Site-ul tău este actualizat, parolele sunt lungi, modulele sunt puține și bine alese. Într-o dimineață însă nu se deschide: Google îl semnalează ca periculos, iar în fișiere există cod pe care nu l-ai scris tu.
Nu ai greșit cu nimic. A intrat pe altundeva.
Ce este contaminarea încrucișată
Pe o găzduire partajată site-ul tău nu este singur pe mașină. Alături stau altele, ale unor firme pe care nu le cunoști, administrate după criterii pe care nu le controlezi.
Contaminarea încrucișată este ceea ce se întâmplă când cine a intrat în unul dintre acele site-uri reușește să treacă și în celelalte. Punctul de intrare este cel mai neglijat dintre toate — un modul rămas la o versiune de acum trei ani, o temă descărcată de pe un site oarecare, o parolă refolosită — dar de acolo paguba se întinde la cine nu are nicio legătură.
Acesta este motivul pentru care „site-ul meu e mic, cine să mă atace pe mine" este întrebarea greșită. Nu e nevoie să te țintească cineva pe tine: e de ajuns să țintească serverul pe care te afli, iar roboții care scanează internetul nu își aleg victimele, le găsesc.
Cum se deplasează, în practică
Ca o infecție să treacă de la un site la altul trebuie ca cele două să împartă ceva ce n-ar trebui.
Același utilizator de sistem. Dacă procesele mai multor site-uri rulează sub aceeași identitate, cine controlează procesul unuia poate citi și scrie fișierele celuilalt. Este calea cea mai directă.
Permisiuni lăsate prea largi. Foldere lăsate scriibile de oricine în timpul unei instalări făcute în grabă și niciodată închise la loc. Se întâmplă mai des decât s-ar crede.
Folderul temporar comun. Un spațiu în care toți pot scrie devine un loc comod unde să depui un fișier și să îl faci executat din alt context.
Un cont de bază de date cu prea multe drepturi. Un utilizator care poate citi și tabelele care nu îi trebuie transformă o breșă dintr-un site într-o scurgere de date a multora.
Puntea umană. Deseori nu este nici măcar serverul: este calculatorul agenției. Credențiale FTP salvate într-un program infectat predau dintr-o singură mișcare cheile a treizeci de site-uri diferite, care pot sta chiar la furnizori diferiți.
Semnele, înainte să devină evident
Rareori primești o avertizare. Se observă mai degrabă:
- fișiere noi cu nume fără sens în folderele de sistem, cu date de modificare care nu corespund niciunei intervenții de-a ta;
- site-ul care încetinește fără ca traficul să fi crescut;
- e-mailuri trimise pe care nu le-ai trimis tu, iar domeniul ajunge pe o listă neagră;
- rezultate în căutare care arată, sub numele tău, pagini care nu există pe site-ul tău;
- un comportament diferit pentru vizitatorii care vin din Google față de momentul în care îl deschizi tu, care este modul în care infecția rămâne invizibilă pentru proprietar.
Dacă apare fie și unul singur dintre acestea, timpul contează: cu cât rămâne mai mult, cu atât recuperarea devine mai adâncă.
Cum este construită infrastructura ICBS
Apărarea adevărată nu este să observi devreme: este să faci imposibil saltul de la un site la altul.
Izolarea resurselor. Folosim containere Linux, cu KVM și LXD pentru a le orchestra, izolând complet nu doar fiecare cont de găzduire de pe serverele noastre, ci și fiecare instanță. Este separarea care elimină din rădăcină primele patru căi descrise mai sus: dacă granițele sunt reale, nu există un „alături" în care să te muți.
Reguli aplicate înaintea corecției. Între momentul în care o vulnerabilitate devine publică și cel în care apare actualizarea trec zile, iar acelea sunt zilele în care atacurile automate își ating ținta. Când o vulnerabilitate nu este încă corectată prin actualizări, aplicăm imediat o regulă în WAF care blochează oricum amenințarea.
Verificări și restaurare. Scanarea vulnerabilităților modulelor, monitorizare continuă, eliminarea programelor dăunătoare și un backup complet zilnic. Pentru că întrebarea serioasă nu este doar „mi se va întâmpla?", ci „în cât timp revin la normal?".
Întrebările de pus oricui îți găzduiește site-ul
Este valabil pentru noi ca pentru oricine altcineva. Înainte să alegi, sau la următoarea reînnoire, întreabă:
- Site-urile de pe serverele voastre sunt izolate între ele? Cum, concret?
- Dacă un site de lângă al meu este compromis, ce împiedică ajungerea la al meu?
- Cât de des se face backupul, cât timp îl păstrați și în cât timp restaurați?
- Ce se întâmplă între descoperirea unei vulnerabilități și apariția corecției?
- Dacă site-ul meu este infectat, curățarea o faceți voi sau este problema mea?
Un răspuns vag la prima întrebare este deja un răspuns.
Și un lucru rămâne al tău oricare ar fi găzduirea: să ții la zi CMS-ul, temele și modulele, să le scoți pe cele pe care nu le folosești și să nu lași credențiale FTP salvate pe un calculator pe care nu îl controlezi. Izolarea te apără de vecin. De ușa lăsată deschisă în propria casă, nu.
