Безопасность сайта: дверь, через которую заходят, почти всегда оставили вы
Сайты малого бизнеса не взламывают адресно: их находят перебором и заходят через то, что оставлено открытым. Необновлённый модуль, чужой плагин из интернета, учётная запись уволившегося сотрудника, пароль, переданный в переписке, доступ подрядчика, который давно не подрядчик. Ни один из этих путей не требует мастерства — только того, чтобы никто не посмотрел. Поэтому работа здесь состоит не из установки защиты, а из ревизии дверей и из копии, из которой сайт действительно поднимается.
- Ревизия доступов: кто может войти в админку, на хостинг и к домену
- Копия лежит не на том же сервере — иначе она не переживёт события
- Порядок действий на случай «уже зашли» написан заранее, а не в ту ночь
-
Зашли
Не человек, а перебор: робот ходит по адресам и пробует известные дыры и простые пароли. Он не знает, что вы продаёте, и ему всё равно. Сайт после этого работает как работал — снаружи не меняется ничего.
-
Пользуются
Ваш сайт начинает делать чужую работу: рассылать письма, держать чужие страницы, показывать посторонние ссылки тем, кто пришёл из поиска. Вы этого не видите: для вас, вошедшего по закладке, сайт выглядит нормально.
-
Узнаёте
От хостера, от браузера, который начал пугать посетителей, или от клиента, который спросил, почему у вас на сайте посторонняя реклама. Это и есть обычный способ узнать — и он самый поздний из возможных.
Между первым и третьим шагом проходит столько времени, сколько нужно, чтобы никто не посмотрел. Смысл этой работы в том, чтобы сократить его до шага один — и чтобы возврат существовал в виде проверенной копии, а не в виде надежды.
Шесть дверей, и пять из них оставляют свои
Список не про изощрённые атаки. Он про то, как сайты малого бизнеса попадают в чужие руки на самом деле: перебором по открытому. Ни одна из шести дверей не требует от нападающего знаний о вашей компании — и ровно поэтому от них защищает не хитрость, а порядок.
Самая частая и самая обидная: дыра, через которую зашли, была опубликована и закрыта обновлением, которое никто не поставил. Публикация — это и есть сигнал для перебора: роботы начинают искать сайты, где обновление ещё не стоит, в тот же день. Про календарь обновлений на Битриксе есть отдельная страница
Бесплатный шаблон, плагин с форума, скрипт «для красивой галереи». Внутри может быть что угодно, и проверить это по внешнему виду нельзя. Ставится за минуту, живёт годами, обновляется никогда. Правило простое: ставим только то, у чего есть автор, который его поддерживает, — и знаем, кто этот автор.
Контент-менеджер ушёл два года назад, его админ на месте и с правами администратора. Пароль от него он, скорее всего, использовал ещё где-то, и однажды этот пароль утечёт вместе с чужим сервисом. Ревизия учётных записей — самая дешёвая работа из всего списка и самая редко выполняемая.
В чате, в почте, в задаче трекера, в сообщении «вот доступы, сохрани». Он остаётся там навсегда, и вместе с перепиской переходит к любому, кто получит доступ к ней, — включая того, кто получит его не от вас. Пароли передаются одноразовыми ссылками и меняются после того, как работа закончена.
Агентство, делавшее сайт четыре года назад, фрилансер, чинивший форму, разработчик, который ушёл в другую компанию. У всех остались ключи, и ни у кого нет причин ими пользоваться — но и защищать их они больше не обязаны. Список тех, у кого есть доступ, должен существовать и пересматриваться.
Единственная дверь из шести, которую не оставляет человек: её оставляет код. Поле, куда можно загрузить любой файл, или форма без ограничения на частоту отправки. Первое превращает сайт в чужое хранилище, второе — в рассылку спама от вашего имени, после чего почта с вашего домена перестаёт доходить до клиентов.
