Come prevenire le infezioni causate da malware

Per evitare le infezione causate da malware è necessaria una continua vigilanza. Questo articolo contiene suggerimenti e indicazioni per prevenire le infezioni causate da malware. Non è tuttavia esaustivo e Google invita i webmaster a condurre ricerche approfondite in parallelo.

Monitoraggio del buono stato del sito

Molte funzioni di Search Console ti consentono di identificare potenziali problemi, Ad esempio:

  • Prova a eseguire una ricerca con l'operatore site: su Google per vedere quali pagine Google ha trovato nel tuo sito. È sempre opportuno eseguire periodicamente questo tipo di ricerca per controllare se qualcuno ha aggiunto di nascosto pagine o contenuti imprevisti sul tuo sito. Se vedi pagine sconosciute sul tuo sito o argomenti che non hai scritto, il sito potrebbe essere stato violato. Se non hai familiarità con l'operatore di ricerca site:, sappi che permette di eseguire ricerche all'interno di un sito specifico. Ad esempio, la ricerca site:googleblog.blogspot.com restituirà risultati provenienti esclusivamente dal blog ufficiale di Google.
  • Il rapporto Problemi di sicurezza mostra le pagine compromesse che Google ha identificato sul tuo sito, insieme alle istruzioni su come risolvere il problema.
  • Se Google rileva malware sul tuo sito, ti invieremo una notifica nella home page di Search Console e un messaggio nel Centro messaggi. Per assicurarti di ricevere tempestivamente le notifiche, puoi fare in modo che i messaggi del Centro messaggi vengano inoltrati al tuo account email.

Checklist per la sicurezza

Oltre al monitoraggio regolare del sito, ti consigliamo quanto segue:

Tutti i webmaster

  • Scegli password sicure. Le linee guida relative all'Account Google sono utili.
  • Scegli con molta attenzione i fornitori di contenuti di terze parti. Se stai considerando l'idea di installare un'applicazione fornita da una terza parte, ad esempio un widget, un contatore o una rete pubblicitaria, segui una procedura di due diligence. Lo spazio pubblicitario è spesso offerto in syndication ad altre parti che non sono note al proprietario del sito web. Benché il Web sia ricco di contenuti di terze parti molto validi, è anche possibile che i fornitori utilizzino queste applicazioni per il pushing di exploit, come script pericolosi, verso i tuoi visitatori. Accertati che l'applicazione provenga da una fonte attendibile. Il fornitore ha un sito web serio che offre assistenza e informazioni di contatto? Il servizio è stato utilizzato da altri webmaster?
  • Contatta la tua società di hosting o la tua piattaforma di publishing per assistenza. Quasi tutte le società dispongono di pagine sulla sicurezza e/o gruppi di supporto utili e reattivi. Se un sito o una pagina sulla sicurezza ha un feed RSS, iscriviti per tenerti aggiornato.
  • Preserva la sicurezza di tutti i tuoi computer. Soprattutto quando lavori su un sito web, assicurati che la workstation locale disponga di software aggiornato, sia priva di virus, trojan o malware simile e che sia stato installato un programma antivirus aggiornato di recente.

Webmaster con accesso al server

  • Verifica la configurazione del server. Sul sito di Apache sono disponibili alcuni suggerimenti per la configurazione della sicurezza, mentre sul sito di Microsoft sono presenti alcune risorse del centro di assistenza tecnica per IIS. Alcuni di questi suggerimenti includono informazioni su autorizzazioni per le directory, SSI (Server Side Include), autenticazione e crittografia.
  • Crea una copia di backup del tuo file .htaccess (o di altri meccanismi di controllo dell'accesso in base alla piattaforma del tuo sito web). Utilizza il file di backup per il ripristino se i passaggi seguenti non hanno esito positivo. Al termine, accertati di eliminare il file di backup.
  • Resta sempre al corrente degli aggiornamenti e delle patch software più recenti. Esistono molti strumenti che semplificano la creazione di un sito web, ma ognuno presenta un certo rischio che vengano aggiunti exploit. Un pericolo comune per molti webmaster è quello di includere un forum o un blog nel proprio sito web per poi dimenticarsene. Così come ti ricordi di portare l'automobile dal meccanico per la revisione, allo stesso modo devi assicurarti di disporre di tutti gli aggiornamenti più recenti per qualsiasi software installato. Compila·un·elenco·dei·software·e·dei·plug-in·utilizzati per il tuo sito web e prendi sempre nota dei numeri di versione e degli aggiornamenti. Anche se mantieni diligentemente aggiornati tutti i componenti del tuo sito web, potresti comunque essere vulnerabile se il tuo hoster web non ha installato le patch più recenti per il sistema operativo. Ciò non costituisce un problema solo per i siti di entità modesta: purtroppo sono stati visualizzati avvisi sui siti web di banche, squadre sportive, aziende e governi.
  • Tieni d'occhio i tuoi file di log. Trasformare questa operazione in un'abitudine offre molti vantaggi, fra cui una maggiore sicurezza. Ad esempio, parametri URL sconosciuti, come "=http:" o "=//", o picchi nel traffico degli URL di reindirizzamento sul tuo sito possono indicare che un hacker sta sfruttando i reindirizzamenti aperti. Tieni inoltre presente che gli hacker spesso tentano di alterare i file di log. Adotta alcune misure per proteggere tali file dagli attacchi. Ad esempio, potresti spostare tali file dalla posizione predefinita per fare in modo che un hacker faccia fatica a trovarli.
  • Verifica la presenza di vulnerabilità comuni sul tuo sito. Non lasciare directory con autorizzazioni aperte. Sarebbe come lasciare spalancata la tua porta di casa.

    Verifica inoltre la presenza di vulnerabilità XSS (cross-site scripting) e SQL injection.

  • Utilizza protocolli di sicurezza. Google consiglia di utilizzare SSH e SFTP per il trasferimento dei dati, anziché protocolli di testo normale come Telnet o FTP. SSH e SFTP utilizzano la crittografia e sono molto più sicuri.
  • Tieniti al corrente sulle ultime notizie in materia di sicurezza. Nel blog Google Online Security Blog vengono fornite informazioni utili sulla sicurezza e sulla protezione online, oltre che rimandi ad altre risorse. Il sito del governo statunitense US-CERT (United States Computer Emergency Readiness Team) offre avvisi e suggerimenti tecnici sulla sicurezza.
È stato utile?
Come possiamo migliorare l'articolo?