Web sitesi nasıl hackleniyor?
WordPress sitesinin sahibi olarak, güvenliğin operasyonunuzu korumada büyük bir rol oynadığını zaten biliyorsunuz. Ama web sitesi tam olarak nasıl saldırıya uğradı? Bilgisayar korsanları tarafından gerçekleştirilen ve WordPress sitelerinin saldırılarıyla kaldırılmasında genellikle başarılı olan süreç nedir? Web son yıllarda hızla gelişmiş olsa da, web sitesinin kötü aktörler tarafından saldırıya uğradığı şekilde çok fazla değişmedi. Ve sitenizin ve ziyaretçilerinizin güvenliğini korumak için yapmanız gereken en önemli şey, bu değişmeyen inancın ne olduğunu tam olarak anlamaktır, böylece onlardan daha ileri bir adım kalabilirsiniz.
Bu kapsamlı kılavuzda, web sitesinin tam olarak nasıl saldırıya uğradığını, sitenizin hangi işaretlerinin saldırıya uğradığını ve daha fazlasını göstereceğiz. Haydi bakalım.
Bu kılavuzda
Hacklenen web sitesinin büyük ölçekli
Web sitesi nasıl hackleniyor? 3 ana yol
Web sitesi ortamının birçok etkinliği var
1. Erişim Kontrolü
2. Yazılım güvenlik açığı
3. Üçüncü tarafın hizmetleri ve entegrasyonu
Web sitenizi hacklemeden koruyun
WordPress’i güvence altına almak ve korumak için en iyi WordPress güvenlik eklentisi
1,2 milyardan fazla (b ile) hacklenen büyük ölçekli web siteleri, web sitesi artık World Wide Web’in mevcut sürümünden oluşmaktadır. Ve Web Sitesini 3 saniye yüklemek için ortalama bir süre alırsanız, dinlenmek için ikinci kez almadan mevcut sitelerin her birini ziyaret etmek için 160 yıldan fazla ihtiyacınız olacaktır.
Herhangi bir bireysel kuruluş tarafından güvenli bir şekilde izlenmesi tamamen imkansız olan çok büyük bir web sitesidir. Güvenli Keşif gibi hizmetler Google, kullanıcılarını güvenli olmayabilecek siteler hakkında uyarmaya çalışır. Şu anda, her gün kullanıcılara 3 milyondan fazla uyarı veriyor. Ithemes Security Pro gibi WordPress güvenlik eklentileri tarafından taranan sitelerde, tüm sitelerin% 1-2’si mevcut hackleme çabasını gösteren en az bir uzlaşma göstergesi (IOC) vardır. Yüzde ilk başta sizin için oldukça küçük görünse bile, aslında değil. Bu yüzdeyi alırsanız ve dünyadaki tüm web sitelerine bölerseniz, bu şu anda yaklaşık 12 milyon sitenin saldırgan tarafından enfekte olduğunu veya hacklendiğini gösterir. Ve bu yaklaşık Los Angeles ve NYC nüfusunun miktarıdır. Ve herhangi bir hacklemenin genel etkisi işinizi yok edecektir. Ama iyi haberler var. Dışarıda tehlikeli ve sürekli büyük bir tehdit olmasına rağmen, bizim hakkımızdaki farkındalığımız, doğru araçların kullanımı ile birleştiğimizde, sitemizin saldırılardan korunmasını sağlamaya yardımcı olacaktır. Web sitesi nasıl hackleniyor? İnternetin son otuz yılı boyunca 3 ana yol, hacklemenin neredeyse her zaman üç farklı kategoride gerçekleştiğini görüyoruz:
Giriş kontrolu
Yazılım güvenlik açığı
Üçüncü taraf entegrasyonu
Gerçek şu ki, Fortune 500’ünüz veya yerel ayakkabı mağazanız için bir site çalıştırmanız önemli değil, uzmanlıklarına yaklaşmanın hacker yolu neredeyse aynı görünecek.
