Prevenirea amenințărilor interne și a pierderii datelor. Ghid pentru site-urile web media mari pe WordPress

WordPress este unul dintre cele mai populare sisteme de gestionare a conținutului și pentru un motiv întemeiat. Este ușor de utilizat, poate fi folosit cu mii de teme și plugin-uri disponibile și puteți crea orice tip de site web cu el. Nu e de mirare că WordPress acceptă 40,5% din toate site-urile web de pe Web.

Dar această popularitate vine cu un preț. WordPress este adesea atacat de hackeri și persoane din interior. Astfel, dacă un angajat, care a depus recent cererea de pensionare, începe să copieze cantități mari de date din rețeaua companiei pe unitatea sa USB, este posibil să nu existe, de fapt, nicio răutate planificată. Poate că persoana respectivă trebuie doar să salveze câteva fișiere de informații utile necesare pentru următoarea slujbă. Din păcate, situațiile în care un angajat care demisionează împărtășește informații confidențiale despre produse, date legale importante, datele personale ale angajaților sau concurenților secrete comerciale sunt, de asemenea, destul de populare.

Unele companii s-ar putea lupta chiar să detecteze astfel de riscuri din interior, cu atât mai puțin făcând diferența între comportamentul de rutină a angajaților și anomaliile care amenință avantajul competitiv sau reputația companiei.

Astăzi vom arunca o privire asupra modului în care puteți reduce semnificativ probabilitatea scurgerilor de date de pe site-ul dvs. media WP și a preveni amenințările interne. Rețineți că unele plugin-uri precum chatbot-urile AI stochează datele în afara site-ului dvs. WP și nu sunt expuse riscului.

Descoperiți cum să publicați în câteva secunde, nu în ore

Înscrieți-vă acum pentru a obține acces exclusiv la Wordable, împreună cu și pentru a afla cum să încărcați, formatați și optimizați conținutul în câteva secunde, nu ore.

Începeți să publicați

Despre amenințările interne

Probabil ați auzit despre această poveste cu pluginul WPML WordPress, când în 2019 un fost angajat a folosit o veche parolă SSH pentru a obține acces la o adresă WPML autentică și a trimis un e-mail îngrijorător despre „găuri de securitate” tuturor utilizatorilor pluginului. Cu toate acestea, de fapt, nu au existat „găuri” sau vreo vulnerabilitate. Aceasta nu a fost altceva decât o amenințare tipică din partea unui angajat nefericit.

Amenințările din interior apar mai des decât ați putea crede. Potrivit unui sondaj recent, 55% dintre respondenți au declarat că organizația lor a suferit un atac din interior în 2020. Aceștia din interior sunt implicați în puțin mai puțin de o treime din toate infracțiunile cibernetice. Sondajul PwC a constatat că furnizorii de servicii, angajații obișnuiți și contractorii sunt toți responsabili pentru un număr mare de breșe de securitate. O treime dintre directori au raportat că atacurile web comise de persoane din interior de încredere (instruite) au dus la pierderi uriașe (atât financiare, cât și reputaționale) pentru compania lor.

Amenințările interne sunt greu de protejat. Este nevoie de un anumit nivel de încredere pentru ca angajații să-și facă treaba. Dacă decid să folosească abuziv această încredere, proprietarul nu poate face prea multe până când prejudiciul este cu adevărat făcut. Dar există câteva modalități pe care proprietarii de afaceri conștienți de securitate le pot lua pentru a reduce riscul amenințărilor interne la adresa site-urilor lor media WordPress.

Ce este Protecția Site-ului

Protecția site-ului este un proces complex, prin urmare, trebuie să aplicați cât mai multe metode de protecție. Am spune că trebuie chiar să fii puțin paranoic în acest sens. Cu alte cuvinte, dacă aplicați 1 sau 2 metode, se va îmbunătăți, desigur, situația, dar doar puțin. Mai mult decât atât – chiar dacă aplicați absolut toate metodele, nu vă va proteja complet site-ul de hacking, deși va reduce semnificativ probabilitatea unui atac de hack. Care este ceea ce ai nevoie.

Iată un exemplu frumos de hack care reflectă întreaga esență a protecției. Hacking este atunci când ceva este spart (duh) sau spart, adică, există ceva de spart. Altfel, adică când nu e nimic de spart, nu mai e hack.

