Veebipoe turvalisus jääb tavaliselt tähelepanuta seni, kuni midagi juhtub. Erinevalt tavalisest kodulehest hoiab e-pood aga kliendiandmeid, tellimusi ja maksete infot, mistõttu on iga tõrge korraga nii tehniline, rahaline kui ka juriidiline probleem. Hea uudis on see, et suurem osa rünnakutest ei ole sihitud ega keerukad, vaid automaatsed, ning nende vastu aitavad üsna lihtsad meetmed.

Miks veebipoe turvalisus on rohkem kui tehniline detail

Kui e-pood satub rünnaku alla, ei ole kaotus ainult paar tundi seisuaega. Google märgistab nakatunud lehe hoiatusega ja külastaja näeb punast ekraani veel nädalaid pärast probleemi lahendamist. Kliendiandmete lekke korral lisandub teavitamiskohustus ja usalduse taastamine võtab kordades kauem kui tehniline parandus.

Just seetõttu tasub turvalisusesse suhtuda kui müügikanali kindlustusse. Kulu on väike ja püsiv, alternatiiv on ühekordne ja ettearvamatult suur.

Kust rünnakud päriselt sisse tulevad

Vananenud laiendused. Enamik WooCommerce'i poode kasutab kümneid lisamooduleid. Kui mõne moodulis avastatakse haavatavus, hakkavad automaatsed robotid seda tundide jooksul üle interneti otsima. Nad ei tea sinu poe nimegi, nad lihtsalt katsetavad kõiki.

Nõrgad ja jagatud paroolid. Administraatori konto ühise parooliga, mida teab viis inimest, on endiselt kõige levinum sisenemistee. Sama parool mõnes mujal lekkinud teenuses teeb töö ründaja eest ära.

Liiga laiad õigused. Sisuhalduril ei ole vaja administraatori õigusi ja endise töötaja konto ei peaks aasta hiljem ikka veel aktiivne olema.

Serveri ja PHP vana versioon. Toe kaotanud PHP versioon ei saa enam turvapaikasid. Pood võib töötada laitmatult ja olla samal ajal täiesti kaitseta.

Viis sammu, mis katavad suurema osa riskist

  • Lülita sisse kaheastmeline autentimine kõigile kontodele, millel on ligipääs poe halduspaneelile.
  • Vaata kord kvartalis üle kasutajad ja nende õigused ning eemalda kontod, mida enam ei kasutata.
  • Hoia platvorm, laiendused ja PHP ajakohasena, kuid paigalda uuendused kõigepealt testkeskkonnas.
  • Lisa poe ette tulemüür ja sisselogimiskatsete piirang, mis blokeerib automaatsed paroolirünnakud.
  • Hoia varukoopiaid väljaspool sama serverit ja proovi taastamist päriselt, mitte ainult paberil.

Eraldi tasub üle vaadata maksete ja kliendiandmete pool. Makseandmed ise ei tohiks üldse poe andmebaasi jõuda, selle eest vastutab makseteenuse pakkuja. Küll aga kogunevad sinna nimed, aadressid ja telefoninumbrid, mille säilitamise aeg ja ligipääs peaksid olema teadlikult otsustatud, mitte juhuslikud.

Märgid, et midagi on juba valesti

Rünnak ei tähenda enamasti seda, et pood lakkab töötamast. Vastupidi, ründajale on kasulik, kui kõik näib väljastpoolt tavaline. Seetõttu tasub jälgida märke, mis ei pruugi esmapilgul turvaprobleemile viidata.

  • Google Search Console saadab teate turvaprobleemi või uute tundmatute lehtede kohta.
  • Otsingutulemustes ilmuvad sinu domeeni all võõrkeelsed tootelehed, mida sa pole kunagi loonud.
  • Halduspaneelis on kasutaja, keda keegi meeskonnast lisanud ei ole.
  • Kliendid kirjutavad, et brauser hoiatab poodi külastades ohtliku sisu eest.
  • Serveris on failid, mille muutmise kuupäev ei klapi ühegi tehtud tööga.

Üks selline märk võib olla ka juhus. Kaks korraga tähendab peaaegu alati, et pood vajab kohe põhjalikku kontrolli.

Kui pood on juba rünnatud

Esimene reaktsioon on tavaliselt kustutada kahtlane fail ja loota, et sellega on asi lahendatud. Praktikas jätab ründaja enda järel mitu tagaust ja pood nakatub paari päevaga uuesti.

Toimiv järjekord on teistsugune. Võta pood ajutiselt maha või lülita sisse hoolduslehekülg. Tee praegusest olukorrast koopia, sest seda on hiljem vaja analüüsiks. Vaheta kõik paroolid, sealhulgas andmebaasi ja FTP omad. Taasta pood puhtast varukoopiast, mis on tehtud enne rünnakut, ja alles seejärel uuenda kõik laiendused. Lõpuks kontrolli üle kasutajate nimekiri, sest tihti on sinna lisatud uus administraator.

Kui kahtlust jääb, tasub kaasata keegi, kes seda iga päev teeb. Meie kodulehe ja e-poe hooldusteenus sisaldab nii uuendusi, monitooringut kui ka turvaintsidentide lahendamist.

Kokkuvõte

Veebipoe turvalisus ei nõua suurt eelarvet, vaid regulaarsust. Kaheastmeline autentimine, korras kasutajaõigused, õigel ajal tehtud uuendused ja testitud varukoopia katavad ära valdava enamiku päriselt esinevatest riskidest. Ülejäänu on juba spetsiifiline töö, mida saab teha siis, kui vundament on paigas.

Kui sa ei tea täpselt, millises seisus sinu poe turvalisus praegu on, siis võta meiega ühendust. Vaatame poe üle ja ütleme ausalt, mis vajab kohe tähelepanu ja mis võib oodata.