Ancak farklı olan, her işletmenin en başından itibaren bireysel olarak nasıl kullanılmasına izin verdiğidir. Büyük kuruluşlar genellikle “Güvenliği işleyen başka biri olduğunu düşünüyoruz” demek için nedenleri kullanır. Bu tür sis ve yanlış iletişim, büyük ve karmaşık kuruluşlarda yaygındır.
Küçük işletmeler genellikle herhangi bir hacker tarafından hedeflenemeyecek kadar küçük olduklarına inanırlar. Genellikle bilgisayar korsanlarının ona dokunmayacağına dair yanlış varsayım altındadır. Bu, en küçük web sitesinden ne kadar kişisel bilgilerin alınabileceğini unutmayı kolaylaştırır.
Her iki durumda da, bilgisayar korsanlarının, güvenlik konusunda pek çok uyanık olmadığı alanlarda hedeflerini yerine getirmek için teşvikleri ve araçları vardır.
Web sitesi ortamı, her bir hack türünün özelliklerini girmeden önce birçok etkinliğe sahiptir, her şeyden önce, gerçek web’in nasıl çalıştığı hakkında çok önemli bir temel oluşturalım. Her web sitesi, birbirine bağlı ve işbirliği yapan bir dizi sisteme bağlıdır. Çeşitli sunucularınızı barındıran ve bunları internete bağlayan DNS (etki alanı adı sunucusu), web sunucuları ve altyapı gibi bileşenler vardır. Kulağa nispeten basit görünse de, altta yatan ekosistem oldukça karmaşıktır. Özel servis sağlayıcıları tarafından pek çok ayrı bileşen sağlanmaktadır. Bir servis sağlayıcıdan bir dizi farklı hizmet alsanız bile, denklemin tek başına işlev gören birçok benzersiz parçası vardır.
Web sitenizi modern bir tüketici aracı gibi düşünün. Dışarıda, sağlam ve ince görünüyor, ancak altında her şeyi çalıştıran birçok hareketli parça var. Bu kılavuzun amacı için, sitenizin nasıl çalıştığı ile ilgili tüm ayrıntıları anlamanıza gerek yoktur. Ancak, bu ayrı bileşenlerin her birinin bir bütün olarak WordPress sitenizin güvenliğini etkileyeceğini bilmek önemlidir. Ve her biri sitenizin nasıl saldırıya uğradığına katkıda bulunma potansiyeline sahiptir. Bonus İçerik Alın: WordPress Güvenlik Kılavuzu
1. Bu erişim kontrolü, özellikle yetkilendirme ve kimlik doğrulama sürecinden bahseder. Basitçe söylemek gerekirse, erişim kontrolü WordPress sitenize nasıl girdiğinizdir.
Ve bu, web sitenizin yönetici paneline girme şeklinizden daha fazlasıdır. Belirttiğimiz gibi, sitenizin ekranının arkasında birlikte çalışan birçok farklı giriş var. Erişim kontrolünü düşünürken, dikkate almanız gereken altı özel alan vardır. Nasılsınız:
Ana Panelinizi Girin?
Sunucuya girin (SSH, SFTP, FTP)?
Web Sitenize Girilsin mi?
Kişisel bilgisayarınızı girin mi?
Sosyal medya platformuna girilsin mi?
Bu değişkenlerin her biri için kullanıcı adınızı ve şifrenizi kaydedin mi?
Erişim kontrolünü göz ardı etmek çok kolay. Ancak, her bir erişim noktası, bilgisayar korsanına tüm ekosistemlerinize erişim sağlayabilir.
Bir hacker ayrıca güvenli olmayan bir giriş noktasına erişmek için bir dizi farklı taktik kullanacaktır. Her bir potansiyel girişi kontrol eden, ardından ev kodunuzun veya anahtarınızın gizlice (veya aldatan) kopyasını kontrol eden bir ev hırsızı gibi düşünün.
