Для кожного типу онлайн-проєкту безпека є вкрай важливою. Але окрім фінансових витрат, проблеми з безпекою можуть призвести до простою, який порушує роботу вашого проєкту та ставить під загрозу дані клієнтів. Це також може вплинути на продажі/бізнес, а також на імідж вашого бренду й довіру до вебсайту.
На початку роботи варто пам’ятати про різні загрози безпеці для онлайн-бізнесу. Тут ми розглянемо виклики безпеки, з якими можуть зіткнутися користувачі shared hosting, а також способи їх запобігання та усунення.
Безпека shared hosting
Через природу shared hosting і те, як він побудований, існують певні сфери, які можуть стати ціллю. І хоча більшість налаштувань безпеки контролює хостинг-провайдер, користувачі можуть проактивно керувати деякими ризиками безпеки та зменшувати їх. Сфери shared hosting, які найбільше піддаються ризику, належать до таких категорій:
Рівень хостинг-провайдера
Рівень сервера (стосується продукту та спільного сервера)
Контроль користувача (стосується встановленого ПЗ, налаштувань і щоденного використання)
Безпека на рівні хостинг-провайдера
Завжди найкраще вибирати хостинг-провайдера з належними заходами безпеки, щоб зменшити потенційні проблеми з вашим акаунтом, хостинг-послугою та даними.
Ось на що варто звернути увагу:
Високий рівень безпеки облікового запису та конфіденційності даних (багатофакторна автентифікація й захищена платформа).
Пом’якшення DDoS-атак на рівні сервера.
Регулярні резервні копії програмного забезпечення (зі сповіщеннями).
Ще один момент, про який варто пам’ятати: у shared hosting ви не ізольовані. Тож якщо один вебсайт використовує слабкі практики безпеки, наприклад не шифрує чутливі дані, це може становити ризик для інших користувачів. Атака, яка отримує доступ до бази даних одного сайту, може виявити з’єднання або скрипти, що взаємодіють з іншими обліковими записами на сервері.
Існує також ризик поширення шкідливого ПЗ, коли один сайт заражається, а потім воно поширюється на інші сайти на сервері через спільні файли, скрипти або з’єднання з базою даних. Після зараження шкідливим ПЗ кількох сайтів це може призвести до витоку даних або подальшої експлуатації.
Майте на увазі, що постачальники shared hosting можуть за замовчуванням не оновлювати серверне програмне забезпечення та конфігурації одразу після виходу оновлень. Це може створювати вразливості, які потім можуть бути використані. Наприклад, кіберзлочинці часто націлюються на застарілі версії PHP або MySQL.
Це означає, що вам потрібно переконатися, що всі оновлення на сервері встановлюються своєчасно. Також найкраще перевірити, чи підтримують або пропонують хостинг-провайдери таке:
SSL-сертифікати
Брандмауери
Підтримка клієнтів
Під контролем користувача
Програмна інфраструктура shared hosting
Хостинг-провайдери відповідають за безпеку програмної інфраструктури, але користувачам хостингу потрібно керувати безпекою будь-якого додаткового програмного забезпечення та власного коду.
Небезпечні плагіни та теми
Одним із аспектів безпеки є вибір плагінів, інструментів і сервісів. Якщо вони не є легітимними або безпечними, усі користувачі shared hosting на сервері можуть опинитися під загрозою різних атак або зараження шкідливим ПЗ.
Також можливо, що використовується легітимне й офіційне програмне забезпечення, але воно не оновлюється, тому може стати вразливістю безпеки. Це може стосуватися оновлень WordPress, за якими потрібно стежити в електронних листах і сповіщеннях, оскільки вони не завжди застосовуються автоматично.
Коли вам потрібно самостійно застосовувати оновлення, їх легше пропустити. Про це варто пам’ятати під час вибору провайдера.
