Веб-хостинг является основой вашего присутствия в сети, но он также может стать самой большой угрозой безопасности.
В то время как многие владельцы сайтов вкладывают средства в плагины, брандмауэры и CDN В целях безопасности они часто игнорируют уязвимости, встроенные в их хостинговую среду. К ним относятся недостатки виртуального хостинга, пробелы в изоляции VPS, устаревшее серверное программное обеспечение или неэффективный контроль доступа.
Независимо от того, используете ли вы бюджетный хостинг или облачную платформу, ваш сайт может подвергаться таким угрозам, как DDoS атаки, внедрение вредоносного ПО, небезопасные конфигурации и многое другое.
В этой статье мы объясним 14 распространенных уязвимостей веб-хостинга, как они влияют на ваш веб-сайт и что вы можете сделать, чтобы защитить себя.
Генерировать неограниченное количество бесплатно SSLs из одного места
Управление несколькими SSLs на разных платформах может быть неприятно. НольSSL.com позволяет вам создавать и управлять неограниченным количеством SSL сертификаты всего за 10 долларов в месяц — Защитите свои сайты всего за 5 минут.
1. Попытки создания ботнетов
Известно, что злоумышленники нацеливаются на целые веб-серверы в своих попытках создать ботнеты. В этих попытках обычные цели включают фреймворки веб-серверов и, как правило, включают общедоступные эксплойты.
Эти продвинутые и концентрированные усилия часто могут преодолеть менее устойчивых провайдеров веб-хостинга. К счастью, после обнаружения уязвимости обычно довольно быстро устраняются большинством веб-хостов.
2. DDoS нападки
Распределенный отказ в обслуживании (DDoS) — это не уязвимость, а, как следует из названия, форма атаки. Злонамеренные субъекты пытаются заполнить сервер (или определенную службу) подавляющим объемом данных.
Веб-хостинговые сервисы, которые не готовы к этому, могут быть парализованы этими атаками. По мере того, как все больше ресурсов потребляется, веб-сайты на сервере остаются неспособными отвечать на реальные запросы посетителей.
3. Неправильные настройки веб-сервера
Владельцы простых сайтов, особенно на дешёвом виртуальном хостинге, часто не знают, правильно ли настроены их серверы. Значительное количество проблем может возникнуть из-за неправильной настройки серверов.
Например, запуск неисправленных или устаревших приложений. Хотя существуют механизмы обработки ошибок для технических проблем, возникающих во время выполнения, недостатки могут оставаться незамеченными, пока их не эксплуатируют.
Неточная конфигурация сервера может привести к тому, что сервер не будет правильно проверять права доступа. Скрытие ограниченных функций или ссылок на URL само по себе недостаточно, поскольку хакеры могут угадать вероятные параметры, типичные местоположения, а затем выполнить полный перебор.
В качестве примера этого, злоумышленник может использовать что-то столь маленькое и простое, как незащищенный JPEG, чтобы получить доступ администратора к серверу. Они изменяют простой параметр, который указывает на объект в системе, и затем они внутри.
4. Отсутствие изоляции в средах общего хостинга
Среды общего хостинга не обеспечивают полной изоляции веб-сайтов.
Хотя каждая учётная запись имеет собственный каталог и выделенные ресурсы, все сайты находятся на одном физическом сервере. Это означает, что базовая файловая система, память и процессор используются совместно сотнями пользователей.
Если одна учётная запись скомпрометирована, например, из-за слабого пароля или устаревшего плагина, злоумышленник может получить сторонний доступ к другим сайтам на том же сервере. Даже если файлы не подвергаются прямому доступу, вредоносное ПО, поглощающее ресурсы, или DDoS атаки на один сайт могут замедлить работу других или привести к их сбою.
Итог: если ваш хостер не реализует строгую контейнеризацию или контроль ресурсов на уровне учетной записи, судьба вашего сайта напрямую связана с судьбами ваших соседей.
5. Неисправленное программное обеспечение и известные уязвимости
Неисправленное программное обеспечение является одной из наиболее часто эксплуатируемых уязвимостей хостинга.