Чего в списке нет: целенаправленной атаки на конкретную компанию. Она бывает, но не с сайтами такого размера и не через эти двери, а обещать защиту от неё за цену абонемента поддержки было бы враньём. Мы закрываем то, что закрывается порядком, и говорим об этом прямо.
Почему владелец узнаёт о взломе последним
Не из-за невнимательности. Так устроен сам взлом: тому, кто зашёл, невыгодно, чтобы вы заметили, и он специально делает так, чтобы для вас всё выглядело нормально.
Работает это на одном простом различении: вы и случайный посетитель приходите на сайт по-разному.
Чужой код умеет узнавать своих и чужих. Он смотрит, откуда человек пришёл, вошёл ли он в админку и какой у него браузер. Владельцу и постоянным сотрудникам показывается обычный сайт — без единого изменения. Постороннему, который пришёл из поиска и впервые, может показаться реклама, переадресация на чужой адрес или лишний блок ссылок внизу страницы. Вы можете открывать свой сайт каждый день и не увидеть ничего.
А вторая половина работы вообще не на страницах. Сайт может исправно работать и одновременно рассылать письма или держать чужие файлы. Первое замечают, когда почта с вашего домена перестаёт доходить до клиентов: почтовые службы начинают считать ваш домен источником спама, и попадать в эту категорию легко, а выбираться долго. Второе — когда хостер присылает письмо о превышении или просто выключает сайт, потому что жалоб стало слишком много.
Отсюда два практических следствия. Первое: собственный взгляд на сайт ничего не доказывает — проверять надо так, как его видит посторонний, и по тому, что происходит вне страниц. Второе, более важное: раз заметить трудно, главной ценностью становится не обнаружение, а возможность вернуться. Копия, снятая до события и проверенная восстановлением, превращает неприятную новость в работу на несколько часов. Её отсутствие превращает ту же новость в вопрос, сколько лет накопленного вы готовы потерять.
Восемь проверок, которые вы сделаете сами и сегодня
Ни одна не требует разработчика и ни одна не стоит денег: половину находок вы закроете своими руками, и так задумано. Ничего никуда не отправляется, отметки остаются в этом браузере.
Вердикт появится после первой отметки. Считается он от числа непройденных пунктов: восемь проверок не описывают безопасность целиком, зато закрывают то, через что заходят чаще всего.
Сходится 0 из 8
Шестой и седьмой пункты стоят рядом намеренно и проверяются вместе: копия в другом месте, из которой ни разу не поднимали сайт, — это папка с файлами, а не копия. Подробный разговор про расписание, глубину хранения и учения — на соседней странице, там это весь предмет работы.
Прислать сайт на разбор безопасности
Пришлите адрес — посмотрим снаружи, что уже видно постороннемуВерсии, сертификат, открытые служебные адреса, то, как сайт выглядит для человека из поиска, и что написано про вас в сниппете. Вернём список находок с приоритетом — половину вы закроете сами. Бесплатно и до договора.
Что мы делаем и в каком порядке
Порядок здесь важен не меньше состава: первые две строки делаются один раз и меняют больше, чем всё остальное вместе. Три из шести строк идут фоном и часов не расходуют — это то, ради чего абонемент вообще существует.
Если внутрь уже зашли: пять шагов, и первый — не чистка
Этот порядок написан заранее именно потому, что в момент события никто не пишет порядков. Самая дорогая ошибка здесь — начать с удаления чужих файлов: так уничтожаются следы того, как вошли, и через неделю всё повторяется.
-
Снимаем копию заражённого состояния
Да, именно заражённого — отдельно от чистых копий и с пометкой. Это единственный источник сведений о том, как вошли и что успели сделать. Без него чистка превращается в угадывание, а через неделю сайт заражается снова через ту же дверь, которую никто не нашёл, потому что стёрли все следы.
-
Закрываем доступ всем, включая себя
Меняются пароли от админки, хостинга, базы, почты и домена; отключаются все ключи доступа; завершаются активные сессии. Если этого не сделать, чистка идёт параллельно с тем, кто внутри, и он просто возвращает свои файлы обратно. Этот шаг делается раньше, чем кто-то пытается понять, что произошло.
