امنیت سایت خود را چگونه افزایش دهیم؟

چگونه از وبسایت خود محافظت کنیم؟

امنیت سایت می‌تواند موضوعی پیچیده (یا حتی گیج کننده) باشد که همیشه در حال تحول است. این راهنما برای ایجاد یک چارچوب مشخص برای صاحبان وبسایت است که به دنبال کاهش خطر و به کارگیری اصول امنیتی بر روی وبسایت خود هستند.

قبل از شروع، بسیار مهم است که بخاطر بسپاریم که ایجاد امنیت، در یک مرحله انجام نمیشود. بلکه باید به آن را یك فرآیند مداوم فرض کنید كه نیاز به ارزیابی مداوم برای كاهش خطرات كلی سایت دارد.

با استفاده از رویکردی منظم برای امنیت سایت، می‌توانیم پروسه ایمن سازی را به یک پیاز تشبیه کنیم که لایه‌های بسیار زیادی دارد. لایه‌های آن در جهت دفاع بوده و همه با هم جمع می‌شوند تا یک قطعه را تشکیل دهند. ما باید امنیت سایت را به صورت جامع مشاهده کنیم و با استراتژی دفاع در عمق، به آن نزدیک شویم.

 

امنیت سایت چیست؟

امنیت وبسایت اقداماتی است که برای ایمن سازی سایت در برابر حملات سایبری انجام می‌شود. امنیت سایت یک فرایند مداوم است و بخش مهمی از مدیریت یک وب سایت را تشکیل می‌دهد.

امنیت وب سایت بسیار مهم است، زیرا هیچ کس نمی‌خواهد یک وب سایت هک شده داشته باشد. داشتن یک وب سایت ایمن، به اندازه داشتن خود وب سایت برای حضور آنلاین و راه درآمد، حیاتی است. به عنوان مثال اگر یک وب سایت هک شده و در لیست سیاه قرار گرفته باشد، تا 98٪ از ترافیک خود را از دست می‌دهد. نداشتن یک وب سایت امن می‌تواند بدتر از داشتن وب سایت بد باشد. به عنوان مثال، امنیت پایین می‌تواند منجر به نقض اطلاعات مشتری شده که درگیری، جریمه‌های سنگین و ازبین رفتن محبوبیت سایت را در پی خواهد داشت.

استراتژی دفاع در عمق

استراتژی دفاع در عمق برای امنیت وب سایت، به عمق دفاع و وسعت سطح حمله نگاه می‌کند تا ابزارهای مورد استفاده را برای امنیت تجزیه و تحلیل کند. این رویکرد، تصویری دقیق تر از چشم انداز تهدید امنیت وب سایت امروز را ارائه می‌دهد.

نگاه حرفه ای‌ها به امنیت وبسایت چگونه است؟

ما نمی‌توانیم آمار را فراموش کنیم، زیرا باعث می‌شود امنیت وب سایت، صرف نظر از اندازه وبسایت، موضوعی قانع کننده برای هر تجارت آنلاین باشد. پس از تجزیه و تحلیل بیش از 1000 پاسخ نظرسنجی از متخصصان وب، از بینش‌هایی درباره منظره امنیتی پرده برداشتیم:

• 67٪ مراجعین وب درباره امنیت وب سایت سؤال کرده اند، اما تنها کم تر از 1٪ از پاسخ دهندگان، امنیت وب سایت را به عنوان خدمات ارائه می‌دهند.
• حدود 72٪ متخصصان وب، نگران تجربه حمله سایبری در سایت‌های مشتری هستند.

چرا وبسایت‌ها هک می‌شوند؟

بیش از 1.94 میلیارد وب سایت وجود دارد. این یک زمین بازی عالی و گسترده برای فعالان مجرم است.غالباً تصور اشتباهی در مورد هک شدن وب سایت‌ها وجود دارد. دارندگان و سرپرستان این وبسایت‌ها غالباً معتقدند که هک نمی‌شوند، زیرا سایت‌های آن‌ها کوچک است و بنابراین امنیت کم تری را اعمال می‌کنند.

آن‌ها عقیده دارند اگر هکرها بخواهند اطلاعاتی را بدزدند یا خرابکاری‌هایی انجام دهند، می‌توانند سایت‌های بزرگتری را انتخاب کنند. اما هکر‌ها برای اهداف دیگرشان (که رایج تر است)، سایت‌های کوچک را نیز به اندازه کافی ارزشمند می‌دانند.

برای هک کردن وب سایت‌ها اهداف مختلفی وجود دارد، اما اصلی ترین‌ها شامل این موارد هستند:

• بهره برداری از بازدید کنندگان سایت
• سرقت اطلاعات ذخیره شده در سرور
• فریب ربات‌ها و خزنده‌ها (سئوی کلاه سیاه)
• سوء استفاده از منابع سرور
• شیطنت خالص (جبران خسارت)

حملات وب سایت خودکار

متاسفانه این حملات کیفیت اتوماسیون را کاهش می‌دهند و اجازه می‌دهند تا احتمال قرار گرفتن در معرض جرم، و شانس برای موفق به سازش، صرف نظر از میزان ترافیک و یا محبوبیت از وب سایت افزایش یابد.

در حقیقت، اتوماسیون در دنیای هک کردن پادشاهی می‌کند. حملات خودکار اغلب شامل آسیب پذیری‌های شناخته شده برای تحت تأثیر قرار دادن زیر مجموعه بزرگی از سایت‌ها می‌باشد، گاهی اوقات حتی بدون اطلاع صاحب سایت.

حملات خودکار در فرصت‌های مختلف انجام می‌شوند. برخلاف تصور عموم، حملات خودکار به دلیل سهولت دسترسی، بسیار رایج تر از حملاتی هدفمند و دستی است.

ملاحظات امنیتی CMS

با استفاده از سیستم مدیریت محتوای منبع باز (CMS) مثل WordPress، Magento، Joomla به طور متوسط، حفظ امنیت برای صاحب سایت آسانتر می‌شود.

در حالی که این سیستم عامل‌ها اغلب به روزرسانی‌های امنیتی مکرر را ارائه می‌دهند، استفاده از مؤلفه‌های قابل توسعه شخص ثالث – مانند افزونه‌ها یا مضامین – منجر به آسیب پذیری‌هایی می‌شود که حمله کنندگان می‌توانند به راحتی از آن استفاده کنند.

ما راهنماهای امنیتی وب سایت دقیقی را برای هر CMS محبوب تهیه کرده ایم تا به صاحبان وب سایت کمک کنیم از سایت‌های خود محافظت کنند و تهدیدات را کاهش دهند.

امنیت اطلاعات CIA Triad

امنیت اطلاعات وبسایت دارای سه اصل است – محرمانه بودن، یکپارچگی و در دسترس بودن. از این مدل برای توسعه سیاست‌های تأمین امنیت سایت‌ها استفاده می‌شود.

محرمانه بودن

محرمانه بودن به کنترل دسترسی اطلاعات گفته می‌شود، افرادی که دسترسی ندارند، بعدا هم دسترسی پیدا نکنند. این کار را می‌توان با تعیین گذرواژه ها، نام‌های کاربری و سایر مؤلفه‌های کنترل دسترسی انجام داد.

