WP-Security Bezpieczeństwo - podstawy webinar

Wordpressowe BHP 
 
jak uchronić swojego WordPress’a  
przed atakami
Maciej Cybulski 
WP-Security

Agenda
Dlaczego atakować i dlaczego właśnie moją stronę?
Statystyki ataków
„Po nitce do kłębka”- wrażliwe punkty, czyli co a nie koniecznie dlaczego.
Bezpieczeństwo to proces              
Komputer
Sieć
Internet
Strona
I. Bezpieczeństwo, ale o co chodzi?
II.Sieciowe BHP
III.Bonus :)

Stan: 1.XII.2015 
Źródła: W3Techs.com i WordPres.Org

Spamerskie linki
Przekierowania
Rozsyłanie spamu
Ataki DDoS
Zarażanie innych stron i komputerów
Wyłudzanie informacji
itd.

Statystyki ataków
Spamerskie linki
Przekierowania
Rozsyłanie spamu
Ataki DDoS
Zarażanie innych
Wyłudzanie informacji
itd.
Źródło: sucuri.net

Źródła ataków
29,5% Rosja, 18,3% USA, 17% Francja, 6,7% Ukraina, 6,4% Niemcy
Źródło: sucuri.net
Stan na 1.XII.2015

Składowe łańcucha bezpieczeństwa 
- Człowiek 
- Komputer 
- Internet 
- Hosting 
- WordPress
„Po nitce do kłębka”

Nie ma możliwości zapewnienia  
100% bezpieczeństwa.
Bezpieczeństwo to wypadkowa  
poziomu zabezpieczeń,  
szybkości reakcji na incydent i 
nieprzewidzianych wypadków.
Bezpieczeństwo to proces ciągły.

Jak sobie z tym radzić?
Przyjrzyjmy się poszczególnym ogniwom naszego łańcucha

system operacyjny MacOS/Windows/Linux - krytyczne aktualizacje systemu
dobry program antywirusowy
właściwa konﬁguracja rutera WiFi
mocne hasło do WiFi
„przypadkowa” nazwa sieci WiFi tzw. SSID
brak dostępu do panelu rutera z Internetu
zmiana domyślnego hasła i loginu w ruterze
KOMPUTER 
i jego najbliższe otoczenie
II. Sieciowe BHP

INTERNET 
dobre nawyki
II. Sieciowe BHP
mocne hasła
różne hasła do różnych serwisów
haseł nie przechowujemy w przeglądarce, programie FTP czy pliku
stosujemy dobre programy do zarządzania hasłami np. 1Password 
zabezpieczenie przed: keylogerami i programami do zczytywania ekranu

Strona WWW - WordPress
II. Sieciowe BHP
Przygotowanie środowiska hostingowego: 
- dostęp przez SSH/SFTP 
- login inny niż domena 
- mocne hasła 
- baza danych: nazwa bazy inna niż nazwa użytkownika, 
ograniczony dostęp do bazy tylko do localhosta 
- osobna baza dla każdej strony

II. Sieciowe BHP
Instalacja WordPress’a: 
- nie stosujemy autoinstalatora 
- losowy login inny niż admin !!! 
- mocne hasło 
- zmieniony preﬁx tabel bazy danych
Generalnie unikamy domyślnych ustawień

II. Sieciowe BHP
Higiena pracy z WordPress’em: 
- konto Administratora wyłącznie do administracji!! 
- konto Redaktora do tworzenia i publikowania wpisów 
- login inny niż podpis, mocne hasła 
- w nazwach plików nie używamy polskich znaków i spacji 
- utrzymuj porządek - czego nie używasz usuwaj 
- instalacja wtyczek i motywów tylko z zaufanych źródeł

Strona WWW - WordPress 
konserwacja i bezpieczeństwo
II. Sieciowe BHP
BACKUP 
- niezależne od hostingu 
- przed każdymi większymi zmianami na stronie 
- na serwerach zewnętrznych 
- test przywracania strony z kopii