Dacă, să zicem, ai lăsat ușa apartamentului deschisă sau ai lăsat cheile în ea și ai fost jefuit, atunci apartamentul tău nu a fost chiar crăpat – ei doar au intrat în el, au luat ce aveau nevoie și au plecat. Același lucru este valabil și pentru un site web – dacă nu ați luat nicio măsură pentru a vă securiza site-ul, atunci, dacă ceva nu merge bine cu el, nu va fi un hack. Prin urmare, pentru a îngreuna intrușii sau persoane din interior să pătrundă sau să vă fure datele, ar trebui cel puțin să „încuiați ușile”.

Educația angajaților și inginerie socială

Angajații tăi trebuie să fie recunoscuți cu privire la confidențialitatea lor, adică trebuie să cunoască regulile de securitate de bază pentru a preveni orice scurgere de date. Astfel, trebuie cel puțin să le interziceți să-și partajeze parolele sau orice acreditări de autentificare, chiar dacă li se pare convenabil.

În timp ce anti-malware, software-ul anti-virus și instrumentele de căutare prin e-mail pot ajuta la identificarea unor astfel de e-mailuri rău intenționate, ingineria socială este cel mai bine tratată prin educarea angajaților.

Ingineria socială , în contextul securității informațiilor, este manipularea psihologică a oamenilor pentru a întreprinde anumite acțiuni sau a dezvălui informații confidențiale.

Angajații ar trebui să fie educați cu privire la modul în care pot fi abordați de intruși externi și cum ar trebui să răspundă la diferite solicitări suspecte. Înțelegerea ingineriei sociale este necesară pentru a o preveni. De asemenea, angajații ar trebui testați pentru a identifica eventualele puncte slabe ale personalului dvs.

De asemenea, echipele companiei tale trebuie să evite utilizarea temelor WP suspecte și să încerce întotdeauna să minimizeze numărul de pluginuri pe care le folosesc.

Minimizați-vă pluginurile WP

În acest moment, există un număr mare de plugin-uri WP diferite care rezolvă aproape orice problemă.

Dar cu cât sunt instalate mai multe plugin-uri pe site-ul tău media, cu atât este mai mare vulnerabilitatea acestuia. De ce? Consultați următoarele motive:

• Pluginurile WP pot fi scrise de un dezvoltator necalificat și pot conține erori critice care afectează securitatea site-ului;
• Pluginurile WP pot fi „abandonate” de către programator, adică lăsate învechite pentru o lungă perioadă de timp, făcându-le mai puțin sigure. Pluginurile, precum și motorul, trebuie să fie actualizate în mod regulat pentru a reduce riscul de vulnerabilități;
• Pluginurile WP pot intra în conflict între ele, provocând erori.

Să presupunem că aveți nevoie de un formular de feedback pe site-ul dvs. - în loc să puneți 2-3 plugin-uri sau niște ContactForm 7, puteți crea formularul „manual”.

Desigur, există pluginuri de care pur și simplu nu te poți lipsi – sfatul este să nu le abandonezi complet, ci să alegi doar soluții testate în timp și, dacă este posibil, să te descurci fără ele.

Preveniți partajarea datelor externe

Din păcate, educația angajaților poate fi insuficientă. Partajarea datelor confidențiale ale angajaților în mod public sau cu terți din afara companiei poate fi dezastruoasă. Acest lucru se întâmplă de obicei din neatenție, de exemplu, ei pot folosi butonul „Răspunde tuturor” în loc de „Răspunde” obișnuit. Apoi informațiile sunt trimise la adresele de e-mail greșite sau ceva este dezvăluit public din neatenție.

Nu poți preveni astfel de incidente prin educație pentru că sunt doar erori umane la care suntem supuși cu toții. Software-ul personalizat, de exemplu instrumentele de prevenire a pierderii datelor (DLP), poate ajuta organizațiile să țină evidența datelor sensibile și să se asigure că transmiterea acestora, fie prin e-mail sau prin alte servicii de internet, este restricționată sau blocată complet.

Preveniți amenințarea Shadow IT

Software-ul, aplicațiile sau serviciile web neautorizate de la terți sunt adesea dificil de urmărit de către IT, de unde și termenul „umbră IT”. Motivele pentru prevalența shadow IT-ului sunt destul de simple: angajații folosesc aplicații populare (cum ar fi urmărirea e-mailurilor) din cauza obișnuinței, deoarece își măresc eficiența și reduc volumul de muncă sau sunt mai ușor de utilizat decât alternativele aprobate de companie.