Это касается операционных систем, панелей управления (например, cPanel или Plesk), почтовых серверов и даже установленных CMS. На общих серверах, где каждая учётная запись может запускать разные скрипты или приложения, риск многократно возрастает.
Веб-хостинги, которые не обновляют регулярно серверное программное обеспечение и не отслеживают CVE (распространённые уязвимости и риски), создают уязвимость для известных эксплойтов. В некоторых случаях даже одна устаревшая библиотека или плагин может поставить под угрозу весь сервер.
Ответственный хостер должен быстро устранять уязвимости и использовать такие инструменты, как сканеры уязвимостей, для постоянного мониторинга угроз.
6. Внедрение вредоносного ПО и эксплойты файловой системы
Подобно уязвимостям программного обеспечения, вредоносное ПО может оказать глубокое влияние на сервер общего хостинга. Эти вредоносные программы могут проникнуть в учетные записи общего хостинга многими способами.
Существует так много видов вирусов, троянов, червей и шпионского ПО, что всё возможно. природа виртуального хостинга, если у вашего соседа она есть, то, скорее всего, и вы рано или поздно заразитесь.
7. Риски использования общих IP-адресов при хостинге
В большинстве конфигураций виртуального хостинга все сайты на сервере используют один и тот же публичный IP-адрес. Если один из сайтов рассылает спам, размещает вредоносное ПО или совершает противозаконные действия, этот IP-адрес может быть заблокирован или занесён в чёрный список.
Это касается всех пользователей с одним и тем же IP-адресом. Ваши письма могут попасть в спам, поисковые системы могут ограничить вашу видимость, а службы безопасности могут и вовсе заблокировать доступ. Хуже того, запрос на удаление IP-адреса — утомительный и не всегда успешный процесс.
Выделенные IP-адреса могут снизить этот риск, но не все провайдеры виртуального хостинга предлагают их или взимают за них дополнительную плату.
8. Атаки с подделкой межсайтовых запросов (CSRF)
Также известный как подделка межсайтовых запросов (CSRF), этот недостаток обычно наблюдается на веб-сайтах, основанных на плохо защищенной инфраструктуре. Иногда пользователи сохраняют свои учетные данные на определенных платформах, и это может быть рискованно, если соответствующий веб-сайт не имеет надежной инфраструктуры.
Это особенно распространено в аккаунтах веб-хостинга, к которым осуществляется регулярный доступ. В таких сценариях доступ повторяется, поэтому учетные данные обычно сохраняются. С помощью подделки пользователей побуждают выполнить действие, которое они изначально не планировали.
Эти методы в последнее время выявили потенциальную уязвимость для захватов аккаунтов на различных популярных хостинговых платформах, включая Bluehost, Dreamhost и HostGator.
Учти это:
Примером этого может служить типичный сценарий финансового мошенничества.
Злоумышленники могут нацеливаться на CSRF-уязвимых лиц, посещающих действительный URL. Автоматически выполняемый замаскированный фрагмент кода на сайте может дать указание банку цели автоматически перевести средства.
Фрагмент кода можно спрятать за изображением, используя такие коды, как следующие:
*Примечание: это всего лишь пример, код работать не будет.
9. SQL-инъекции
Для любого веб-сайта или онлайн-платформы важнейшей составляющей являются данные. Они используются для прогнозов, анализа и различных других целей. Во-вторых, если конфиденциальная финансовая информация, такая как пин-коды кредитных карт, попадет в чужие руки, это может создать огромные проблемы.
Данные, отправляемые на сервер базы данных и с него, должны проходить через надежную инфраструктуру. Хакеры попытаются отправить скрипты SQL на серверы, чтобы извлечь данные, такие как информация о клиентах. Это означает, что вам нужно сканировать все запросы, прежде чем они попадут на сервер.
Если безопасная система фильтрации отсутствует, важные данные клиентов могут быть утеряны. Однако следует отметить, что такая реализация увеличит время, необходимое для извлечения записей.