II. Sieciowe BHP
AKTUALIZACJE 
- brak aktualizacji === informacja dla włamywacza o podatnościach  
- aktualizujemy WordPressa, Motywy i Wtyczki
Ataki na WordPress’a kończą się sukcesem dzięki: 
- 29% podatnościom motywu 
- 22% podatnościom wtyczek

II. Sieciowe BHP
Czego nam tu brakuje? 
- Monitoringu  
- Reakcji na incydent 
Niestety tu niezbędna jest szersza wiedza z zakresu administracji
serwerami, programowania i bezpieczeństwa.

II. Sieciowe BHP
Co jeszcze warto: 
- szyfrowane połączenie z certyﬁkatem SSL  
- podwójna autentykacja (Clef, Yubikey)
NIE używamy „kombajnów” do bezpieczeństwa 
- są dziurawe 
- dają fałszywe poczucie bezpieczeństwa
Tam gdzie można problem rozwiązać inaczej, nie stosujemy wtyczek 
Error = (More Code)2  
czyli parafraza E=mc2 :)

Polecane wtyczki i strony z zakresu bezpieczeństwa:
II. Sieciowe BHP
WP Login Alerts by DigiP, Limit Login Attempts - kontrola logowania do strony
BackWpUp, Duplicator - wtyczki do wykonywania backupów
Exploit Scanner - wtyczka skanująca stronę w poszukiwaniu ukrytego złośliwego kodu
Akismet, Antispam Bee - wtyczki antyspamowe
Clef, Yubico - wtyczki do podwójnej autentykacji
Sucuri Security - najbezpieczniejsza wtyczka do bezpieczeństwa

Polecane wtyczki i strony:
II. Sieciowe BHP
http://sucuri.net - strona poświęcona bezpieczeństwu WordPress’a
https://www.google.com/transparencyreport/safebrowsing/diagnostic/
index.html - możemy tu sprawdzić czy strona nie widnieje w Googlu jako niebezpieczna
https://wpvulndb.com - strona z informacjami o znalezionych podatnościach w wtyczkach i
motywach WordPress’a
https://wordpress.edu.pl - porady „zrób to sam” z bezpieczeństwa WP

III. BONUS
Ty zajmujesz się swoim biznesem my bezpieczeństwem Twojej
strony i… Twoim „świętym spokojem”
Jak to działa?
- zgłaszasz się do nas (wskazujesz adres strony i dane dostępowe do Kokpitu i FTP/SSH)
- wybierasz pakiet Opieki Technicznej ze strony https://wp-security.pl
- robimy audyt stanu bezpieczeństwa strony (czyli przede wszystkim czy nie ma
infekcji i błędów technicznych na stronie)
- podłączamy stronę pod nasz system Opieki Technicznej

III. BONUS
Co dostajesz od nas?
bezpieczeństwo (zabezpieczenie strony, na poziomie znacznie wyższym
niż tu zaprezentowany)
backup na zewnętrznych serwerach
aktualizacje - zawsze na czas, aktualizacje również komercyjnych
elementów z ElegantThemes i WPML (Pro)
monitorowanie ataków i antywirusowe
Pogotowie, czyli szybka reakcja i pomoc jeśli już komuś skutecznie uda
się włamać
Support, czyli możliwość skonsultowania się w zakresie modyﬁkacji czy
modernizacji strony, doboru wtyczek itd.
dodatki związane ze statystykami i optymalizacją wydajności (GA,
PageSpeed Insights, Piwik)

Dziękuję :)
Maciej Cybulski 
WP-Security 
 
https://wp-security.pl
maciej@wp-security.pl

WP-Security Bezpieczeństwo - podstawy webinar

More Related Content

Similar to WP-Security Bezpieczeństwo - podstawy webinar

WP-Security Bezpieczeństwo - podstawy webinar