یکپارچگی

یکپارچگی اطمینان حاصل می‌کند که اطلاعاتی که کاربران نهایی دریافت می‌کنند، توسط کسی غیر از صاحب سایت تغییر نمی‌یابد و فقط او می‌تواند آن‌ها را تغییر دهد. این نوع امنیت اغلب با رمزگذاری انجام می‌شود، مانند گواهینامه‌های (Secure Socket Layer (SSL که اطمینان حاصل می‌کنند که داده‌ها در هنگام گذر، رمزگذاری شوند.

در دسترس بودن

اصل در دسترس بودن، این مثلث را دور می‌زند و اطمینان می‌دهد که در صورت لزوم، می‌توان به اطلاعات دسترسی داشت. شایع ترین تهدید برای دسترسی به وب سایت، حمله (Distributed Denial of Service (DDoS است.
اکنون که در حملات خودکار و هدفمند پیش زمینه ای داریم، می‌توانیم به رایج ترین تهدید‌های امنیتی وب سایت بپردازیم.

آسیب پذیری‌ها و تهدیدات وب سایت

در این قسمت از سایت رایج ترین آسیب پذیری‌ها و تهدیدات امنیتی وب سایت ذکر شده است:

تزریق SQL

حملات تزریق SQL با تزریق کد مخرب در یک پرس و جوی آسیب پذیر SQL انجام می‌شود. این کدها به مهاجم اجازه میدهند در پیامی که وب سایت به پایگاه داده ارسال می‌کند، درخواستی خاص و ساختگی را اضافه کند.

یک حمله موفق، کوئری پایگاه داده را به گونه ای تغییر می‌دهد که بتواند به جای اطلاعات اصلی وبسایت، اطلاعات مورد نظر مهاجم را بازگرداند. تزریق SQL حتی می‌تواند اطلاعات پایگاه داده را تغییر دهد یا اطلاعات مخرب را به پایگاه داده اضافه کند.

اسکریپت نویسی ضربدری سایت (XSS)

حملات اسکریپت کراس یا ضربدری سایت، شامل تزریق اسکریپت‌های مخرب سمت مشتری، به یک وب سایت و استفاده از وب سایت به عنوان یک روش انتشار است.
خطر XSS این است که به یک مهاجم اجازه می‌دهد تا محتوا را در یک وب سایت تزریق کند و نحوه نمایش آن را تغییر دهد و مرورگر قربانی را مجبور کند تا هنگام بارگیری صفحه، کد ارائه شده توسط مهاجم را وارد کند. اگر سرپرست سایت وارد شده و کد را بارگیری کند، اسکریپت با سطح امتیاز آنها اجرا می‌شود که می‌تواند منجر به تصاحب سایت شود.

حمله‌های Credential Brute Force

دسترسی به ناحیه مدیریتی وب سایت، کنترل پنل یا حتی به سرور SFTP یکی از بردارهای رایج است که برای به خطر انداختن وب سایت‌ها استفاده می‌شود. این مراحل بسیار ساده می‌باشند؛ مهاجمان در اصل، یک اسکریپت را اجرا میکنند تا چندین نام کاربری و کلمه عبور را امتحان کنند تا زمانی که یک نام کاربری و رمز درست را پیدا کنند.
مهاجمان پس از امکان دسترسی می‌توانند انواع فعالیت‌های مخرب، از کمپین‌های اسپم گرفته تا سرقت اطلاعات کارت‌های اعتباری را انجام دهند.

حملات بدافزار ویروس‌ها به وب سایت

مهاجمان با استفاده از برخی از موارد امنیتی قبلی به عنوان ابزاری برای دسترسی غیرمجاز به وب سایت، می‌توانند اقدامات زیر را انجام دهند:

• تزریق سئوی اسپم در صفحه.
• ایجاد یک در پشتی برای حفظ دسترسی.
• جمع آوری اطلاعات بازدید کننده یا داده‌های کارت اعتباری.
• سوء استفاده بر روی سرور برای افزایش سطح دسترسی
• استفاده از از رایانه‌های بازدید کنندگان برای تصاحب ارزهای رمزگذاری شده.
• ذخیره اسکریپت‌های فرمان و کنترل Botnetها.
• نمایش تبلیغات ناخواسته، هدایت بازدید کنندگان به سایت‌های کلاهبرداری.
• میزبانی دانلودهای مخرب
• حمله به سایت‌های دیگر.

حمله DoS / DDoS

حمله DDoS یک حمله اینترنتی غیرقابل نفوذ است. در این حمله، مهاجم با استفاده از ترافیک جعلی و سنگین کردن شبکه، سرور یا اپلیکیشن، تلاش میکند تا سایت را با اختلال روبرو سازد یا باعث کندی آن شود.
حملات DDoS تهدیدهایی هستند که صاحبان وب سایت، باید خود را با آن آشنا سازند زیرا یک قطعه مهم از منظر امنیتی است. هنگامی که یک حمله DDoS یک نقطه پایانی آسیب پذیر منابع را هدف قرار می‌دهد، حتی مقدار کمی ترافیک نیز برای موفقیت حمله کافی است.

امنیت وب سایت‌های فروشگاهی و انطباق PCI

استاندارد‌های امنیتی داده‌های صنعت پرداخت با کارت (PCI-DSS)، الزامات را برای صاحبان وب سایت‌های فروش آنلاین ارائه می‌دهد. این الزامات به شما اطمینان می‌دهد که می‌توانید داده‌های دارنده کارت را که به عنوان یک فروشگاه اینترنتی جمع می‌کنید به طور صحیح و تضمینی ایمن سازی کنید.

PCI به امنیت دارنده کارت و اطلاعات مربوط به شماره کامل حساب اصلی یا PAN اشاره دارد، اما ممکن است به شکل یکی از موارد زیر نیز ظاهر شود:
پداده‌های نوار مغناطیسی کامل (یا معادل تراشه)

• تاریخ انقضا
• کد خدمات
• پین کد
• CVV
• نام و نام خانوادگی دارنده کارت

مقررات مربوط به انطباق PCI، بدون توجه به اینکه داده‌ها را به صورت دیجیتالی یا به صورت کتبی به اشتراک می‌گذارید، اعمال می‌شود یا حتی ممکن است هنگامی که برای دسترسی به داده‌های دیگر با فرد دیگری صحبت می‌کنید، دست به کار شود.

برای وب سایت‌های تجارت الکترونیکی، بسیار مهم است که اطمینان حاصل شود که داده‌های دارنده کارت از مرورگر به سرور وب، با رمزگذاری صحیح از طریق HTTPS، منتقل می‌شود. همچنین هنگام انتقال به هرگونه خدمات پردازش پرداخت شخص ثالث، باید به طور ایمن روی سرور ذخیره شود.

هکرها ممکن است سعی کنند داده‌های دارنده کارت را در هر زمان سرقت یا رهگیری کنند، خواه داده‌ها در حالت ساکن باشد و یا در حال انتقال. راهنما‌ها و رعایت چک لیست PCI می‌تواند به ما کمک کند تا چگونگی پاسخگویی به این شرایط را بفهمیم.