Дізнатися про оновлення хостингу можна такими способами:
Електронні листи
Сповіщення в панелі керування
Примітки до випусків від постачальників систем керування контентом (CMS)
Форуми
Керування паролями
Якщо керування паролями не здійснюється безпечно, це може відкрити можливість несанкціонованого доступу в середовищі хостингу. Порушення безпеки можуть бути спричинені слабкими або легкими для вгадування паролями, а також спільним використанням облікових даних між різними користувачами.
Атаки грубої сили
Вони передбачають використання шкідливого ПЗ, яке намагається перебрати велику кількість комбінацій паролів, доки не буде отримано доступ. Якщо паролі недостатньо надійні, доступ можна отримати значно легше.
Права доступу до файлів
Помилки в правах доступу до файлів можуть призвести до витоку чутливої інформації, наприклад облікових даних бази даних. Такий тип порушення також може становити ризик для інших користувачів на сервері, а не лише для вебсайту, який став ціллю атаки.
Безпека на рівні сервера
Як уже згадувалося, користувачі ділять ресурси сервера з іншими користувачами Shared Hosting. Якщо такими спільними середовищами не керувати належним чином, вони потенційно можуть створювати різні ризики безпеки, які слід враховувати.
DDoS-атаки
Облікові записи shared hosting вразливі до розподілених атак типу «відмова в обслуговуванні» (DDoS), під час яких онлайн-системи, сервери або мережі перевантажуються запитами на з’єднання (інтернет-трафіком). Такі атаки часто здійснюються мережею ботів (ботнетом) і не дають звичайним користувачам Інтернету доступатися до вебсайту протягом певного періоду часу.
Обмеження ресурсів і його вплив
Коли сусідній хостинг-акаунт зазнає атаки, цей акаунт споживатиме більше ресурсів, тому вони будуть недоступні для інших користувачів. Кінцевий результат — вебсайти працюватимуть повільно або будуть недоступні.
Хостинг-провайдери можуть застосовувати заходи моніторингу, такі як брандмауери та автоматизований моніторинг трафіку, а також реагувати на випадки DDoS, щоб інші користувачі не постраждали, коли атакують сусідній акаунт.
Заходи для запобігання або зменшення наслідків атак на тому самому сервері включають:
Маршрутизатори великої пропускної здатності
Anti-DDoS-системи
Ізоляція акаунтів
Брандмауери
Системи виявлення та запобігання вторгненням (IDPS)
Обмеження трафіку
Навіть за наявності заходів безпеки вебхостинг у спільних середовищах є дещо вразливішим через структуру акаунтів shared hosting.
Безпека спільної IP-адреси
У деяких випадках акаунти shared hosting, які можуть включати кілька планів і вебсайтів, використовують одну й ту саму IP-адресу. Це означає, що якщо ця одна IP-адреса на сервері зазнає кібератаки, це може вплинути на цілий спектр хостинг-планів і вебсайтів — навіть на ті, які не були цільовими.
Витоки даних у shared hosting
У середовищах shared hosting, якщо один вебсайт скомпрометовано, зловмисники потенційно можуть знайти способи отримати доступ до файлів або баз даних інших сайтів на тому самому сервері. Це означає, що сервер із неналежною конфігурацією є більш вразливим до витоків даних, що відкриває несанкціонований доступ до інших облікових записів користувачів.
Певний вебсайт на сервері може перебувати під атакою, наприклад DDoS-атакою, SQL-ін’єкцією або міжсайтовим скриптингом. Спричинене цим порушення роботи ресурсів може полегшити зловмисникам використання інших вразливостей на сервері, що може означати компрометацію даних на кількох сайтах.
Налаштування безпеки shared hosting
Із продуктами shared hosting вам не потрібно керувати безпекою сервера, але ви не зможете налаштовувати її так гнучко, як у варіантах хостингу, що надають root-доступ.
