Zabezpieczenie panelu administracyjnego - minimum, które warto mieć
Publikacja: · Grzegorz Rapczyński
Sklep w internecie jest skanowany przez roboty od pierwszego dnia. Nie dlatego, że ktoś się nim zainteresował - po prostu automaty przeczesują wszystko po kolei, szukając znanych adresów panelu i łatwych haseł. Poniżej minimum, które warto ustawić w panelu PrestaShop - wszystko z poziomu ustawień sklepu i panelu hostingu.
Poniżej sześć rzeczy, które realnie zmieniają sytuację. Żadna nie wymaga programisty, wszystkie razem to mniej więcej godzina.
1. Logowanie dwuskładnikowe
Najskuteczniejsza pojedyncza zmiana z całej listy. Samo hasło przestaje wystarczać - nawet wykradzione, nie daje dostępu bez drugiego składnika.
Jedna rzecz, o której trzeba pamiętać od razu: zapisz kody zapasowe i trzymaj je poza telefonem. Zgubiony telefon bez kodów zapasowych to nowy rodzaj awarii, tyle że samodzielnie wywołany.
2. Nietypowa nazwa katalogu panelu
Katalog administracji ma losową nazwę nadawaną przy instalacji i to jest celowe. Jeśli ktoś kiedyś zmienił ją na coś łatwego do zgadnięcia, warto to cofnąć.
To nie jest zabezpieczenie samo w sobie - ktoś zdeterminowany i tak znajdzie adres. Odcina natomiast większość automatycznego szumu, bo roboty sprawdzają tylko typowe nazwy i idą dalej.
Po zmianie zapisz nową nazwę tam, gdzie trzymasz dostępy FTP. Zapomniana nazwa katalogu panelu to zaskakująco częsty powód telefonów.
3. Ograniczenie dostępu po adresie IP
Jeśli pracujesz zawsze z tych samych miejsc, a Twój dostawca internetu daje stały adres, można wpuszczać do panelu tylko z niego. To bardzo skuteczne i bardzo kłopotliwe, gdy adres się zmieni - warto więc mieć zaplanowane, jak się wtedy dostać.
Wariant łagodniejszy, praktyczniejszy dla większości: dodatkowe hasło na poziomie serwera przed wejściem do katalogu panelu. Robot nie przejdzie, a Ty wpisujesz je raz na sesję.
4. Osobne konta dla osób, a nie wspólne
Trzy osoby pracujące na jednym koncie to brak jakiejkolwiek historii zmian. Nie wiadomo, kto wyłączył kategorię, a przy odejściu współpracownika trzeba zmieniać hasło wszystkim.
Osobne konta z uprawnieniami dopasowanymi do roli rozwiązują oba problemy. Osoba pakująca zamówienia nie musi mieć dostępu do ustawień płatności ani do listy klientów z pełnymi danymi.
5. Aktualizacje
Najbardziej pomijany punkt, bo najbardziej kłopotliwy. Sklep na wersji sprzed trzech lat nie dostaje poprawek bezpieczeństwa, a luki w starych wersjach są publicznie opisane - roboty skanujące sprawdzają je pierwsze.
To samo dotyczy modułów, zwłaszcza tych darmowych, których autorzy przestali rozwijać. Rozpisałem cały proces w tekście o aktualizacji i bezpieczeństwie sklepu.
6. Wyłączony tryb debugowania
Włączasz go przy diagnozie awarii i bardzo łatwo zapomnieć o wyłączeniu. Zostawiony na stałe pokazuje ścieżki na serwerze, fragmenty kodu i szczegóły konfiguracji - każdemu, kto trafi na stronę z błędem.
Warto to sprawdzać przy okazji każdej większej zmiany w sklepie. To jedna sekunda, a bywa jedyną rzeczą, która odróżnia sklep od instrukcji, jak go zaatakować.
Czego ta lista nie załatwia
Uczciwie: powyższe chroni panel, a nie wszystko. Osobnymi tematami zostają hasła do FTP i bazy, bezpieczeństwo komputera, z którego się logujesz, oraz kopie zapasowe - bo najlepsze zabezpieczenie nie zastąpi możliwości cofnięcia się do stanu sprzed problemu.
I rzecz, o której mówi się rzadko: największym ryzykiem nie jest zwykle włamanie, tylko przypadkowa zmiana zrobiona przez kogoś z dostępem. Dlatego osobne konta i ograniczone uprawnienia dają w praktyce więcej niż większość zabezpieczeń technicznych.
Najprostsza rzecz z tej listy i zarazem najczęściej pomijana: rozdzielenie kont. Uprawnienia pracowników ustawia się raz, bez żadnego modułu, a znika przy tym cała kategoria problemów - łącznie z tym, że nie wiadomo, kto zmienił ceny.
Najczęstsze pytania
Czy sklep bez sławnej marki w ogóle kogoś interesuje?
Automaty nie wybierają. Skanują wszystko po kolei i szukają znanych luk oraz łatwych haseł. Rozmiar sklepu nie ma tu żadnego znaczenia.
Czy dwuskładnikowe logowanie nie będzie uciążliwe?
Przy dłuższej sesji logujesz się raz dziennie. To mniej kłopotliwe niż odzyskiwanie sklepu po tym, jak ktoś wszedł na cudze hasło.
Jak poznać, że coś się stało?
Najczęściej po datach modyfikacji plików i po wpisach w logu zdarzeń panelu. Jeśli pliki zmieniły się w nocy, a nikt nic nie robił, to jest sygnał.
Przegląd zabezpieczeń sklepu
Jeśli nie wiesz, co z tej listy masz, a czego nie - przejrzę to i powiem wprost, co jest do poprawienia w pierwszej kolejności. Formularz kontaktowy, 881 932 088 lub kontakt@grvision.pl.