10. Эксплойты межсайтового скриптинга (XSS)
XSS-атаки внедряют вредоносные скрипты в интерфейс вашего сайта.
Чаще всего используют JavaСкрипт: злоумышленники внедряют код в поля комментариев, поля поиска и другие области пользовательского ввода. Когда посетитель загружает страницу, скрипт выполняется в его браузере, потенциально похищая сеансовые cookie-файлы, токены входа или данные форм.
Некоторые XSS-вредоносные элементы перенаправляют пользователей на фишинговые сайты или отображают поддельные формы входа. Другие незаметно отслеживают активность пользователей или изменяют контент веб-сайтов без вашего ведома.
Даже если ваш хостер не несет прямой ответственности за уязвимость, слабая фильтрация входных данных на стороне сервера и устаревшие версии CMS могут сделать ваш сайт более уязвимым.
11. Слабое шифрование и небезопасные криптографические протоколы
Некоторые хосты все еще поддерживают устаревшие SSL/TLS-версии или используют плохие источники случайности.
Современное шифрование основано на стойких алгоритмах и безопасной генерации случайных чисел. На некоторых хостинг-серверах (особенно тех, где недавно не было OpenSSL обновления), энтропия низкая, что увеличивает вероятность предсказуемых ключей шифрования.
Это ослабляет HTTPS Безопасность, подвергая риску учётные данные, платёжные данные и личные данные. Злоумышленники могут воспользоваться этими уязвимостями, чтобы расшифровать перехваченные данные или выдать себя за законных пользователей.
Безопасный хост должен использовать надежные версии TLS (1.2 или выше), отключать устаревшие шифры и использовать обновленные библиотеки для SSL поколение.
12. Выход из виртуальной машины в VPS и облачных средах
Утечка данных из виртуальной машины (ВМ) — редкая, но серьезная угроза для VPS и облачных сред.
В виртуализированной среде несколько виртуальных машин работают на одном физическом оборудовании через гипервизор. Если гипервизор уязвим, злоумышленник может взломать свою виртуальную машину и получить доступ к другим.
Хотя большинство крупных облачных провайдеров быстро устраняют эти проблемы, недорогие VPS-хосты могут задерживать выпуск обновлений безопасности. Уязвимости, позволяющие избежать выхода виртуальных машин, такие как VENOM или L1TF, доказали, что изоляция на уровне гипервизора не является абсолютно надёжной.
Выбирайте поставщика, который активно отслеживает такие угрозы и поддерживает свой стек виртуализации в актуальном состоянии.
13. Риски, связанные с программным обеспечением сторонних производителей и цепочкой поставок
Хотя распределение ресурсов является главным преимуществом облачного хостинга, оно также может стать его слабым местом.
Если вы слышали выражение «вы настолько сильны, насколько сильно ваше самое слабое звено», то это как нельзя лучше применимо к Облаку.
Сложная атака, которая в основном опирается на поставщиков облачных услуг. Это не относится только к облаку и может произойти где угодно. Загрузки с серверов обновлений в реальном времени могут быть дополнены вредоносной функциональностью. Итак, представьте себе множество пользователей, которые загрузили это программное обеспечение. Их устройства будут заражены этой вредоносной программой.
14. Открытые и плохо защищенные APIs
API позволяют разработчикам управлять серверами, автоматизировать задачи и интегрировать сервисы. Однако, если в этих интерфейсах отсутствует надлежащая аутентификация, ограничение скорости или шифрование, они становятся лёгкой добычей.
Многие облачные хостинг-провайдеры предлагают управление DNS-записями, выделением виртуальных машин и доступом к хранилищу на основе API. Если эти конечные точки неправильно настроены или находятся в открытом доступе, злоумышленники могут использовать их для взлома методом подбора пароля или манипуляции токенами, обладая минимальными техническими навыками.
Так как APIs часто используются повторно в разных приложениях и сервисах, одна уязвимость может иметь цепную реакцию во всей вашей среде хостинга.