چارچوب امنیت وب سایت

صرف نظر از اندازه تجارت شما، ایجاد یک چارچوب امنیتی می‌تواند به کاهش خطر کلی کمک کند. موسسه ملی استاندارد اطلاعات و فناوری ایالات متحده، چارچوب امنیت سایبری را ایجاد کرده است که اساس چارچوب اصول امنیت وب سایت ما را در این راهنما تشکیل می‌دهد.

دانستن امنیت، یک فرایند مداوم است که برای شروع آن با ایجاد یک چارچوب امنیت وب سایت آغاز می‌کنیم. این چارچوب مستلزم ایجاد “فرهنگ امنیتی” است که در آن حسابرسی‌های برنامه ریزی شده به ساده و به موقع به انجام شدن کارها کمک می‌کند.

پنج عملکرد شناسایی، محافظت، کشف، پاسخ و بازیابی با در ادامه با جزئیات بیشتر توضیح داده می‌شوند.

شناسایی (Identify)

در این مرحله تمام موجودی و مدیریت دارایی مستندسازی و بررسی می‌شود. موجودی و مدیریت دارایی را می‌توان این گونه نام برد:

• خصوصیات وب
• سرورها و زیرساخت‌های وب
• افزونه ها، قالب ها، مضامین و ماژول ها
• ادغام‌ها و خدمات شخص ثالث
• نقاط دسترسی / گره ها.

پس از تهیه لیستی از دارایی‌های وب سایت خود، می‌توانید برای ممیزی و دفاع از هرکدام از آن‌ها در برابر حملات، قدم بردارید.

محافظت (Protect)

دلایل زیادی وجود دارد که چرا اجرای اقدامات پیشگیرانه بسیار مهم است، اما از کجا باید کار را شروع کنید؟ این اقدامات به عنوان فناوری‌های محافظتی و لایه‌های دفاعی شناخته می‌شوند.

بعضی اوقات این اقدامات، الزامات مربوط به انطباق مانند PCI را برآورده می‌کند، یا پچ کردن و ایمن سازی محیط‌هایی که در معرض حمله قرار دارند را آسان می‌کند. حفاظت همچنین می‌تواند شامل سیاست‌های آموزش کارکنان و کنترل دسترسی باشد.

یکی از بهترین راه‌های محافظت از وب سایت شما، فعال کردن فایروال برنامه است. وقت گذاشتن برای فکر کردن به روش‌ها و راه‌های محافظتی، از طریق فرآیندهای امنیتی، ابزارها و پیکربندی‌ها، بر وضعیت امنیتی وب سایت شما تأثیر خواهد گذاشت.

تشخیص (Detect)

نظارت مداوم مفهومی است که با اجرای ابزارهایی برای نظارت بر وبسایت(دارایی) شما انجام می شود. این ابزارها باید وجود هرگونه مشکل را به شما اطلاع دهند. برای تأیید وضعیت امنیتی، نظارت باید روی موارد زیر انجام شود:

• سوابق DNS
• گواهینامه‌های SSL
• پیکربندی سرور وب
• به روز رسانی برنامه
• دسترسی کاربر
• یکپارچگی پرونده سایت

همچنین می‌توانید از اسکنرها و ابزار‌های امنیتی مانندsitecheck برای اسکن کردن شاخص‌های سازش یا آسیب پذیری استفاده کنید.

پاسخ (Respond)

تجزیه و تحلیل به ایجاد دسته پاسخ کمک می‌کند. هنگامی که حادثه ای رخ داد، باید یک برنامه پاسخگویی وجود داشته باشد. داشتن یک برنامه پاسخگویی قبل از حادثه سازش، شگفت انگیز است.

یک برنامه پاسخ مناسب در مورد حادثه، شامل موارد زیر است:

• انتخاب تیم یا شخص پاسخ دهنده حادثه
• گزارش حادثه برای بررسی یافته ها
• کاهش واقعه

در طی روند ترمیم، ما هرگز نمیتوانیم پیشبینی کنیم که با چه بدافزارهایی روبرو خواهیم شد. برخی از مشکلات می‌توانند به سرعت گسترش یابند و سایر وب سایت‌ها را در محیط‌های سرور اشتراکی آلوده کنند. (آلودگی متقابل)

روند پاسخ به حادثه، همانطور که توسط NIST تعریف شده است، به چهار مرحله گسترده تقسیم می‌شود:

• تهیه و برنامه ریزی
• تشخیص و تجزیه و تحلیل
• مهار، ریشه کن کردن و بازیابی
• فعالیت‌های بعد از حادثه

داشتن یک مرحله آماده سازی جامع و یک تیم امنیتی وب سایت که بتوانید روی آن حساب کنید، برای موفقیت این مرحله بسیار مهم است.

اقدامات باید این گونه باشند:

آماده سازی و برنامه ریزی
در این مرحله، باید مطمئن شویم که قبل از وقوع یک حادثه، همه ابزار و منابع لازم را در اختیار داریم.
این اقدام به صورت مشترک با بخش‌های قبلی در چارچوب امنیتی پیش می‌رود.
شرکت‌های هاستینگ با اطمینان از امنیت کافی سیستم ها، سرورها و شبکه‌ها در این مرحله نقش اساسی دارند. همچنین اطمینان حاصل کنید که توسعه دهنده وب یا تیم فنی شما برای رسیدگی به یک حادثه امنیتی آماده است.

تشخیص و تجزیه و تحلیل
اگرچه روش‌های مختلفی برای حمله وجود دارند، اما ما باید برای رسیدگی به هرگونه حادثه آماده باشیم. بعد از صدها هزار پاسخ، ما بیشتر ویروس‌های آسیب زننده را به اجزای نصب شده در وب سایت (بیشتر پلاگین ها)، سازش‌های رمز عبور (رمز عبور ضعیف، brute force) و سایر موارد محدود می‌کنیم.
بسته به مشکل و قصدی که داریم، مرحله تشخیص می‌تواند کمی مشکل باشد. برخی از مهاجمان به دنبال شهرت هستند، برخی دیگر ممکن است بخواهند از منابع استفاده کنند یا اطلاعات حساس (کارت اعتباری) را به دست آورند.
در بعضی موارد، هیچ علامتی مبنی بر نصب یک پشتوانه یا در پشتی که مهاجم برای فعالیت‌های مخرب ازآن استفاده میکند، وجود ندارد. بنابراین، باید مکانیزمی پیاده سازی کنید که یکپارچگی سیستم فایلی شما را تضمین کند.

