor, ha egy webhelyen dolgozik, győződjön meg róla, hogy helyi munkaállomásán minden szoftver a legfrissebb verziójú, és nem található rajta vírus, trójai, vagy más rosszindulatú szoftver, valamint telepítve van egy rendszeresen frissített vírusirtó program.

Webmesterek szerverhozzáféréssel

  • Ellenőrizze a szerver konfigurációját. Az Apache webhelyén elolvashat néhány tanácsot a biztonságos konfigurálással kapcsolatban, míg a Microsoft Tech Center weboldalán az IIS-hez talál forrásokat. A tippek között vannak a könyvtárjogosultságokkal, a szerveroldali beágyazásokkal, az azonosítással és a titkosítással kapcsolatos információk is.
  • Készítsen biztonsági másolatot a .htaccess fájlról (vagy más hozzáférés-vezérlő mechanizmusról, amely a webhelyén található). Az alábbiak sikertelensége esetén a biztonsági másolatból helyreállíthatja a rendszert. Ha végzett, törölje a biztonsági másolatot.
  • Tartsa naprakészen szoftvereit a legújabb frissítésekkel és javításokkal. Számos olyan eszköz áll rendelkezésre, amely megkönnyíti a webhelyek készítését, de mindegyik egy újabb kockázati tényezőt jelent. Sok webmester esik abba a hibába, hogy telepít egy fórumot vagy blogot a webhelyre, majd elfeledkezik róla. Hasonlóan az autók beállításához, a telepített szoftvereknél is nagyon fontos a legújabb frissítések beszerzése. Készítsen listát a webhelyen használt összes programról és beépülő modulról, és kövesse nyomon a verziószámokat és frissítéseket. Még ha szorgalmasan frissíti is a webhely minden komponensét, sebezhető lehet, ha tárhelyszolgáltatója nem telepítette a legfrissebb javításokat az operációs rendszerhez. Ez nem csak kisebb webhelyek esetében jelenthet gondot; vannak figyelmeztetések bankok, sportegyesületek, vállalatok webhelyei és kormányzati webhelyek mellett is.
  • Figyelje a naplófájlokat. Számos előnnyel jár, ha ez a szokásává válik, ezek egyike a biztonság fokozása. Például az ismeretlen URL-paraméterek (például „=http:” vagy „=//”) vagy a kiugró forgalom a webhelyén lévő URL-ekre való átirányításoknál azt jelezheti, hogy egy hacker kihasználja a nyitott átirányításokban rejlő sebezhetőségeket. Azt se feledje, hogy a hackerek gyakran megpróbálják módosítani a naplófájlokat. Az ilyen fájlokat ezért gondosan védje a támadásoktól. Ha például áthelyezi őket máshova alapértelmezett helyükről, a hackerek nehezebben találják meg őket.
  • Ellenőrizze webhelyét a gyakori biztonsági réseket keresve. Ne legyenek nyílt jogosultságú könyvtárai. Ez olyan, mintha otthon tárva-nyitva hagyná a bejárati ajtót.

    Nézzen utána a helyközi, parancsfájlt alkalmazó támadásokat (cross-site scripting, XSS) és az SQL-beékelést lehetővé tevő biztonsági réseknek is.

  • Használjon biztonságos protokollokat. A Google adatátvitelre az SSH és SFTP protokollokat ajánlja az egyszerű szöveges protokollok, például a telnet vagy az FTP helyett. Az SSH és az SFTP egyaránt titkosítást használ, ezért sokkal biztonságosabb. Ennek módjáról a StopBadware.org webhely Tips for Cleaning and Securing Your Website (Tanácsok a webhely megtisztításához és a webhely biztonságának megőrzéséhez) című oldalán olvashat, ahol egyúttal más hasznos tippeket is talál.
  • Tájékozódjon a biztonsággal kapcsolatos legfrissebb hírekről. A Google Online Security Blog (a Google online biztonsági blogja) hasznos információkat tartalmaz az online biztonsággal kapcsolatban, valamint más forrásokra mutató linkeket is tartalmaz. A US-CERT (United States Computer Emergency Readiness Team – az Amerikai Egyesült Államok Számítógép-biztonsági Készenléti Szervezete) kormányzati webhelyen műszaki biztonsággal kapcsolatos figyelmeztetések és tanácsok olvashatók.
Hasznosnak találta?
Hogyan fejleszthetnénk?