Kaba kuvvet saldırıları en kolay olanıdır ve en etkili yol olabilir. Brute Force saldırıları ile bilgisayar korsanları, güvenilir site kullanıcıları olarak girmek için kullanıcı adları ve potansiyel şifrelerin kombinasyonunu tahmin etmeye çalışır. Sosyal mühendislik saldırıları giderek daha popülerdir. Hacker, kullanıcıları kimlik ve şifre kombinasyonlarını gönüllü olarak girmek için kandırmak için tasarlanmış bir kimlik avı sayfası yaptı.
Siteler Arası Komut Dosyası (XSS) ve Siteler Arası İstek Arıtma (CSRF)
Ortadaki adam (MITM) saldırıları da kullanılır. Bununla birlikte, kullanıcılar tamamen güvenli olmayan ağlarda çalıştığında kullanıcı adı ve kullanıcı şifresi kolayca dokunulur.
KeyLogger’lar ve kullanıcıyı izleyen ek kötü amaçlı yazılımlar girişi izler, ardından kullanıcıyı enfekte eden hacker’a geri bildirir.
Ancak, ne tür bir saldırı gerçekleştirilirse, bilgisayar korsanının amacı her zaman aynıdır: güvenilir bir giriş yoluyla sitenize doğrudan erişim sağlayın.
Saldırı stilinin yanı sıra amaç aynıdır: Giriş ile doğrudan erişim alın. Ithemes güvenlik eklentisi, kullanıcı güvenliğiniz için daha fazla koruma ekler. Sitenizin güvenliği, güçlü bir şifre ile güvenli bir girişi olan kullanıcınıza bağlıdır. Bu nedenle Ithemes güvenlik, iki faktör kimlik doğrulaması, oturum korsanlığı koruması olan güvenilir cihazlar, kullanıcı kimliğini doğrulamak için şifre olmadan giriş ve şifre korumasını geçme dahil olmak üzere kullanıcılar için çeşitli güvenlik katmanları sunar. Hatta kullanıcınızın güvenliğinin en önemli unsurlarını hızlı bir şekilde denetlemek ve değiştirmek için kullanıcı güvenlik kontrolleri yapabilirsiniz. ITHemes güvenliği tarafından eklenen bir sonraki güvenlik katmanı, web sitenizin en sık saldırıya uğramış olan WordPress giriş ekranı için korunmadır. Ithemes Security, web sitenize yapılan geçersiz giriş çabalarını denetlemek için iki tür kaba kuvvet koruması sunar. Kullanıcı veya bot üst üste çok fazla geçersiz giriş çabası yarattıktan sonra kilitlenecek ve belirli bir süre tekrar denemeleri engellenecektir.
2. Yazılım Güvenlik Açığı Aslında, çoğu WordPress web sitesi sahipleri, yazılım geliştiricileri tarafından önerilen bir yama olmadan mevcut yazılımdaki güvenlik açığının üstesinden gelemez. Sorun, birçok geliştiricinin sitenize yazdıkları kodun getirdiği tehditleri dikkate almamasıdır. Söz konusu UX’i (kullanıcı deneyimi) etkilemeyen küçük bir hata, yazılımın yapılması amaçlanmayan şeyleri yapmasını sağlamak için kullanılabilir. Ve en deneyimli bilgisayar korsanları hatayı potansiyel bir güvenlik açığı olarak görüyor. Yaptıkları en yaygın yollardan biri, bir dizi farklı saldırı başlatmak için yanlış posta başlığını veya yanlış tekdüze kaynak bulucu (URL) kullanmaktır. Bu şunları içerir: Hedeflenen site ve sistemden toplam uzaktan devralınmaya izin veren Uzun Mesafe Kodunun (RCE) yürütülmesi
Sisteme tehlikeli dosyaları yüklemek için alandaki kullanıcılar tarafından sağlanan girişi kullanan uzak / yerel dosya dahil etme (R / LFI)
Metin girişi metnini sunucuya saldırı sırasını gönderen tehlikeli bir kodla manipüle eden SQL enjeksiyonu (SQLI)