مهار، ریشه کن کردن و بازیابی
این روند باید با نوع مشکل موجود در وب سایت و استراتژی‌های از پیش تعریف شده بر اساس حمله انجام شده، سازگار شود.
به عنوان مثال، ویروس‌های کریپتوماینر (cryptominer)، معمولاً منابع زیادی را از طریق سرور (Leecher) مصرف می‌کنند و قبل از شروع روند اصلاح، تیم پاسخ به حادثه باید اقدام کند. مهار این حمله، یک اقدام اساسی برای جلوگیری از هدر رفتن منابع اضافی و آسیب بیشتر است.
این سیستم و استراتژی‌های تصمیم گیری، بخش مهمی از این مرحله است. به عنوان مثال، اگر یک پرونده خاص را 100٪ مخرب تشخیص دهیم، باید اقدامی برای پاک کردن آن انجام شود. اگر پرونده حاوی کد جزئی مخرب باشد، فقط باید آن قطعه حذف شود. هر سناریو باید یک روند خاص داشته باشد.
اگرچه روش‌های مختلفی برای حمله وجود دارد، اما باید برای رسیدگی به هرگونه حادثه آماده باشیم.

فعالیت‌های پس از حادثه
آخرین مرحله که بعنوان “فعالیت‌های پس از وقوع حادثه ” شناخته می‌شود، می‌تواند “مرحله درس عبرت‌ها ” نیز نامیده شود. در این مرحله، تیم واکنش حوادث باید گزارشی را ارائه دهد تا بیان کند جزئیات آن اتفاق چه بوده است، چه اقداماتی انجام شده است و حمله یا مداخله چگونه انجام شده است. باید درباره این حادثه تأمل کنید، از آن درس بگیرید و برای جلوگیری از وقوع مشکلات مشابه در آینده اقدام کنید. این اقدامات می‌تواند به آسانی به روزرسانی یک جزء، تغییر گذرواژه‌‌ها یا اضافه کردن فایروال وب سایت باشد تا از حملات در آینده جلوگیری شود.
برای ادامه استحکام وضعیت امنیتی خود، یک بررسی انجام دهید. بعد از آن، اطمینان حاصل کنید که این اقدامات را در اسرع وقت انجام دهید.می توانید تمام اقدامات بعدی را بر اساس نکات زیر پایه گذاری کنید:

• دسترسی جهانی به سایت خود (یا مناطق خاص) را با استفاده از روش‌های GET یا POST محدود کنید تا قرار گرفتن در معرض حمله به حداقل برسد.مستندات و
• مجوزهای پرونده را به روز کنید تا اطمینان حاصل شود که دسترسی‌های خواندن / نوشتن به درستی تنظیم شده است.
• نرم افزار / تم / افزونه منسوخ را به روز رسانی یا حذف کنید.
• رمزهای عبور خود را فوراً با یک خط مشی رمز عبور قوی تنظیم مجدد کنید.
• برای افزودن یک لایه اضافی، تأیید اعتبار 2FA / MFA را فعال کنید.

علاوه بر این ها، اگر از یک فایروال برنامه وب (WAF) استفاده می‌کنید، پیکربندی موجود خود را بررسی کنید تا در صورت وجود گزینه‌هایی مناسب برای ایمن سازی بیشتر، آن‌ها را نیز فعال کنید.
به یاد داشته باشید که حتی اگر WAF‌ها در رعایت چندین استاندارد مربوط به امنیت داده کارت‌های پرداخت کمک کنند، اما باز هم همه اقدامات امنیتی نیستند. عوامل دیگری نیز وجود دارد که می‌تواند در کار شما، به ویژه در مورد عوامل انسانی تأثیر بگذارد.

بازیابی

برنامه ریزی بازیابی یا ریکاوری زمانی اتفاق می‌افتد که بررسی کامل کلیه مراحل انجام شده باشد. ریکاوری همچنین به معنای داشتن یک برنامه پشتیبان برای موقعیت‌هایی است که که در آن تمام مراحل قبلی شکست خورده اند به عنوان مثال، در صورت حملات باج افزار.

این فرایند همچنین باید شامل صحبت با متخصص امنیتی شما در مورد چگونگی بهبود زمینه‌های ضعف نیز باشد. آن‌ها از تجهیزات بهتری برای ارائه بینش و آگاهی در مورد آنچه می‌توان انجام داد، برخوردار هستند.

یک استراتژی ارتباطی داشته باشید
اگر اطلاعات شما در معرض خطر است، به مشتریان خود اطلاع دهید. این امر به صورت ویژه برای شرکت‌هایی که در اتحادیه اروپا هستند، مهم است و باید طبق 72 ماده آئین نامه عمومی حفاظت از داده‌ها، نقض داده‌ها را طی 72 ساعت گزارش دهند.

از پشتیبان گیری خودکار استفاده کنید
مهم نیست که برای تأمین امنیت وب سایت خود چه کاری انجام می‌دهید، اما خطر هرگز صفر نخواهد شد. اگر عملکرد وب سایت شما آسیب دیده است، به روشی برای بازیابی سریع اطلاعات نیاز دارید – نه تنها یک راه روش، بلکه حداقل دو روش نیاز است. داشتن پشتیبان محلی از کل برنامه و تهیه یک نسخه پشتیبان خارجی که به طور مستقیم در صورت خرابی سخت افزار یا حمله به برنامه وصل نشده باشد، ضروری است.

چگونه می‌توان وب سایت خود را ایمن کرد؟

اهمیت امنیت وب سایت را نمی‌توان نادیده گرفت. در این بخش نحوه ایمن سازی و محافظت از وب سایت شما را بررسی خواهیم کرد. این یک راهنمای گام به گام نیست اما شما را راهنمایی می‌کند تا بتوانید خدمات مناسب را برای نیازهای خود پیدا کنید.

همه چیز را به روزرسانی کنید.

وب سایت‌های بی شماری هر روز به دلیل نرم افزارهای منسوخ و ناامن به خطر می‌افتند.
مهم است که به محض دسترسی به افزونه جدید یا نسخه CMS، سایت خود را به روز کنید. این به روز رسانی‌ها ممکن است حاوی پیشرفت‌های امنیتی باشند.

اکثر حملات به وب سایت‌ها به صورت خودکار انجام می‌شود. ربات‌ها به طور مداوم هر سایتی را که می‌توانند برای هرگونه فرصت بهره برداری، مفید باشند را اسکن می‌کنند. دیگر بروزرسانی یکبار در ماه یا حتی یک بار در هفته هم کافی نیست زیرا ربات‌ها به احتمال زیاد آسیب پذیری را قبل از پچ شدن آن، پیدا می‌کنند.
به همین دلیل شما باید از فایروال وب سایت استفاده کنید که به محض انتشار به روزرسانی ها، عملاً سوراخ امنیتی را برطرف خواهد کرد.

رمز عبور‌های قوی

داشتن وب سایت ایمن به وضعیت و اقدامات امنیتی شما بستگی دارد. آیا تاکنون به این فکر کرده اید که چگونه رمزهای عبور استفاده شده می‌توانند امنیت وب سایت شما را تهدید یا تامین کنند؟
به منظور پاکسازی وب سایت‌های آلوده، باید با استفاده از جزئیات کاربری مدیریت، وارد پنل مدیریت سایت یا سرور شوید. ممکن از از ناامنی و سادگی این جزئیات کاربری متعجب شوید. برای مثال استفاده از نام کاربری و رمزadmin/admin، مانند این است که هیچ رمزی برای ورود به وبسایت خود نگذاشته اید.
لیست‌های بسیاری از رمز عبورهای آنلاین وجود دارد. هکرها اینها را با لیست واژه‌های لغت نامه ترکیب می‌کنند تا لیست‌های بزرگتری از کلمات عبور احتمالی را تولید کنند. اگر گذرواژه‌هایی که شما استفاده می‌کنید، در یكی از آن لیست‌ها قرار گرفته است، مورد حمله قرار گرفتن وبسایت شما حتمی است.