-
Находим дверь и только потом чистим
По журналам сервера и по датам изменения файлов ищем, как и когда вошли. Пока дверь не найдена, чистить бессмысленно. Когда найдена — есть выбор: вернуть сайт из чистой копии, снятой до события, или вычищать вручную. Первое почти всегда быстрее и надёжнее, и именно поэтому копия стоит в начале списка работ.
-
Проверяем то, что живёт вне сайта
Домен: не изменились ли настройки и не добавлена ли чужая почта. Репутация домена: доходят ли ваши письма. Поисковые системы и браузеры: не помечен ли сайт как опасный, и если помечен — отправляется запрос на перепроверку. Этот шаг пропускают чаще всего, а он и определяет, вернутся ли к вам люди.
-
Пишем, что произошло, и закрываем дверь навсегда
Короткий разбор: через что вошли, что сделали, что изменено, чтобы это не повторилось. Документ остаётся у вас и годится для разговора с любым подрядчиком. Дальше начинается обычная работа из предыдущего блока — обновления, ревизия доступов, копии, — потому что инцидент это не событие, а следствие того, что этой работы не было.
Сроков восстановления мы не обещаем и здесь. Сколько займёт возврат, зависит от того, есть ли чистая копия и насколько глубоко успели зайти, — а это становится известно на третьем шаге, а не до него. Обещаем реакцию 15 минут в любой день и то, что задачу не выпустим, пока сайт не работает. Круглосуточного дежурства у нас нет: ночная работа — отдельное условие договора, и обсуждается оно заранее, а не в ночь события.
Копия сайта и копия машины — это две разные работы
Слово «бэкап» стоит и здесь, и на соседней странице, и путают их постоянно. Разница простая: здесь копия нужна, чтобы вернуться после чужого визита, а там она сама является предметом работы и строится из двух величин, которые называет заказчик.
| Что сравниваем | Здесь: копия сайта | Рядом: копии машины и учения |
|---|---|---|
| Что копируется | Файлы сайта и его база | Всё, что на сервере: базы, почта, задания, настройки, ключи |
| Зачем | Вернуть сайт в состояние до того, как внутрь зашли | Поднять инфраструктуру заново за известное время |
| Кто задаёт параметры | Мы, исходя из того, как часто меняется содержимое | Вы, двумя величинами: сколько данных не жалко потерять и за сколько надо подняться |
| Как проверяется | Разворачиванием на тестовом адресе при настройке | Учениями по календарю с замером времени подъёма |
| Сколько это места в работе | Одна строка из шести: остальные про двери | Весь предмет страницы целиком |
| Куда идти | Вы уже здесь | Резервное копирование |
Как понять, какая колонка ваша. Если у вас обычный хостинг и один сайт, вам хватает левой: копия сайта настраивается один раз и дальше живёт сама. Если у вас свой сервер или на площадке кроме сайта работает что-то ещё — база для другого приложения, почта, задания по расписанию, внутренние службы, — левая колонка закрывает только часть, и вопрос «за сколько мы поднимемся» останется без ответа. Это разные деньги и разные работы, и мы скажем на разборе, какая ваша.
Сколько стоит
Отдельной услуги «безопасность сайта» с прайсом у нас нет, и это не фигура речи. Половина работы — разовая ревизия, вторая половина — дисциплина внутри абонемента, и обе считаются тем же часом, что и любая поддержка. Пакетов с названиями «базовый» и «расширенный» здесь не бывает: разница между ними была бы только в словах.
Работа с концом: закрыть двери, навести порядок в доступах, настроить копию в другом месте и убедиться, что сайт из неё поднимается. Оценка называется до начала.
- Разбор снаружи — до оценки и без оплаты
- Ревизия доступов и прав, отключение лишних учётных записей
- Хранилище копий оформляется на вас, а не на подрядчика
- Список находок остаётся у вас, даже если работать будем не мы
30 часов в месяц, час внутри 2 000 ₽. Обновления по сроку, наблюдение и проверка копий идут фоном и часов не расходуют.