Varlık kontrolüne benzer bir şekilde, yazılımdaki güvenlik açığı web sitesinin kapsamının ötesine geçer. Bu güvenlik açığı, web sitesi tarafından güvenilen her birbirine bağlı teknolojide bulunabilir ve kullanılabilir. Ve sitelerin çoğu şu anda eklentiler ve WordPress temaları gibi üçüncü taraf uzantısının bir karışımı kullanıyor ve bunların hepsi hack müdahalesinin potansiyel noktaları. Savunmasız WordPress Core eklentileri, temalar ve sürümler web sitenizin en büyük güvenlik riski olduğundan, ItHemes güvenlik web sitenizi taramaya başlar. Ithemes güvenlik sitesi taramasıyla, sitenizdeki eklenti, tema veya çekirdek WordPress sürümünün savunmasız olduğunu ve güncellenmesi gerektiğini öğreneceksiniz. Ve daha da iyisi … sizin için otomatik olarak bir güncelleme çalıştıracaktır. Site taraması mevcut en kapsamlı güvenlik açığı veritabanı tarafından desteklenir, bu nedenle her zaman en son korumaya sahip olacaksınız. Site Scan, site bloğu listenizin durumunu ve bilinen kötü amaçlı yazılım veya şüpheli dosyalar için Google Güvenli Göz atma ile de entegre edilmiştir. Sitenizi korumak için Ithemes Güvenlik Sitesinin taranması üzerine aşağıdaki çalışma: Web sitenizin güvenlik açığını günde iki kez tarayın – WordPress’in eklentisi, temaları ve temel sürümleri web sitenizin en son güvenlik açığı için WPSCAN güvenlik açığı veritabanına karşı kontrol edilir.
Otomatik Güncellemeler Güvenlik iyileştirmeleri mevcutsa – sürüm yönetimi ile eşleştirilmiş ItHemes güvenliği, bir güvenlik açığı varsa WordPress’in eklentisini, temasını veya temel sürümünü otomatik olarak günceller.
Site taraması güvenlik açığı algılarsa e -postanızı size gönderin – Siteniz eklentinin, temanın veya Core WordPress’in savunmasız bir sürümünü çalıştırıyorsa bir e -posta raporu alabilirsiniz. Tarama sonuçlarını alan e -posta adresini ayarlayın. En son üçüncü taraf hizmeti ve entegrasyonu, üçüncü tarafların hizmetleri ve entegrasyonu yoluyla ortaya çıkan sömürü vardır. Çoğu zaman, bu, kötü niyetli saldırılara yol açan reklam ağları aracılığıyla reklam biçimini alacaktır. Bu hack, CDN (CDN Network) gibi değişkenler de dahil olmak üzere siteniz ve barındırma ile kullandığınız hizmetleri içerecektir. Entegrasyon ve üçüncü taraf hizmetleri, site yönetimi deneyiminizin çeşitli bölümleri arasında yeterli bağlantı sağlar. Aslında, insanların WordPress, Drupal ve Joomla gibi genişletilebilen içerik yönetimi sistemi seçeneklerini sevdikleri bir şeydir. Ancak bağlantı ayrıca bilgisayar korsanlarının sömürülmesi için puan verir. En büyük sorunlardan biri, bilgisayar korsanlarının bu hizmeti ve entegrasyonu web sitesi sahibinin bunu kontrol etme yeteneğinin ötesinde nasıl kullandıklarıdır. Bir site üreticisi veya yöneticisi olarak, entegrasyonlarından birini kullanmayı seçtiğinizde üçüncü taraf sağlayıcılarına çok fazla güven duydunuz. Ve elbette, birçoğu entegrasyonlarını güvence altına almak için gayretlidir. Ancak diğer şeyler gibi, doğal riskler de vardır. Ve bu her zaman bilgisayar korsanları tarafından kabul edilen bir şeydir. Güvenliğin üçüncü taraf erişimi korumak için çalışmasının bir yolu, XML-RPC ve