Хостинг-провайдери зазвичай пропонують стандартну конфігурацію безпеки, яка контролює найважливіші функції безпеки, але може не відповідати конкретним потребам деяких користувачів. Якщо вам потрібно гнучкіше налаштовувати параметри безпеки, імовірно, краще вибрати виділений сервер або послугу хостингу Virtual Machine (VPS).
Безпека shared hosting у порівнянні з іншими типами хостингу
Shared hosting у порівнянні з VPS і виділеним хостингом
Із shared hosting ви можете дотримуватися найкращих практик і забезпечити мінімальний рівень ризику. Але якщо у вас вищі вимоги до безпеки, можливо, вам варто вибрати VPS або хостинг на виділеному сервері. Із цими варіантами ви, ймовірно, матимете root-доступ і можливість керувати та налаштовувати параметри безпеки відповідно до своїх уподобань.
Переваги безпеки виділеного хостингу
Додатковою перевагою безпеки, яку пропонує виділений хостинг, є повна ізоляція. Хоча користувачі shared hosting можуть бути вразливими до ризиків, спричинених іншими користувачами на тому самому сервері, користувачі такого хостингу мають цілий сервер лише для себе та повний контроль над власною безпекою. Те саме стосується і власників віртуального приватного сервера, але оскільки ізоляція є віртуальною, користувачі VPS не настільки незалежні, як користувачі виділеного хостингу.
Слід пам’ятати, що додаткові можливості налаштування безпеки та контроль у виділеному й VPS-хостингу також приносять додаткову відповідальність. Якщо користувачі не мають технічних навичок, щоб самостійно налаштовувати параметри безпеки та керувати ними, їм може знадобитися найняти ІТ-фахівця.
10 стратегій для захисту shared hosting
Для користувачів shared hosting існують ризики безпеки, про які варто пам’ятати, але також є найкращі практики, які допомагають мінімізувати ці ризики.
1. Регулярно створюйте резервні копії
Регулярне резервне копіювання файлів вебсайту та баз даних запобігає втраті даних у разі витоку даних або проблеми зі встановленим програмним забезпеченням. Це також дає змогу користувачам швидше повернутися до нормальної роботи, відновивши попередній, незаражений стан вебсайту.
Зазвичай доцільно використовувати службу autobackup, оскільки ручне створення резервних копій легко пропустити або виконувати недостатньо регулярно.
2. Уникайте ненадійних джерел
Завжди будьте особливо пильними під час використання будь-яких плагінів або програмного забезпечення, щоб уникати ненадійних джерел і мінімізувати ризики безпеки.
3. Використовуйте надійні паролі та 2FA/MFA
Важливо використовувати лише надійні, унікальні паролі для вашого хостинг-акаунта, панелей адміністратора CMS і акаунтів FTP/SFTP. Для додаткового рівня безпеки вмикайте двофакторну автентифікацію (2FA) або багатофакторну автентифікацію (MFA) щоразу, коли це можливо.
4. Регулюйте дозволи, ролі користувачів і доступ
Щоб уникнути несанкціонованого доступу, установлюйте відповідні ролі користувачів і дозволи та переконайтеся, що ви безпечно зберігаєте й передаєте облікові дані партнерам.
Доброю практикою є обмеження кількості людей, які мають доступ до вашого хостинг-акаунта та вебсайту. Регулярно перевіряйте журнали доступу й активність акаунта на предмет незвичної або несанкціонованої поведінки.
Не забувайте встановлювати правильні права доступу до файлів і папок, щоб запобігти несанкціонованому доступу. Це включає 644 для файлів і 755 для каталогів. Уникайте 777, що надає повні права на читання/запис/виконання для всіх користувачів — якщо тільки ви не впевнені, що це потрібно.
5. Використовуйте брандмауер вебзастосунків (WAF)
WAF аналізує вхідний трафік вебсайту, виявляючи та відфільтровуючи шкідливі запити до того, як вони досягнуть вебзастосунків. Це допомагає запобігати різним типам атак, таким як SQL-ін’єкції, міжсайтовий скриптинг (XSS) і віддалене включення файлів.