- Обновления по календарю — то, что закрывает главную дверь из шести
- Наблюдение снаружи и за тем, доходят ли письма с вашего домена
- Реакция 15 минут в любой день, если сайт лёг или на нём появилось постороннее
Про платные «защиты» и сертификаты соответствия. Мы их не продаём и не включаем в счёт. Готовый экран с замком и надписью «сайт защищён» не закрывает ни одну из шести дверей: учётную запись уволившегося он не отключит, необновлённый модуль не обновит и пароль из переписки не сотрёт. Если вам такое предлагают в дополнение к абонементу, спросите, какую именно из шести дверей это закрывает, — вопрос обычно заканчивает разговор.
Четыре случая, когда мы сами скажем не чистить
Чистка заражённого сайта — работа, которую легко продать и трудно проверить: сайт после неё открывается в любом случае. Поэтому мы заранее называем ситуации, в которых потраченные на неё деньги вернутся через неделю тем же счётом.
Из тех же соображений мы не продаём «пожизненную защиту от взлома» и не обещаем, что зайти не смогут. Обещать можно только то, что проверяется: двери закрыты, доступы пересмотрены, обновления идут по сроку, копия лежит в другом месте и из неё поднимали сайт. Всё остальное в этой теме — продажа спокойствия, а не работы.
Эта страница — один из форматов поддержки
Здесь написано только про двери и про возврат. Общее устройство сопровождения — состав абонемента, регламент реакции, отчётность, условия остановки — живёт на странице направления и здесь не пересказывается.
Разница между родительской страницей и этой в одном слове: там всё портится само, здесь — приходят. Пересечение ровно одно, необновлённый движок, и оно разведено: там это старение, здесь — самая широкая из шести дверей. Общий разговор про сопровождение — поддержка сайтов
Когда эта работа вам не нужна
Четыре ситуации, в которых мы отговариваем. Безопасность — самая удобная тема для продажи из всех, что есть у студии: возразить против «а вдруг взломают» невозможно, а проверить пользу нельзя вовсе, потому что отсутствие события ничего не доказывает.
-
Если сайт на конструкторе
Движок там обновляет площадка, копии делает она же, сервера у вас нет вовсе. Из шести дверей остаются две — доступы и пароли в переписке, — и обе закрываются за вечер вашими руками. Платить за это абонемент незачем, и мы скажем это первыми. Что в такой ситуации вообще имеет смысл покупать, разобрано на отдельной странице
-
Если на сайте нечего терять, а восстановить его — полдня
Визитка на три экрана без заявок, без личных кабинетов и без накопленного содержимого. Честный ответ здесь — одна копия в другом месте и нормальные пароли; на этом безопасность такого сайта заканчивается. Всё остальное будет тратой на снижение риска, цена которого меньше стоимости защиты.
-
Если вопрос не про сайт, а про сервер и данные
База, к которой обращается что-то кроме сайта, внутренние службы, почта на своей машине, несколько проектов рядом. Тогда копия сайта закрывает малую часть, а вопрос «за сколько мы поднимемся» остаётся без ответа. Это другая работа, и начинается она с двух цифр, которые называете вы.
-
Если у вас есть требования и проверяющий
Аттестация, отраслевой регламент, проверка на соответствие стандарту, заключение для тендера. Мы этим не занимаемся и документов такого рода не выдаём. Наша работа — эксплуатационная: закрыть двери и уметь вернуться. Если нужен формальный документ, его делают специализированные компании, и мы скажем об этом сразу, а не после договора.
Есть отдельная страница о том, когда наши услуги не нужныБезопасность на ней среди первых: тревога продаётся легче всего, а проверить купленное спокойствие нельзя ничем.
Когда вам это не нужноЧто стоит посмотреть рядом
Первая строка — соседняя работа, с которой эту путают из-за слова «бэкап». Остальные четыре — на случай, если разбор показал, что ваша задача лежит не в дверях.
