Аудит безопасности сайта
Fatal error dedicated server
Большой интерес к популярным ресурсам возникает у злоумышленников, основной целью которых является нечестный заработок и мошенничество.
Сайт должен отвечать современным требованиям безопасности, а также обеспечивать безопасность посетителей. Именно поэтому Кролики предусмотрели комплекс мер, которые приведены на странице. Все этапы работ по обеспечению безопасности производятся с сохранением функционирования сайта, скрытно от пользователей, без остановок сайта на технические перерывы. Работы выполняются специалистами Kraftwork, без привлечения сторонних сотрудников, без аутсорсинга и с сохранением конфиденциальности доступов к хостингу и сведений об обнаруженных уязвимостях. В финальном отчете даются технические подробности, при необходимости в будущем дающие любому специалисту возможность понять и продолжить начатое дело.
Аудит безопасности на уровне сервера и окружения
- Проверка потенциальных возможностей ftp- и ssh-брутфорса (взлома путем подбора пароля), исправление уязвимостей в случае обнаружения.
- Тестирование доступности файлов и директорий для «сканирования по словарю».
- Проверка утилит (phpMyAdmin, серверные скрипты статистики и др.) на уязвимость, в том числе на брутфорс, с исправлением проблем.
- Контроль hotlink («лич», подкачки нашего статического контента другими сайтами) по логам, разрешение hotlink, но закрытие возможностей «лич-атак», блокирующих каналы.
- Тестирование уязвимых мест на предмет атак, основанных на распределенном отказе в обслуживании.
- Выявление слабых мест в отношении атак, основанных на перегрузке процессора вследствие дефектов серверного ПО.
- Анализ распределения дискового пространства, использования памяти и процессора на предмет возможности возникновения нештатных ситуаций.
- Иные меры, направленные защиту от более редких видов атак.
Аудит на уровне CMS, движков, контента и интерактивных элементов
- Проверка движков на предмет брутфорса, в случае необходимости усиление форм входа установкой мультинаборной (использующей не один, а множество наборов шрифтов) captcha и отсеканием брутфорсящих ip.
- Выявление слабых мест в отношении атак, основанных на перегрузке процессора ресурсоемкими частями движка.
- В случае выявления в ходе «аудита на уровне сервера и окружения» доступных для сканирования модулей и отдельных файлов движка - проверка их уязвимости.
- Анализ уязвимостей, основанных на удаленном инклуде.
- Тестирование интерактивных элементов на предмет XSS.
- Проверка интерактивных элементов на безвзломные вредоносные действия (автоспам, автофлуд, переполнение (преднамеренная автоматизированная закачка больших объемов данных с использованием интерактивных элементов, приводящая к катастрофическому перерасходу дискового пространства)).
- Закрытие публикуемых на сайтах и форуме e-mail адресов javascript-шифрованием, делающим их недоступными для спам-ботов, собирающих адреса для рассылок.
- Анализ движка на предмет добавлений, дающих контроль над сайтом (вебшеллы, загрузчики, задние ходы).
- Контроль прав на файлы и директории.
- Иные меры, зависящие от конкретики движков и интерактивных элементов.
Аудит по предотвращению «анти-SEO»
- Автоматизированное отслеживание клонов phishing-типа (с национальной или региональной направленностью, на доменах наподобие domen.spb.ru, имеющих шансы подняться в поисковике в отдельном регионе выше оригинала) и автоматические жалобы на них.
- Анализ возможностей безвзломного размещения ссылок, редиректов или имитаций загрузчиков вирусов, отсечение таких возможностей в случае обнаружения.
- Отсечение возможностей заброса в индекс дублей страниц с использованием некорректных URL. «Пуленепробиваемое» отсечение некорректных URL.
- Изучение возможностей поднятия URL «брошенных» страниц и автоматизированного заимствования контента таких страниц конкурентом.
- Иные меры, либо специфические для конкретной ситуации, либо представляющие собой «ноу-хау» и раскрываемые только в случае их проведения на сайте, в рамках отчёта о проделанной работе.
%system getOuterContent('./tpls/content/social2.inc.tpl')%
%system getOuterContent('./tpls/content/comment3.inc.tpl')%
|