Standardopsætningen er lavet til at virke, ikke til at holde
Et website bliver installeret for at virke, ikke for at være sikkert. Standardopsætninger prioriterer kompatibilitet og bekvemmelighed. Filredigering fra adminpanelet er slået til, versionsnumre er synlige, loginsiden ligger, hvor alle ved den ligger, og der mangler grundlæggende beskyttelse mod automatiserede angreb.
Og angrebene er automatiserede. Botnets scanner konstant hele internettet for kendte sårbarheder. Jeres website bliver ikke angrebet, fordi nogen interesserer sig for jer. Det bliver angrebet, fordi det findes.
Et kompromitteret site bliver brugt til at hoste phishing, sprede malware, køre SEO-spam eller som springbræt videre ind i jeres systemer. Det første offer er jeres domænes omdømme.
De fire lag
Fundamentet. Opdateringsdisciplin for CMS, plugins og temaer, for langt de fleste indbrud sker gennem kendte og upatchede sårbarheder. Fjernelse af ubrugte komponenter. Og stærk adgangskontrol med MFA.
Konfigurationen. Deaktivering af farlige funktioner som filredigering og XML-RPC, korrekte filrettigheder, skjulte versionsoplysninger og et hærdet login.
Beskyttelseslagene. Sikkerhedsheaders som CSP, HSTS og X-Frame-Options, der beskytter de besøgendes browsere. En WAF foran sitet, der filtrerer ondsindet trafik. Og rate limiting mod brute force.
Beredskabet. Automatiseret backup med testet gendannelse, integritetsovervågning der opdager ændrede filer, og logning der gør en hændelse mulig at undersøge.
For WordPress, som driver over 40 % af alle websites og derfor er et yndet mål, kommer der specifikke greb oveni. Oprydning i plugins, hærdet databasepræfiks, beskyttelse af wp-admin og overvågning af core-filernes integritet.
Hardening er en tilstand, ikke et projekt
Den hyppigste misforståelse er, at hardening er noget, man gør én gang.
Nye sårbarheder offentliggøres dagligt. Plugins skifter ejere. Konfigurationer skrider over tid, som regel fordi nogen slog noget fra for at få en ting til at virke og glemte at slå det til igen. På fire af de domæner, vi har gennemgået den seneste måned, manglede HSTS, CSP eller begge dele. På to af dem stod WordPress-endpoints åbne, så enhver besøgende kunne trække listen over brugernavne ud.
Reel sikkerhed kræver derfor løbende opdatering, overvågning og periodisk efterprøvning, gerne med en uafhængig test der bekræfter, at lagene faktisk holder. Vi leverer det som løbende web hardening.