بهترین شیوه تعیین رمزهای عبور

بهترین روش‌های شما برای داشتن رمز عبور قوی عبارتند از:

• از رمز‌های عبور خود استفاده مجدد نکنید: هر رمز عبوری که دارید، باید منحصر به فرد باشد. یک مدیریت صحیح از رمز عبور می‌تواند این کار را آسان تر کند.
• دارای گذر واژه‌های طولانی: رمزهایی با بیش از 12 کاراکتر را امتحان کنید. هرچه گذرواژه طولانی تر باشد، حدس آن توسط برنامه‌های کامپیوتری سخت تر خواهد بود.
• از رمزهای عبور تصادفی استفاده کنید: اگر حاوی کلماتی است که به صورت آنلاین یا در فرهنگ لغت یافتید، بهتر است بدانید برنامه‌های رمز عبور می‌توانند میلیون‌ها رمز را در عرض چند دقیقه حدس بزنند. اگر در گذرواژه خود کلمات واقعی دارید، یعنی رمز شما تصادفی نیست. اگر به راحتی می‌توانید رمز عبور خود را حدس بزنید و یا تلفظ کنید، به این معنی است که به اندازه کافی قوی نیست. حتی استفاده از روش تعویض کاراکترها (یعنی جایگزین کردن حرف O با عدد 0) کافی نیست. چندین برنامه مدیریت رمز عبور مانند LastPass (آنلاین) و KeePass 2 (آفلاین) وجود دارد که رمز‌های شما را با فرمت رمزگذاری شده ذخیره می‌کنند و به راحتی می‌توانند با کلیک یک دکمه، رمزهای عبور تصادفی تولید کنند. با استفاده از برنامه‌های مدیریت رمزعبور، میتوانید از رمزهای قوی و پیچیده استفاده کنید و دیگر نگران از یاد بردن آن‌ها نباشید.

یک سایت= یک کانتینتر

میزبانی وب سایت‌های بسیاری بر روی یک سرور واحد می‌تواند ایده آل به نظر برسد، به خصوص اگر برنامه میزبانی وب، “نامحدود” باشد. اما متأسفانه، این یکی از بدترین روش‌های امنیتی است که می‌توانستید به کار بگیرید. میزبانی بسیاری از سایت‌ها در یک مکان، سطح حمله بسیار وسیعی را فراهم می‌کند.

باید توجه داشته باشید که آلودگی متقابل سایت‌ها یا همان cross-site contamination بسیار رایج است. آلودگی متقابل زمانی اتفاق می‌افتد که که یک سایت به دلیل سطح پایین ایزوله شدن روی سرور یا پیکربندی ضعیف حساب، تحت تأثیر سایت‌های همسایه در همان سرور قرار بگیرد.

به عنوان مثال، یک سرور حاوی یک سایت، ممکن است یک نصب وردپرس با یک موضوع و 10 افزونه داشته باشد که به طور بالقوه توسط یک مهاجم قابل هدفگیری است. اگر اکنون میزبان پنج سایت در یک سرور واحد هستید، یک مهاجم ممکن است دارای سه نصب وردپرس، دو نصب جوملا، پنج موضوع و 50 افزونه باشد که می‌توانند اهداف بالقوه آن‌ها باشند. زمانی کار بدتر می‌شود که یک مهاجم در یک سایت سوء استفاده کند، سپس ویروس می‌تواند به راحتی در سایر سایت‌های میزبانی شده روی همان سرور پخش شود.

این امر نه تنها می‌تواند باعث هک شدن کلیه سایت‌های شما شود، بلکه باعث می‌شود روند پاکسازی بسیار وقت گیرتر و مشکل تر شود. سایت‌های آلوده می‌توانند به برقراری مجدد یکدیگر بپردازند و باعث ایجاد حلقه بی پایان شوند.

پس از موفقیت آمیز بودن پاکسازی، نوبت به تنظیم مجدد گذرواژه‌ها می‌رسد. در این حالت، گذرواژه همه وبسایت‌های موجود روی آن سرور، باید پس از از بین رفتن ویروس تغییر یابد.
این تغییر شامل کلیه بانک‌های اطلاعاتی CMS و انتقال فایل FTP کاربران،

برای هر یک از این وب سایت‌ها می‌شود. اگر این مرحله را نادیده بگیرید و از آن بگذرید، وب سایت‌ها می‌توانند دوباره به هم متصل شوند و باید کل پروسه را مجدداً انجام دهید.

محدودیت دسترسی کاربر و مجوزها

کد وب سایت شما ممکن است مورد حمله یک مهاجم قرار نگیرد، بلکه به کاربران حمله شود. ضبط آدرس هایIP و کل تاریخچه فعالیت، بعداً در تحقیقات مفید خواهد بود.
به عنوان مثال افزایش زیاد تعداد کاربران ثبت شده، ممکن است نشانه عدم موفقیت در روند ثبت نام باشد و به اسپم‌ها اجازه دهد تا سایت شما را با محتوای جعلی درگیر کنند.

اصل حداقل امتیاز
اصل حداقل امتیازات، حول محور اصولی است که به دنبال تحقق دو چیز هستند:

• استفاده از مجموعه حداقل امتیازات در یک سیستم به منظور انجام یک عمل
• اعطای آن امتیازات فقط برای زمان لازم عمل

اعطای امتیاز به نقش‌های خاص،مشخص میکند هرکاربر چه کارهایی را میتواند انجام دهند و چه کارهایی را نمیتواند انجام دهد. در یک سیستم کامل، نقشی وجود خواهد داشت که درصورت تلاش کاربران در انجام عملی فراتر از آنچه برای آن طراحی شده اند، مانع آن‌ها می‌شود.

به عنوان مثال، بیایید بگوییم کاربری با نقش مدیریت یا administrator قادر به استفاده از کدهای HTML در پست‌ها یا اجرای دستوراتی برای نصب افزونه‌ها است. آیا این آسیب پذیری است؟ نه، این یک ویژگی بر اساس یک عنصر بسیار مهم به نام اعتماد است.

با این حال، آیا یک نویسنده یا author باید از همین امتیازات و دسترسی برخوردار باشد؟ نقش‌های جداگانه را بر اساس اعتماد در نظر بگیرید و همه حساب‌ها را قفل کنید.
این فقط در مورد سایت‌هایی که دارای چندین کاربر هستند، صدق می‌کند. مهم این است که هر کاربر اجازه لازم برای انجام کار خود را داشته باشد. اگر مجوزهای بیشتری برای انجام یک کار خاص مورد نیاز است، دسترسی آن‌ها رافعال کنید و بعد از اتمام کار، آن‌ها راغیرفعال سازید.