Acest lucru poate deveni destul de problematic, deoarece companiile nu sunt conștiente de cele mai multe ori, creând, în esență, un punct orb în strategiile de securitate cibernetică. O altă amenințare este nivelul scăzut de securitate al acestor servicii terțe, care poate duce la scurgeri de date.

Shadow IT rezultă de obicei din incapacitatea unei companii de a oferi angajaților instrumentele de care au nevoie pentru a-și face treaba. Organizațiile ar trebui să aibă un dialog deschis cu angajații lor pentru a înțelege nevoile lor tehnologice și pentru a face tot ce pot pentru a le satisface. Instrumentele DLP de înaltă calitate pot, de asemenea, ajuta companiile să împiedice angajații să încarce informații sensibile la aceste servicii neautorizate și, prin monitorizarea acestor încercări, să înțeleagă mai bine IT-ul umbră din organizația lor.

Iată o listă de instrumente și servicii DLP de încredere pe care le puteți utiliza pentru a vă proteja datele companiei:

SecureTrust

McAfee

Endpoint Protector

Symantec

Vânturi solare

Punct de control

Trend Micro

Avanan

Zscaler

Utilizați conturi separate pentru angajați

Fără conturi partajate. Fiecare membru al echipei tale are nevoie de propriul cont de utilizator pentru orice. Dacă, desigur, au nevoie de ele. Ideea este că nimeni nu își poate folosi vechile parole odată ce nu mai este în echipă.

Cu alte cuvinte, trebuie să vă asigurați că niciun foști angajați nu vor putea să-și acceseze vechiul cont și să vă fure datele companiei.

Utilizați parole complexe

Am dat deja analogia (trebuie să fie o încuietoare la ușile tale). Dacă parola ta este simplă, nu există încuietoare în acest caz sau, mai exact, intrușii au cheia. Prin urmare, vă recomandăm cu căldură să utilizați parole puternice și, în mod ideal, să le păstrați doar în minte. Nu uitați să vă schimbați periodic parolele peste tot, mai ales dacă site-ul dvs. WP a fost deja spart înainte.

Aceasta se referă la parole complexe pentru accesul la panoul dumneavoastră administrativ, controlul găzduirii, contul personal, baza de date etc. Cu alte cuvinte, parolele dumneavoastră trebuie să fie neapărat complexe.

O parolă complexă are cel puțin 8 caractere, care trebuie să fie cifre, majuscule, litere obișnuite și, desigur, simboluri speciale.

Dacă conduceți un blog WordPress, sau mai degrabă un blog cu mai mulți autori, trebuie să vă ocupați de mai multe persoane care accesează panoul de administrare. Acest lucru vă poate face site-ul mai vulnerabil la amenințările de securitate.

Puteți folosi pluginuri precum Password Protect WordPress (PPWP) dacă doriți să vă asigurați că toate parolele create de utilizatori sunt sigure. Este doar o măsură de precauție, dar este mai bine decât să ai mai mulți utilizatori cu parole slabe.

Amintiți-vă, utilizați întotdeauna parole complexe, atât pentru site, cât și pentru orice altceva în care este necesară o parolă, deoarece o parolă simplă, cum ar fi una formată din 3-4 cifre, poate fi chiar aleasă manual în câteva minute.

Utilizați instrumente de criptare și ștergere de la distanță

Multe politici de protecție a datelor se concentrează pe transferul de date în afara rețelei corporative prin Internet, fără a lua în considerare o altă metodă folosită în mod obișnuit: dispozitivele portabile. Unitățile USB în special au fost mult timp toxice pentru strategiile de protecție a datelor. Sunt ușor de pierdut sau furat, dar atât de ușor de folosit. Cu toate acestea, trebuie să știți că unitățile USB au dus la încălcări grave de date în multe companii.

Cel mai simplu mod de a preveni astfel de încălcări este blocarea simultană a porturilor USB și periferice. Cu toate acestea, utilitatea USB la locul de muncă nu poate fi negata. Pentru companiile, care doresc în continuare să folosească unități USB, există măsuri pe care le pot lua pentru a asigura securitatea. Criptarea este una dintre cele mai bune dintre ele. Toate fișierele transferate pe unitățile USB vor fi criptate, adică combinate cu o politică privind dispozitivele de încredere care permite numai dispozitivelor identificate ca „de încredere” să se conecteze la computerele companiei.

În mediul de lucru din ce în ce mai mobil de astăzi, angajații își scot adesea laptopurile și dispozitivele portabile din birou. Indiferent dacă lucrează de la distanță, vizitează clienți sau participă la evenimente din industrie, dispozitivele de lucru scapă adesea de securitatea rețelelor corporative și devin mai vulnerabile atât la furtul fizic, cât și la interferențe neautorizate.