Ateş dinle. Bu güncelleme, bir restoran isteği için kullanıcı adı kimlik doğrulama/şifre kullanmayı mümkün kılar, böylece yangın dinlenmesini (önerilerimize göre) kilitleyebilirken, bağlanmak için yangın dinlenmesi kullanan harici bir cihaza izin verir. Web sitenizi WordPress sitesinin güvenliğinden korumak önemlidir. WordPress sitesinin güvenliğinin büyük kısmı eğitim ve farkındalıktır. Ve sadece bu kılavuzu okumak, sitenizi güvence altına almak için sizi daha iyi bir konuma getirmiştir. Gelecekte, atmanız gereken özel adımlar var. Ve bu, bunu başarmanıza yardımcı olmak için hedefimiz. Ne yazık ki, ancak bir şey yanlış olduktan sonra, birçok web sitesi sahibi nihayet güvenlik konusunda ciddiydi. Bunun yerine, neden acıyı aşmıyorsunuz ve sizi ondan uzak tutmak için bu adımları yapmıyorsunuz: Savunma ilkesini derinlemesine kullanın. Bu, soğan gibi bir güvenlik tabakası oluşturulmayı içerir. Her egzersiz, bilgisayar korsanlarının ekosisteminize girmesini zorlaştırır.
En az ayrıcalıklı olan en iyi uygulamadan yararlanın. Her site kullanıcı girişi tarafından izin verilenleri sınırladığınızdan emin olun.
Mümkün olan her yerde iki faktör kimlik doğrulaması ve çok faktörlü kimlik doğrulama oluşturun. Bu daha sonra belirli kullanıcıların erişim noktasını güvence altına alacaktır.
Web sitesi güvenlik duvarlarını kullanın. Bu, bilgisayar korsanlarının yazılımdaki güvenlik açığını nasıl kullanmaya çalıştıklarını sınırlamak için çok iyi çalışacaktır.
Düzenli rezervler planlayın. Buna çözüm olarak backupbuddy wordpress backupbuddy rezerv eklentilerini indirin ve yükleyin. Bu şekilde, siteniz saldırıya uğradıysa, birkaç tıklamayla kurtarabilirsiniz.
Ana arama motorundan perspektif alın. Bing Web Yöneticisi Bing ve Google Search Console, sitenizin güvenliğini nasıl gördükleri hakkında yararlı raporlar sunuyor. WordPress sitesinin sahibi olarak bu güvenlik tabanını kapsamanın en iyi yolu Ithemes Security Pro eklentisini kullanmaktır. O zaman herhangi bir zamanda% 100 güvenli kalmanın çok kolay bir yolu olmadığını anlayın. Web siteniz ortamında kullandığınız araçlar genel riskinizi önemli ölçüde azaltacaktır. Ancak güvenlik tek bir eylem veya olay değildir. Bu bir dizi eylem. Ve her şey, sitenizi güvence altına almanın en iyi yolunda size yardımcı olacak Ithemes Security Pro gibi harika araçlarla başlar. Artık ne yapacağınızı ve ne aradığınızı bildiğinize göre, kesinlikle bu kılavuzda tartıştığımız güvenlik senaryolarından birini bulacaksınız. Ama şimdi, sorunun üstesinden gelmek için ne yapacağınızı daha iyi bileceksiniz.
WordPress WordPress’i güvence altına almak ve korumak için en iyi WordPress güvenlik eklentisi şu anda tüm web sitelerinin% 40’ından fazlasını kontrol etmektedir, böylece kötü niyetleri olan bilgisayar korsanları için kolay bir hedef haline gelmiştir. Ithemes Security Pro eklentisi, WordPress’in WordPress sitenizi güvence altına almayı ve korumayı kolaylaştırmak için güvenliğini ortadan kaldırır. Bu, WordPress sitenizi sizin için sürekli olarak izleyen ve koruyan tam zamanlı güvenlik uzmanı personeline sahip olmak gibidir.
Ithemes Güvenlik Pro
Kristen Wright