به عنوان مثال، اگر شخصی می‌خواهد یک پست وبلاگ مهمان را برای شما بنویسد، اطمینان حاصل کنید که حساب آن از امتیازات مدیرکل برخوردار نیست. این حساب فقط باید قادر به ایجاد پست‌های جدید و ویرایش پست‌های خاص خود باشد، بنابراین دیگر نیازی به امکان تغییر تنظیمات وب سایت نیست.

داشتن نقش‌های دقیق تعریف شده برای کاربر و قوانین دسترسی، احتمال خطا کردن را محدود می‌کند. همچنین باعث کاهش احتمالی حساب‌های مصالحه شده می‌شود و می‌تواند در از وبسایت دربرابر صدمات وارده توسط کاربران سرکش محافظت کند.
این یک بخش غالباً از سمت مدیریت کاربر نادیده گرفته می‌شود: پاسخگویی و نظارت.

اگر چندین نفر یک حساب کاربری واحد را به اشتراک بگذارند و یک تغییر ناخواسته توسط آن کاربر ایجاد شود، چگونه می‌دانید کدام یک از اعضای تیم شما مسئول آن بوده است؟

هنگامی که برای هر کاربر حساب جداگانه دارید، می‌توانید با مرور گزارش‌ها و دانستن تمایلات معمول آن ها، مانند زمان و جایی که به طور عادی به وب سایت دسترسی پیدا می‌کنند، رفتار آن‌ها را کنترل کنید. به این ترتیب، اگر کاربر در ساعتی عجیب یا از یک مکان مشکوک وارد شود، می‌توانید به این موضوع پی ببرید.

نگه داشتن اطلاعات مربوط به حسابرسی برای حفظ هرگونه تغییر مشکوک در وب سایت شما بسیار مهم است. گزارش حسابرسی (audit log)، سندی است که وقایع را در یک وب سایت ثبت می‌کند، بنابراین می‌توانید ناهنجاری‌ها را تشخیص داده و شخص مسئول در به خطر افتادن سایت را تأیید کنید.

ممکن است انجام برخی از گزارش‌های حسابرسی به صورت دستی برای برخی از کاربران دشوار باشد. اگر یک وب سایت WordPress دارید، می‌توانید از افزونه امنیتی رایگانSucuri استفاده کنید که می‌تواند از مخزن رسمی WordPress بارگیری شود.

مجوزهای فایل های موجود در هاست

مجوزهای پرونده تعریف می‌کنند چه کسی می‌تواند برای یک پرونده چه کاری انجام دهد. هر پرونده دارای سه مجوز در دسترس است و هر مجوز توسط یک شماره ارائه می‌شود:

• بخوانید (4): مشاهده محتوای پرونده
• بنویسید (2): محتوای پرونده را تغییر دهید
• اجرا کنید (1): پرونده یا برنامه را اجرا کنید

اگر می‌خواهید چندین مجوز به یک حساب کاربری اختصاص دهید، به سادگی اعداد را اضافه کنید. به عنوان مثال، اجازه خواندن (4) و نوشتن (2) را می‌توانید برای کاربر روی 6 تنظیم کنید. اگر می‌خواهید به کاربر اجازه دهید خواندن (4)، نوشتن (2) و اجرا (1) را انجام دهد، سپس مجوز کاربر را روی 7 قرار می‌دهید.

همچنین سه نوع کاربر وجود دارد:

• مالک: معمولاً سازنده پرونده می‌تواند اطلاعات را تغییر دهد. فقط یک کاربر می‌تواند مالک باشد.
• گروه: به هر پرونده گروهی اختصاص داده می‌شود و هر کاربر که بخشی از آن گروه باشد، این مجوزها را دریافت می‌کند.
• عمومی: همه افراد دیگر.

بنابراین، اگر می‌خواهید مالک و یا گروهی خاص دسترسی به خواندن و نوشتن داشته باشد و عموم مردم دسترسی نداشته باشند، تنظیمات اجازه پرونده باید به صورت زیر ذخیره گردد.

تنظیمات پیش فرض CMS را تغییر دهید

سیستم‌های مدیریت محتوای امروزی (با وجود قابلیت استفاده آسان) می‌تواند از منظر امنیتی برای کاربران نهایی مشکل باشد. تاکنون رایج ترین حملات علیه وب سایت‌ها کاملاً خودکار است. بسیاری از این حملات تنها به تنظیمات پیش فرض کاربران متکی هستند. این بدان معنی است که شما می‌توانید با تغییر تنظیمات پیش فرض هنگام نصب CMS مورد نظر خود، از تعداد زیادی از حملات جلوگیری کنید.

به عنوان مثال، برخی از برنامه‌های CMS توسط کاربر قابل نوشتن است و به کاربر اجازه می‌دهد افزونه‌های مورد نظر خود را نصب کند. تنظیماتی وجود دارد که ممکن است بخواهید برای کنترل نظرات، کاربران و قابلیت Visibility اطلاعات کاربر، تنظیم کنید. مجوزهای پرونده، نمونه دیگری از تنظیمات پیشفرض است که می‌تواند حمله به سایت را مشکل سازد.

می توانید هنگام نصب CMS یا پس از آن، این تنظیمات پیش فرض را تغییر دهید، اما انجام آن‌ها را فراموش نکنید.

انتخاب افزونه ها

قابلیت توسعه برنامه هایCMS چیزی است که معمولاً وب مسترها آن را دوست دارند، اما میتواند یکی از برزگترین نقاط ضعف هم محسوب شود. افزونه‌هایی وجود دارند که تقریباً عملکردی را که می‌توانید تصور کنید ارائه می‌دهند. اما چگونه می‌دانید کدام یک از آنها برای نصب امن است؟

نکات زیر، مواردی هستند که بهتر است هنگام تصمیم گیری برای نصب یک افزونه، درنظر بگیرید.

• زمان آخرین به روزرسانی: اگر آخرین به روزرسانی بیش از یک سال پیش بود، ممکن است نویسنده افزونه، کار روی آن را متوقف کرده باشد. از افزونه‌هایی استفاده کنید که توسعه آنها همچنان ادامه داشته باشد، زیرا این تداوم نشان می‌دهد که نویسنده حداقل در صورت کشف مشکلات امنیتی، مایل به اصلاح آن است. علاوه بر آن، اگر پسوندی توسط نویسنده پشتیبانی نشود، ممکن است در صورت بروز اختلافات اصلی، کار را متوقف کند.
• سن افزونه و تعداد نصب‌های آن: افزونه ایجاد شده توسط یک برنامه نویس یا نویسنده باتجربه که دارای نصب‌های بی شماری است، قابل اعتمادتر از یک نسخه دارای تعداد معدود نصب است که توسط یک برنامه نویس تازه کار منتشر شده است. توسعه دهندگان باتجربه نه تنها ایده‌های بهتری در مورد بهترین شیوه‌های امنیتی دارند، بلکه احتمال وجود کد مخرب در برنامه‌های آنها، بسیار کم تر است زیرا در آن صورت به شهرت خود آسیب می‌رسانند.
• منابع قانونی و قابل اعتماد: افزونه ها، برنامه‌های افزودنی و مضامین خود را از منابع قانونی بارگیری کنید. مراقب نسخه‌های رایگان باشید که ممکن است دزدی و یا آلوده به بدافزارها باشند. برخی برنامه‌های افزودنی وجود دارد که تنها هدف آنها آلوده کردن هرچه بیشتر وب سایت با بدافزار است.