WAF може блокувати відомі шкідливі IP-адреси та джерела спаму або DDoS-атак, не даючи цим запитам впливати на продуктивність вебсайту.
Використовуйте WAF для фільтрації та блокування шкідливого трафіку на ваш сайт. Деякі хостинг-провайдери пропонують WAF як частину своєї послуги, або ви можете використовувати сторонні рішення, такі як Cloudflare або Sucuri.
6. Використовуйте SSL-сертифікати для безпеки вебсайту
Для безпеки вебсайту та захисту даних користувачів SSL-сертифікати є необхідним заходом. Протокол HTTPS захищає зв’язок між вашим вебсайтом і відвідувачами. Багато хостинг-провайдерів, як-от Let’s Encrypt, пропонують безкоштовні SSL-сертифікати для всіх вебсайтів.
7. Регулярно оновлюйте патчі, CMS і плагіни
Завжди регулярно оновлюйте свої платформи систем керування контентом (CMS), плагіни й теми, щоб мінімізувати вразливості безпеки.
Переконайтеся, що ваш хостинг-провайдер підтримує все серверне програмне забезпечення, таке як Apache, PHP і MySQL, у повністю актуальному стані.
8. Скануйте та відстежуйте підозрілу активність
Регулярно відстежуйте ознаки підозрілої активності, щоб виявляти загрози безпеці. cPanel Virus Scanner входить до планів Spaceship Shared Hosting. Також існують безкоштовні сервіси моніторингу, як-от ImunifyAV, і безкоштовні онлайн-сканери, наприклад Sucuri.
Інструменти сканування на шкідливе ПЗ виявляють і видаляють шкідливе ПЗ з вебсайтів, і багато хостинг-провайдерів пропонують вбудоване сканування на шкідливе ПЗ. Ви також можете легко встановити плагіни безпеки для популярних CMS-платформ, таких як WordPress.
9. Використовуйте захищений протокол передавання файлів (SFTP)
Використовуйте SFTP для вашого протоколу передавання файлів (FTP), щоб зробити передавання файлів вебсайту безпечнішим. Тоді як FTP передає дані (включно з паролями) відкритим текстом, SFTP шифрує передавання даних. Ще однією безпечною альтернативою FTP є file transfer protocol secure (FTPS).
10. Надійна ізоляція акаунтів
Найкраще вибирати хостинг-провайдера з надійною ізоляцією акаунтів користувачів, наприклад CageFS від CloudLinux, щоб ізолювати середовище кожного користувача й не допустити впливу одних акаунтів на інші.
Додаткові міркування щодо безпеки
Завжди перевіряйте, що ваш хостинг-провайдер дотримується розумних політик і стандартів безпеки та має такі технології, як CloudLinux і cageFS. Пам’ятайте, що базові принципи безпеки починаються з користувача, тож переконайтеся, що ви впроваджуєте надійні заходи безпеки, як-от автоматичне резервне копіювання, SSL-шифрування та автоматичне встановлення патчів і оновлення серверного програмного забезпечення.
Продукти безпеки, які ви можете розглянути для придбання, включають:
Інструменти автоматичного сканування та очищення для виявлення шкідливого ПЗ
Захищений доступ до зашифрованого термінала Secure Shell (SSH)
Захист від атак великого обсягу
WAF
Захист від DDoS
CDN (для зменшення впливу DDoS-атак)
Залишайтеся в безпеці та під захистом
Як для окремих осіб, так і для компаній будь-якого розміру, кібербезпека завжди має бути одним із головних пріоритетів. Для клієнтів shared hosting є кілька аспектів безпеки, про які варто пам’ятати, але, ухвалюючи правильні рішення та дотримуючись найкращих практик, ви можете тримати ризики під контролем.
Рекомендовані статті
Поділіться своїми думками