Βαρέθηκα πια να σε χακάρουν (Akeeba) - Νικόλαος Διονυσόπουλος

Transcript

1. Μην αφήνεις να σε χακάρουν Βασικός Οδηγός Επιβίωσης
2. Με λένε Νίκο Είμαι ο βασικός προγραμματιστής των Akeeba Backup for WordPress και Admin Tools for WordPress.
3. Σήμερα έχω μια πρόκληση Να καλύψω θέματα ασφάλειας ιστοχώρων σε 30’
4. Ήμουνα νιος και γέρασα Ασχολούμαι με την ασφάλεια ιστοχώρων εδώ και 20 χρόνια.
5. Γιατί είμαι εδώ;
6. –Μέσος Χρήστης “Μα γιατί να ασχοληθούν να χακάρουν το δικό μου site; Δεν είναι δα και το Facebook!”
7. • Θα σε βρουν μέσω Google, με IP scanning, παρακολουθώντας domain registration, … • Θα σε χακάρουν γιατί έτσι βγάζουν χρήμα (π.χ. spam, malware) ή απλά επειδή μπορούν και θέλουν. • Θα σε χακάρουν επειδή ένα plug-in / theme δεν ενημερώθηκε ποτέ ή ήταν σουρωτήρι, το password σου ήταν spike123 ή… θα τα πούμε μετά. • Αν νομίζεις πως βλέπεις πως σε χάκαραν, μάλλον ΔΕΝ σε χάκαραν ακόμη. 99% των περιπτώσεων hacking είναι αόρατες· το site σου στέλνει spam ή σερβίρει malware.
8. Βασική προστασία
9. Ενημέρωσε τον server PHP, MySQL, web server, λειτουργικό
10. Ενημέρωσε το WordPress και όλα τα plugins, themes κλπ κώδικα
11. Τι; Άλλαξες αρχεία του WordPress / των plug-in και δεν παίζει update; Ήθελες και τα ‘παθες.
12. Ιδιοκτησία και δικαιώματα αρχείων και φακέλων.
13. TL;DR • Δικαιώματα: αρχεία 0644, φάκελοι 0755 • Ιδιοκτησία: • Άλλος χρήστης τα αρχεία, άλλος τον server • Ένας χρήστης ανά site • ΜΗΝ ΧΡΗΣΙΜΟΠΟΙΕΙΣ SUBDOMAINS / ADD-ON DOMAINS / MULTISITE ΓΙΑ SITE ΠΟΥ ΔΕΝ ΘΕΣ ΝΑ ΣΟΥ ΤΑ ΧΑΚΑΡΟΥΝ ΜΑΖΙ. Κοινώς ο κάθε πελάτης σε ξεχωριστό account.
14. Προσοχή στη φάκα Πες όχι στα warez
15. Μην χρησιμοποιείς FTP Χρησιμοποίησε SFTP με πιστοποιητικά
16. Προσωρινοί λογαριασμοί π.χ. για υποστήριξη, για δοκιμή, για τον κολλητό σου...
17. Συνθηματικά και είσοδος
18. Το μέγεθος μετράει όσον αφορά στα συνθηματικά (password)
19. Κανόνες υγιεινής για password • Ένα password για κάθε username για κάθε server και υπηρεσία. ΠΟΤΕ δεν ξαναχρησιμοποιώ password! • Τουλάχιστον 14 τυχαίοι χαρακτήρες. • Έλεγξέ το στο https://haveibeenpwned.com/Passwords • Αποθήκευσέ το σε έναν password manager.
20. Ταυτοποίηση δύο παραγόντων a.k.a. Two Factor Authentication
21. Κάτι που ξέρω, κάτι που έχω https://wordpress.org/plugins/two-factor/
22. Προχωρημένη προστασία
23. Ναι, μεν, αλλά…
24. Αντίγραφα ασφαλείας Συχνά, αυτόματα, αποθηκευμένα εκτός του site
25. Προστασία έναντι DDoS π.χ. CloudFlare
26. Θωράκιση Plug-in ή υπηρεσίες ασφαλείας
27. Κλείδωσέ το! Τίποτα δεν τρέχει στο site μου αν δεν το επιτρέψω
28. Μετονομασία wp-admin / login Προσοχή: δεν εφαρμόζεται αν θέλω απλοί χρήστες να κάνουν login!
29. Παρακολούθηση αρχείων Αλλαγές σημαντικών, αλλαγή / δημιουργία, περιεχόμενο
30. Έκανες ό,τι μπορούσες
31. Αλλά σε χάκαραν! Αααα!
32. DON’T PANIC
33. Συμβαίνει σε όλους • Έχεις αντίγραφα ασφαλείας; • Χρησιμοποίησε μια υπηρεσία για ξεχακάρισμα. • ΜΗΝ ΣΒΗΣΕΙΣ ΤΑ LOG! Θα σου πουν πως σε χάκαραν. • Κάν’ το όπως οι πιλότοι: • Κράτα λίστα με απλά βήματα. • Δοκίμασέ τα ΠΡΙΝ τα χρειαστείς. • Δοκίμασέ τα τακτικά.
34. Κάτι τελευταίο
35. Η ασφάλεια είναι μια συνεχής διαδικασία.
36. Ερωτήσεις; https://akee.ba/wcgreece2021 https://www.akeeba.com @akeebabackup
37. Σας ευχαριστώ! https://akee.ba/wcgreece2021