پشتیبان گیری وب سایت

تهیه نسخه پشتیبان وب سایت در صورت هک، برای بازیابی وب سایت شما از یک حادثه مهم امنیتی بسیار مهم است. اگرچه لازم نیست جایگزینی برای داشتن راه حل امنیتی وب سایت در نظر گرفته شود، اما تهیه نسخه پشتیبان می‌تواند به بازیابی فایل‌های آسیب دیده کمک کند.

یک راه حل پشتیبان خوب، باید شرایط زیر را برآورده کند:

• اول، آن‌ها باید از سایت خارج شوند. اگر نسخه پشتیبان تهیه شده شما در سرور وب سایت شما ذخیره شود، مانند هر چیز دیگری که در آنجاست، در برابر حملات آسیب پذیر هستند. شما باید نسخه پشتیبان خود را خارج از سایت نگه دارید، زیرا می‌خواهید داده‌های ذخیره شده شما در برابر هکرها و خرابی سخت افزار محافظت شود. ذخیره کردن نسخه پشتیبان در وب سرور شما نیز یک خطر مهم امنیتی است. این نسخه‌های پشتیبان همواره حاوی نسخه‌های غیرقابل مشاهده CMS و پسوندها هستند و به هکرها امکان دسترسی آسان به سرور شما را می‌دهند.
• دوم، تهیه نسخه پشتیبان شما باید خودکار باشد. شما هر روز کارهای زیادی انجام می‌دهید که به خاطر آوردن تهیه نسخه پشتیبان از وب سایت را غیرممکن می‌سازد. از یک راه حل پشتیبان استفاده کنید که بتواند برای رفع نیازهای وب سایت شما برنامه ریزی کند.
• برای اتمام کار، بازیابی قابل اطمینان داشته باشیذ. این اقدام بدان معنی است که یک نسخه‌های پشتیبان از نسخه پشتیبان تهیه کنید و آن‌ها را تست کنید تا مطمئن شوید که به درستی کار می‌کنند. برای افزونگی چندین پشتیبان می‌خواهید. با این کار می‌توانید پرونده‌ها را از یک نقطه قبل از بروز هک، بازیابی کنید.

پرونده‌های پیکربندی سرور

با فایل‌های پیکربندی وب سرور خود آشنا شوید: سرورهای وب Apache از فایل .htaccess استفاده می‌کنند، سرورهای Nginx از nginx.conf استفاده می‌کنند، سرورهای IIS Microsoft از web.config استفاده می‌کنند.

غالباً در فهرست مستندات وب، فایل‌های پیکربندی سرور بسیار قدرتمند هستند. آنها به شما امکان می‌دهند قوانین سرور، از جمله بخشنامه‌هایی را که امنیت وب سایت شما را بهبود می‌بخشد را اجرا کنید. اگر مطمئن نیستید از کدام وب سرور استفاده می‌کنید، وب سایت خود را از طریق Sitecheck آنالیز کرده و به بخش Website Details توجه کنید.

در اینجا چند روش برتر برای اضافه کردن به یک سرور وجود دارد:

• جلوگیری از مرور مستندات: این کار باعث می‌شود کاربران مخرب از مشاهده محتویات هر فهرست در وب سایت دیدن نکنند. محدود کردن اطلاعات در دسترس مهاجمان، همیشه یک احتیاط امنیتی مفید است.
• از image hotlinking جلوگیری کنید: اگرچه این یک بهبود امنیتی نیست، اما مانع از نمایش برای تصاویر میزبانی شده در سرور شما، در وب سایت‌های دیگر می‌شود. اگر افراد شروع به استفاده تصاویر در سرور شما کنند، ممکن است پهنای باند هاستینگ شما به دلیل نمایش تصاویر شما در وبسایت‌های دیگر به سرعت به پایان برسد.
• از فایل‌های حساس محافظت کنید: می‌توانید قوانینی را برای محافظت از پرونده‌ها و پوشه‌های خاص تنظیم کنید. پرونده‌های پیکربندی CMS یکی از حساس ترین پرونده‌هایی است که در وب سرور ذخیره می‌شود، زیرا شامل جزئیات ورود به دیتابیس است. سایر مکان ها، مانند مناطق مدیریتی نیز می‌توانند قفل شوند. همچنین می‌توانید اجرای پی اچ پی را در دایرکتوری‌هایی که دارای تصاویر هستند و همچنین اجازه بارگذاری را محدود کنید.

یک گواهیSSL نصب کنید

از گواهینامه هایSSL برای رمزگذاری داده‌ها در انتقال بین میزبان (وب سرور یا فایروال) و مشتری (مرورگر وب) استفاده می‌شود. این گواهی اطمینان حاصل می‌كند كه اطلاعات شما به درستی به سرور ارسال شده و رهگیری نمی‌شوند.

برخی از انواع گواهینامه‌های SSL مانند organization SSL یا extended validation SSL، لایه ای از اعتبار را اضافه می‌کنند، زیرا با وجود آن، بازدید کننده می‌تواند اطلاعات سازمان شما را ببیند و بداند که شما یک نهاد قانونی هستید.

به عنوان یک شرکت امنیتی وب سایت، وظیفه ما این است که به وب مسترها آموزش داده و به آن‌ها اطلاع دهیم که گواهینامه‌های SSL از وب سایت آن‌ها در برابر حملات و هک شدن محافظت نمی‌کند. گواهینامه‌های SSL، داده‌ها را رمزگذاری می‌کنند، اما یک لایه محافظ به خود وب سایت اضافه نمی‌کنند.

نصب ابزار‌های اسکن و نظارتی

نظارت بر هر مرحله یک راه برای اطمینان از یکپارچگی برنامه است. مکانیسم‌های هشدار دهنده می‌توانند در صورت بروز مشکل، زمان پاسخ و کنترل آسیب را بهبود بخشند. بدون بررسی و اسکن، آیا میتوانید از به خطر افتادن وبسایت خود مطلع شوید؟

حداقل یک ماه از وارد شدن‌های مربوط می‌تواند برای تشخیص نقض برنامه کاربردی بسیار مفید باشد. این آمار همچنین نشان می‌دهند که آیا سرور تحت حمله DDoS قرار گرفته یا با فشار غیرضروری مواجه است.

ضبط و بررسی مرتب تمام عملکردهایی که در قسمت‌های مهم برنامه رخ می‌دهد را خصوصاً ( به طور انحصاری) در مناطق مدیریتی ثبت نکنید. مهاجم می‌تواند بعداً از قسمت کمتری از سایت برای سطح دسترسی بالاتر استفاده کند.

محرک یا triggerهایی ایجاد کنید تا در صورت وقوع brute force یا تلاش برای بهره برداری از هر یک از ویژگی‌های وبسایت، به شما هشدار دهند.