Безопасность сайта: что стоит знать до заказа
Как понять, что сайт взломали
Самостоятельно и бесплатно проверяется четыре вещи. Первое: откройте сайт в другом браузере, не входя в админку, и придите на него из поиска, а не по закладке — чужой код часто показывает постороннее только тем, кого считает случайным посетителем. Второе: поищите своё название в поиске и прочитайте, что написано в описании под ссылкой: подменённые описания видны там раньше, чем на самих страницах. Третье: отправьте письмо с корпоративного адреса на личный ящик и посмотрите, дошло ли оно и не попало ли в спам. Четвёртое: загляните в панель вебмастера — если она у вас заведена, предупреждения о вредоносном коде появляются там.
Чего эти проверки не покажут: файлов, которые лежат на сервере и не встроены в страницы, и рассылки, которая идёт с вашей площадки, но не через ваш домен. Это видно только изнутри — по журналам сервера и по датам изменения файлов. Если первые четыре проверки прошли, а хостер прислал письмо о превышении нагрузки, дело почти наверняка в этом.
Что делать в первую очередь, если сайт уже заражён
Не удалять чужие файлы. Это самое сильное желание и самая дорогая ошибка: вместе с ними уничтожаются следы того, как вошли, и через неделю всё повторяется через ту же дверь. Правильный первый шаг — снять копию заражённого состояния отдельно от чистых копий, вторым шагом закрыть доступ всем, включая себя: сменить пароли от админки, хостинга, базы, почты и домена, отключить ключи и завершить активные сессии. Только после этого имеет смысл искать вход и решать, возвращать сайт из чистой копии или вычищать вручную.
Отдельно стоит проверить то, что живёт вне сайта. Настройки домена — не добавилось ли туда чужого. Репутацию домена — доходят ли ваши письма до клиентов. Пометки поисковых систем и браузеров — и если сайт помечен как опасный, отправить запрос на перепроверку, потому что сам по себе он не снимется. Этот шаг пропускают чаще всего, а он и решает, вернутся ли к вам люди после того, как сайт уже вычищен.
Помогает ли платная защита и антивирус для сайта
Частично и не от того, о чём думают. Такие инструменты умеют отсекать грубый перебор и находить типовой вредоносный код по известным признакам — это полезно, и иногда мы их ставим. Чего они не умеют — закрывать двери из нашего списка: отключить учётную запись уволившегося, поставить пропущенное обновление, стереть пароль из переписки и забрать доступ у подрядчика, который давно не подрядчик. Пять дверей из шести оставляет человек, а не код, и закрываются они порядком, а не покупкой.
Поэтому мы не продаём «защиту от взлома» как отдельный продукт с прайсом. Работа, которая действительно снижает риск, скучная: ревизия доступов, обновления по календарю, копия в другом месте, проверка того, что из неё поднимается сайт, и написанный заранее порядок действий. У неё нет красивого названия и нет экрана с замком, зато каждый её пункт проверяется — в отличие от обещания, что взломать не смогут.
Сколько стоит и как это считается
Тем же часом, что вся поддержка: 3 000 ₽ вне договора и 2 000 ₽ внутри абонемента, который начинается от 60 000 ₽ в месяц и включает 30 часов в месяц. Разовая часть — ревизия доступов и настройка копий — оценивается до начала работы и имеет конец. Постоянная часть — обновления по сроку, наблюдение и проверка того, что письма доходят, — идёт фоном внутри абонемента и часов не расходует. Разбор снаружи бесплатный, и список находок остаётся у вас независимо от того, будем мы работать или нет.
Что мы не включаем в счёт ни при каких условиях: сертификаты соответствия, заключения для тендеров и аттестацию. Это не наша работа, и делают её специализированные компании. Наша — эксплуатационная: закрыть то, через что заходят, и уметь вернуться. Если вам нужен формальный документ, мы скажем об этом на разборе, а не после подписания договора.