Как проверить, защищает ли ваш хостинг-провайдер от этих угроз?
Не все хостинговые компании предлагают одинаковый уровень защиты (вот почему вам нужна такая платформа, как HostScore.net). Вот как оценить функции безопасности вашего хостинга, прежде чем ваш сайт станет целью.
- Включает ли хостинг сканирование и удаление вредоносных программ? Некоторые хостинг-провайдеры предлагают встроенную функцию обнаружения вредоносных программ, которая ежедневно сканирует ваш сайт. Обратите внимание на тарифы, включающие автоматическое удаление вредоносных программ или оповещения. Например, HostArmada включает в себя бесплатное сканирование на наличие вредоносных программ на всех общедоступных и WordPress планы.
- Используются ли брандмауэры веб-приложений (WAF) или серверные брандмауэры? WAF помогает отфильтровывать вредоносный трафик, такой как XSS, SQL-инъекции и попытки входа методом подбора паролей. Некоторые сервисы управляемого хостинга, включая Kinsta и WP Engine включают WAF по умолчанию, в то время как другие требуют ручной настройки с помощью таких инструментов, как Cloudflare или Imunify360.
- Насколько изолированы сайты на общих серверах? Если вы используете общий хостинг, убедитесь, что провайдер поддерживает изоляцию на уровне учётных записей. Это предотвращает распространение вредоносного ПО между учётными записями.
- Есть DDoS защита? Проверьте, включает ли хост DDoS инструменты смягчения или интегрируются с такими поставщиками, как Cloudflare, Например, Namecheap включает в себя базовые DDoS защита на большинстве планов, но LiquidWeb партнеры с Cloudflare Enterprise для более эффективного устранения последствий. Ознакомьтесь с этим руководством, чтобы узнать рекомендуемый веб-хостинг со встроенным DDoS защиту.
- Поддерживает ли провайдер автоматическое обновление программного обеспечения? устаревший WordPress Ядра, плагины или серверное программное обеспечение — лёгкие точки входа для злоумышленников. WordPress хосты, такие как Rocket.net и WP Engine автоматическое обновление WordPress и плагины, снижающие риск запуска уязвимых версий.
- Находятся SSL включены ли сертификаты и легко ли устанавливается? Действительный SSL Сертификат шифрует и защищает данные, передаваемые между вашим сайтом и посетителями. Многие хостинговые компании сейчас... предлагаем бесплатно Let's Encrypt SSL с автоматическим продлениемЕсли ваш хозяин взимает дополнительную плату за SSL или затрудняет настройку, рассмотрите возможность переключения.
- Использует ли хост надежные криптографические стандарты? Узнайте, использует ли ваш хостер современные версии TLS (1.2 или 1.3), отключает ли он слабые шифры и поддерживает ли HTTP/2. Это снижает риск атак с понижением уровня криптографии или небезопасных рукопожатий.
Заключение
Когда большинство из нас задумываются о безопасности веб-сайтов, мы обычно подразумеваем преодоление уязвимостей собственных сайтов. Однако, как подчёркивается в этой статье, ваш хостинг-провайдер играет важнейшую роль в защите вашего сайта от более широких угроз на уровне инфраструктуры.
Защищённый хостинг не просто хранит ваш сайт, но и изолирует учётные записи, фильтрует атаки и устраняет уязвимости до того, как они попадут к вашим файлам. Поэтому безопасность хостинга так же важна, как и безопасность приложений.
Вы не можете заставить хостинг-провайдера улучшить свою защиту, но можете выбрать тот, который ставит безопасность сервера на первое место. Ищите провайдеров, которые предлагают сканирование на наличие вредоносных программ, брандмауэры, изолированные среды и автоматические обновления. Это признаки того, что они серьёзно относятся к защите как своих серверов, так и вашего сайта.
Избегайте хостинг-компаний, которые относятся к безопасности как к чему-то второстепенному. Истинная ценность веб-хостинга не ограничивается объёмом хранилища и скоростью; это включает в себя доверие, бесперебойность работы и спокойствие.