Criptarea este întotdeauna o soluție bună pentru a proteja împotriva furtului de date. Fie că este vorba de laptopuri, smartphone-uri sau unități USB, criptarea elimină posibilitatea ca oricine le fură să poată accesa datele. Activarea opțiunilor de ștergere de la distanță poate ajuta, de asemenea, organizațiile să șteargă toate datele de pe dispozitivele furate de la distanță.

Atribuiți roluri și permise WP

Asigurați-vă că fiecare dintre angajații dvs. are propriul rol și permisiunile corespunzătoare. Astfel, rețineți că un Administrator va avea control deplin asupra tuturor funcțiilor de pe site-ul și bazele de date, un Editor va putea să posteze și să gestioneze nu numai propriile postări, ci și pe cele ale altor scriitori, iar un Autor va avea doar capacitatea să-și gestioneze propriile publicații.

Așadar, atribuiți cu înțelepciune rolurile WP și amintiți-vă: odată ce angajații dvs. pleacă, nu uitați să le ștergeți toate conturile pentru a bloca accesul.

Restricționați editarea fișierelor

Dacă utilizatorii au acces de administrator la panoul de control WordPress, ei pot edita orice fișiere care fac parte din instalarea dvs. WordPress. Aceasta include, de asemenea, toate pluginurile și temele.

Dacă dezactivați editarea fișierelor, nimeni nu va putea schimba niciunul dintre fișiere – chiar dacă un hacker obține acces de administrator la panoul de control WordPress. Pentru a face acest lucru, adăugați următoarele în fișierul dvs. wp-config.php (la sfârșit):

define('DISALLOW_FILE_EDIT', true);

Păstrați-vă WordPress actualizat

În acest punct am inclus tot ceea ce are legătură cu scripturile site-ului dvs., acestea sunt scripturile WordPress în sine, și șabloanele și pluginurile dvs. (din nou), toate acestea inițial nu ar trebui să conțină scripturi rău intenționate și „găuri”, adică toate ușile trebuie să fie închise. Dacă există o vulnerabilitate în scripturi, un hacker o poate folosi pentru a pătrunde în site-ul dvs. media, adică „intră pe ușă”.

Pentru a închide „ușile” sau cel puțin pentru a face asta la timp, trebuie să vă actualizați constant site-ul WordPress odată ce actualizarea este disponibilă. Acest lucru este valabil și pentru șabloane și pluginuri.

Din nou, scripturile rău intenționate nu ar trebui să existe inițial, așa că descărcați WordPress numai de pe site-ul oficial, nu folosiți șabloane gratuite, acestea pot conține vulnerabilități, unele link-uri umbră și chestii de genul.

Eliminați pluginurile inutile. Dacă nu aveți un plugin în uz, mai întâi dezactivați-l și apoi ștergeți-l (fișierele plugin care tocmai sunt dezactivate rămân încă pe server).

Cu alte cuvinte, ar trebui să aveți o ordine completă în scripturile dvs., adică să aveți doar ceea ce aveți nevoie cu adevărat în versiunile curente. Scripturile dezordonate vor face site-ul dvs. mai accesibil unui hacker sau din interior.

De asemenea, asigurați-vă că utilizați teme WP de calitate, adică actualizate de creatorii lor.

Blocarea site-ului și interzicerea utilizatorilor

O funcție de blocare a site-ului pentru încercările eșuate de conectare poate rezolva o problemă uriașă a încercărilor continue de parole. Ori de câte ori există o încercare de hacking cu parole incorecte repetate, site-ul este blocat și sunteți notificat cu privire la această activitate neautorizată.

Pluginul iThemes Security este unul dintre cele mai bune pluginuri pentru acest lucru. Noi înșine îl folosim de ceva timp. Pluginul are multe de oferit în acest sens. Împreună cu alte peste 30 de măsuri excelente de securitate, puteți specifica un anumit număr de încercări eșuate de conectare înainte ca pluginul să blocheze adresa IP a atacatorului.

Sucuri Security

Sucuri este unul dintre liderii cunoscuți din industria securității cibernetice. În prezent, are peste 400.000 de utilizatori activi, este gratuit și este actualizat în mod regulat.