Вопросы про безопасность и копии
Шесть вопросов именно про этот формат. Общее про поддержку — на странице направления, про договор и ответственность — на отдельной странице
Остался вопрос?
Написать в Telegram, отвечаем за 30 минутНет, и никто честно не может. Гарантировать можно только то, что проверяется: лишние учётные записи отключены, права урезаны, обновления идут по календарю, паролей нет в переписке, копия лежит отдельно от сервера и из неё поднимали сайт. Это закрывает то, через что заходят в подавляющем большинстве случаев. Остаётся то, от чего не спасает ни один подрядчик такого размера: дыра, о которой ещё никто не знает, или заражённый компьютер вашего сотрудника, с которого уведут пароль. Именно поэтому вторая половина работы — не защита, а возможность вернуться.
Это типичный случай, а не исключение. Чужой код смотрит, откуда пришёл человек и вошёл ли он в админку, и владельцу показывает обычный сайт. Проверяется за минуту: откройте сайт в другом браузере без входа, придя из поиска, а не по закладке, и посмотрите заодно, что написано в описании под вашей ссылкой в выдаче. Если увидели постороннее — не удаляйте ничего сами: сначала копия заражённого состояния, потом смена всех паролей, и только потом поиск входа. Порядок разобран на этой странице выше, и он важнее скорости.
Как единственная копия — нет, и на это есть три причины. Копия хостера лежит в той же инфраструктуре, что и сайт: она не переживает ситуацию, когда площадка недоступна, закрылась или выключила вас за неоплату. Глубина хранения у неё обычно небольшая, а заражение замечают не в первый день — к моменту обнаружения самые старые копии уже могут быть заражёнными. И третье: её никто никогда не разворачивал, а копия, из которой не поднимали сайт, — это папка с файлами. Как единственная не годится, как дополнительная — вполне: две копии в разных местах лучше одной.
Можно, и именно так чаще всего и делают — после чего сайт заражается снова, обычно быстрее, чем в первый раз: его адрес уже попал в чьи-то списки. Проблема в том, что удаление уничтожает следы, по которым видно, как вошли и что успели сделать. А заходят через дверь, которая от удаления файлов не закрывается: необновлённый модуль, чужую учётную запись, форму без ограничений. Поэтому порядок такой: копия заражённого состояния, закрытие доступов, поиск входа — и только потом возврат сайта, чаще всего из чистой копии, а не ручной чисткой.
В хранилище, оформленном на вашу компанию, а не на нас. Это не формальность: в копии лежит ваша база с клиентами и заказами, и она не должна жить у подрядчика — иначе уход от него означает либо потерю копий, либо неприятный разговор. Мы работаем в вашем хранилище вашими доступами, и наши учётные записи можно отключить одним действием, оставив всё содержимое у себя. Тот же принцип действует на всём сайте: код, домен, доступы и копии остаются у клиента, и на странице направления это описано подробно.
Предметом. Здесь предмет — пути, которыми попадают на сайт, и копия занимает одну строку из шести: она нужна, чтобы вернуться после чужого визита. Там копия и есть вся работа, и строится она из двух величин, которые называете вы: сколько данных вы готовы потерять и за сколько времени должны подняться. Из них выводится расписание, глубина хранения и место, а дальше начинаются учения — регулярные развёртывания с замером времени. Признак простой: если у вас один сайт на обычном хостинге, вам сюда. Если есть свой сервер, а на нём кроме сайта живёт что-то ещё, — туда.
Пришлите адрес — скажем, что видно постороннему
- Посмотрим версии, сертификат и открытые служебные адреса — снаружи и без доступов
- Откроем сайт так, как его видит человек из поиска, и проверим, что написано про вас в выдаче
- Вернём список находок с приоритетом — половину вы закроете сами и без нас
Заявка принята
Посмотрим сайт снаружи и вернём список находок с приоритетом в течение рабочего дня. Если срочно — напишите в Telegram.
Или напишите сразу:
Telegram · отвечаем лично за 30 минут