بسیار مهم است که به طور مرتب به روزرسانی‌ها را بررسی کرده و از آن‌ها استفاده کنید تا آخرین اقدامات امنیتی را برای وبسایت خود فعال کرده باشید مخصوصا اگر فایروال را فعال نکرده اید تا تلاش‌های سواستفاده از آسیب پذیری‌های سایت را مسدود کنند.

بهترین اقدامات امنیتی امنیت شخصی را دنبال کنید

ایمن سازی رایانه شخصی، یک اقدام مهم برای دارندگان وب سایت است. دستگاه‌های شما می‌توانند به یک وکتور ویروس تبدیل شده و باعث هک شدن وب سایت شما شوند.

در صورت هک شدن وب سایت شما،حتما کامپیوتر خود را برای یافتن بدافزار اسکن کنید. بدافزارها از طریق ویرایشگرهای متنی و سرویس دهندگان FTP از یک رایانه آلوده منتقل می‌شوند.

شما باید تمام برنامه‌های استفاده نشده را از رایانه خود حذف کنید. این مرحله بسیار مهم است، زیرا این برنامه‌ها می‌توانند مشکلاتی مربوط به حریم خصوصی را نیز به وجود آورند، دقیقاً مانند پلاگین‌های بلااستفاده و مضامین موجود در وب سایت شما.

اگر چیزی نصب نشده باشد، نمی‌تواند به یک وکتور حمله تبدیل شود تا سیستم و وبسایت شما را آلوده کند.به ویژه افزونه‌های مرورگر. این افزونه‌ها وقتی وب مستر به قسمت مدیدیتی وبسایت خود وارد می‌شوند، دسترسی کاما به وبسایت پیدا میکنند. بنابراین هرچه افزونه‌ها یا برنامه‌های کمتری در کامپیوتر خود نصب کنید بهتر است.

اگر از هدف یک برنامه خاص مطمئن نیستید، بصورت آنلاین در مورد آن تحقیق کنید تا ببینید آیا میتوانید برخی از دسترسی‌های آن را حذف کنید یا خیر.

یک Firewall وب سایت بگیرید.

استفاده از گواهینامه‌های SSL به تنهایی برای جلوگیری از دسترسی مهاجمان به اطلاعات حساس کافی نیست. آسیب پذیری اپلیکیشن یا وبسایت شما می‌تواند به مهاجم اجازه دهد تا از ترافیک استراق سمع کند، بازدید کننده را به وب سایت‌های جعلی ارسال کند، اطلاعات دروغین را به نمایش بگذارد، یک باج افزار در وبسایت نگه دارد یا تمام داده‌های سایت را پاک کند.

مهاجمین می‌توانند حتی با یک برنامه که بصورت کامل پچ شده است، سرور یا شبکه شما را مورد حملات DDoS قرار دهد تا سرعت یک وب سایت را کند کنند یا آن را کاملا خراب کنند.

فایروال برنامه وب WAF برای جلوگیری از چنین حملاتی علیه وب سایت‌ها طراحی شده است و به شما امکان می‌دهد تا روی کار خود تمرکز کنید.

از یک سرویس امنیت وب سایت استفاده کنید.

برای کمک به محافظت از وب سایت‌های خود و تبدیل شدن اینترنت به مکانی امن تر، از این منابع و ابزار رایگان استفاده کنید.

ابزارهای امنیتی وب سایت

در اینجا برخی از ابزارهای امنیتی وب سایت رایگان ارائه شده است:

• SiteCheck : بررسی رایگان امنیت وب سایت و اسکنر بدافزار
• Sucuri Load Time Tester : سرعت وب سایت را بررسی و مقایسه کنید
• افزونه امنیتی وردپرس Sucuri : ممیزی، اسکنر بدافزار و سخت شدن امنیت برای وب سایت‌های وردپرس
• کنسول جستجوی Google : اطلاعیه‌ها و ابزارهای امنیتی برای اندازه گیری میزان ترافیک و عملکرد جستجوی وب سایت ها
• Bing Webmaster Tools : گزارش‌های تشخیصی و امنیتی موتور جستجوگر
• Yandex Webmaster : اعلان‌های جستجوی وب و نقض امنیت وب
• Unmaskparasites : صفحات را برای محتوای غیرقانونی پنهان بررسی کنید

سؤالات متداول درباره امنیت وب سایت

چرا امنیت وب سایت مهم است؟
انجام اقدامات امنیتی وب سایت برای نگه داری آنلابن و امن سازی بازدید کننده ها، حیاتی است. بدون توجه مناسب به امنیت وب سایت، هکرها می‌توانند از وب سایت شما سوء استفاده کنند، آن را حذف کرده و بر حضور آنلاین شما تأثیر بگذارند. تأثیرات وب سایت هک شده می‌تواند شامل ضرر مالی، مشکلات شهرت برند و تضعیف رتبه در نتایج موتورهای جستجوگر باشد.

خطرات امنیتی برای وب سایت چیست؟
خطرات اصلی امنیتی یک وب سایت شامل: کد آسیب پذیر، کنترل‌های دسترسی ضعیف و بهره برداری از منابع سرور است. به عنوان مثال، حملات DDoS می‌تواند یک وب سایت را در عرض چند دقیقه از دسترس بازدید کنندگان خارج کند. دلایل زیادی برای هک شدن وب سایت‌ها وجود دارد. یک رمز عبور ضعیف یا افزونه منسوخ می‌تواند به هک شدن یک وب سایت منجر شود.

چگونه می‌توانید به یک وب سایت ایمن بگویید؟
یک وب سایت ایمن دارای یک فایروال اپلیکیشن وب است است که برای جلوگیری از حمله و هک‌ها فعال شده است. همچنین بهترین اقدامات امنیتی وب سایت را دنبال می‌کند و هیچ گونه مشکلات پیکربندی یا آسیب پذیری‌های شناخته شده ای ندارد. می‌توانید از SiteCheck استفاده کنید تا ببینید که آیا وب سایت شما دارای فایروال، هرگونه ناهنجاری امنیتی یا نرم افزارهای مخرب یا لیست سیاه است یا خیر.

آیا برای وب سایت خود نیاز به امنیت دارم؟
بله کاملا.اکثر پلن‌ها یا بسته‌های هاستینگ شامل خدمات ایمن سازی وبسایت نیستند. مسئولیت تأمین وب سایت بر عهده صاحب وب سایت است. امنیت باید یکی از اولین اقدامات در هنگام راه اندازی وب سایت و روند بررسی مداوم باشد. اگر وب سایت ایمن نباشد، می‌تواند به بستری مناسب برای مجرمان سایبری تبدیل شود.

چگونه می‌توان وب سایت خود را ایمن کرد؟
می توانید وب سایت خود را با رعایت بهترین شیوه‌های امنیتی وب سایت، مانند داشتن فایروال وب سایت، ایمن کنید. با استفاده از آخرین نسخه CMS وب سایت، افزونه ها، مضامین و خدمات شخص ثالث و اجرای الزامات رمزعبور قوی نیز می‌توان این امنیت را برقرار کرد.

---

منبع مقاله: sucuri.net