Sucuri Security nu este un plugin de securitate unic. Se concentrează pe elemente de bază precum scanarea și monitorizarea activităților rău intenționate, dar își face treaba foarte bine. Pluginul vine cu monitorizarea integrității fișierelor pentru a vedea dacă vreunul dintre fișierele de bază este afectat sau dacă există vulnerabilități. Este una dintre cele mai bune soluții pentru site-urile și blogurile WP mici.

Sucuri include, de asemenea, scanarea malware și monitorizarea listei negre. Cea mai bună caracteristică a pluginului, totuși, sunt acțiunile de securitate post-hack, care, practic, vă oferă sfaturi despre ce să faceți dacă site-ul dvs. este spart sau afectat de malware.

Sucuri Pros

• Proiectat de o companie de încredere și actualizat în mod regulat;
• Instrument eficient de scanare a malware care detectează activitatea neobișnuită a site-ului;
• Alertele de securitate și auditul vă vor anunța cu privire la orice comportament neobișnuit pe site;
• Abilitatea de a monitoriza integritatea fișierelor.

Sucuri Cons

• Firewall-ul site-ului este inclus doar în planul premium;
• Interfața pare puțin depășită;
• Nu este potrivit pentru începători.

Sistemul Ekran

Ekran System construiește o platformă de gestionare a amenințărilor din interior, cunoscută pentru sistemul său inteligent de alertă de incident și instrumentele avansate de monitorizare pentru administratorii IT.

Un avantaj cheie al Ekran este versatilitatea sa. Soluțiile furnizorului combină trei instrumente principale de securitate: monitorizarea activității, controlul accesului și identificarea utilizatorilor. Funcționalitatea este furnizată într-o singură platformă software all-in-one care oferă agenți „ușori” pentru toate tipurile de puncte finale.

Monitorizarea și înregistrarea sesiunilor utilizatorilor în Sistemul Ekran se realizează cu un modul avansat de înregistrare a ecranului. Aceste informații sunt, de asemenea, completate cu date despre numele aplicațiilor, adresele URL vizitate, fișierele deschise, comenzile introduse, atingerile de la tastatură, dispozitivele conectate și alte activități ale angajaților.

Ekran System este o platformă unică care va ajuta companiile să aibă încredere în securitatea datelor lor.

Concluzie

Criminalitatea cibernetică câștigă rapid avânt și, din cauza pandemiei în curs, există chiar mai mulți criminali pe web în aceste zile decât în ​​lumea reală. Crimele de card de credit și fraude bancare sunt în creștere, hackerii se răspândesc și trebuie să ne protejăm site-urile cu toate opțiunile pe care le putem folosi.

Deși WordPress are unele vulnerabilități când este instalat implicit, puteți rezolva aproape orice problemă pe care o aveți, inclusiv amenințările de securitate menționate în acest articol. Setând un nume de utilizator unic și o parolă puternică, instalând un plugin de securitate, utilizând un instrument DLP de înaltă calitate și educându-vă angajații, puteți reduce considerabil riscul de scurgeri de date și site-ul dvs. să fie compromis sau infectat cu malware.

Acum, am dori să spunem că pentru a preveni pierderea conținutului important de pe site-ul dvs. media WP, în afară de toate cele de mai sus, nu trebuie să uitați niciodată de backup-urile site-ului. Astfel, dacă site-ul tău este piratat, poți oricând să-i restabiliți rapid funcționarea normală și să analizați motivele hackingului pentru a le elimina și a preveni situații similare pe viitor. Apropo, unele companii de hosting fac backup automat.

Dacă aveți o copie de rezervă a site-ului, puteți restabili oricând site-ul dvs. WordPress la starea de funcționare. Există mai multe plugin-uri care te pot ajuta în acest sens.

Dacă sunteți în căutarea unei soluții premium, vă recomandăm VaultPress de la Automattic (acum alimentat de Jetpack). L-am configurat astfel încât să facă backup în fiecare săptămână. Și dacă se întâmplă ceva rău, putem restabili cu ușurință site-ul cu un singur clic.

Știm că unele site-uri web mari execută copii de siguranță la fiecare oră, dar aceasta este o exagerare completă pentru majoritatea organizațiilor. Ca să nu mai vorbim, va trebui să vă asigurați că majoritatea acestor copii de siguranță sunt eliminate după ce este creată una nouă, deoarece fiecare fișier de rezervă ocupă spațiu pe disc pe unitatea dvs. Cu toate acestea, am recomanda backup-uri săptămânale sau lunare pentru majoritatea organizațiilor.

Pe lângă copiile de rezervă, VaultPress verifică și site-urile web pentru malware și vă alertează dacă apare ceva suspect.