Обновления безопасности

Как часто нужно устанавливать обновления безопасности сайта?

Основа — стабильно обновлять по заданному графику (например, раз в месяц), а при объявлении о серьёзной уязвимости устанавливать исправление сразу, не дожидаясь срока. Плановые проверки и экстренные меры рассматриваются отдельно.

О срочных уязвимостях сообщают в бюллетенях разработчиков или в бюллетенях безопасности KISA Bohonara. Если у вас есть подрядчик, определите, кто следит за такими бюллетенями и принимает решения.

Периодичность обновлений зависит и от того, на чём сделан сайт. У сайта с множеством плагинов больше компонентов для обновления, и проверять его нужно чаще.

Можно включить и автообновление. Если мелкие исправления безопасности получать автоматически, а крупные смены версий устанавливать после проверки, снижаются и риск пробелов в защите, и риск поломки вёрстки.

Что на сайте нужно обновлять?

Объекты обновления делятся на несколько уровней — от сервера до виджетов на странице. Если не определить, кто отвечает за каждый уровень, все думают «это сделает другой», и появляются пробелы.

Легко решить, что самописный сайт без плагинов в безопасности. Но для открытых компонентов (библиотек) внутри него тоже выходят обновления, когда находят уязвимости. Спросите подрядчика, получает ли он уведомления о безопасности таких компонентов.

Чтобы обновлять, нужно знать, из чего сделан сайт. Если получить у подрядчика «список программ и компонентов вашего сайта», при выходе бюллетеня безопасности сразу понятно, касается ли он вас.

В каком порядке безопасно устанавливать обновления?

Суть безопасного обновления — «сначала подготовить откат, а после установки проверить самому». Чаще проблема не в самом обновлении, а в том, что после него никто не проверил сайт, и сломанная вёрстка висит несколько дней.

Если устанавливать разом все давно отложенные обновления, при проблеме трудно найти виновника. Если обновлений накопилось много, ставьте их по несколько штук и каждый раз проверяйте страницы.

1. 01Сначала сделайте полную резервную копию.
2. 02Прочитайте описание обновления и выясните, исправление безопасности это или крупная смена версии.
3. 03По возможности сначала установите обновление в тестовой среде, идентичной рабочему сайту.
4. 04Установите на рабочий сайт в то время, когда клиентов мало.
5. 05Сами нажмите на главной, в форме заявки, в записи и оплате — с телефона и компьютера.
6. 06Запишите, что и когда обновили.
7. 07Если возникла проблема, откатитесь к резервной копии, выясните причину и установите снова.

Что на самом деле бывает, если откладывать обновления безопасности?

Сайт с отложенными обновлениями становится мишенью автоматических программ, которые ищут известные уязвимости. Атакующие не выбирают конкретное заведение — они машинно прочёсывают сеть и проникают туда, где осталась уязвимость.

После взлома в незаметных клиентам местах могут тайно появиться рекламные страницы и страницы азартных игр или код, перенаправляющий клиентов на другие сайты. Если поисковики это обнаружат, в результатах поиска или в браузере может появиться предупреждение об опасности.

Если через форму заявки или данные клиентов утекут персональные данные, проблема станет ещё серьёзнее. Может возникнуть обязанность уведомить клиентов и сообщить в профильные органы, и это обойдётся гораздо дороже времени, сэкономленного на откладывании обновлений.

Владельцу трудно первым заметить следы взлома. Если в результатах поиска под названием вашего сайта видны незнакомые тексты или клиент говорит «захожу, а меня перекидывает на другой сайт», сразу сообщите подрядчику. Если подключить Google Search Console, вы получите уведомление, когда Google обнаружит проблему безопасности.

Какие привычки безопасности нужны помимо обновлений?

Даже при исправных обновлениях слабый пароль администратора равносилен открытой двери. Лучше заниматься обновлениями и управлением аккаунтами вместе.

Частый риск — один администраторский аккаунт на несколько сотрудников. Непонятно, кто что изменил, а при увольнении сотрудника сложно сменить пароль. По возможности заведите каждому свой аккаунт и давайте только необходимые права.

Google тоже советует владельцам сайтов вместе с установкой последних обновлений использовать надёжные пароли. Привычки ниже почти ничего не стоят, а эффект от них большой.

• Делать пароль администратора длинным и не использовать его на других сайтах
• Включить двухэтапную аутентификацию для аккаунтов домена · хостинга · администратора
• Сразу удалять аккаунты уволившихся сотрудников · прежних подрядчиков
• Неиспользуемые плагины и темы не отключать, а удалять
• Не оставлять вход в админ-панель на общем компьютере заведения

Что спросить, поручая безопасность подрядчику?

Одна фраза «мы позаботимся о безопасности» ничего не говорит о том, что именно делается. Спросите конкретно о периодичности, экстренных мерах, отчётах и способе связи при инциденте и закрепите это в договоре или смете.

Если взлом уже подозревается, сначала сообщите подрядчику; помощь также можно получить по телефону 118 — горячей линии KISA Bohonara по взломам, спаму и нарушениям в сфере персональных данных. В подписке на техподдержку ISSYMO каждый месяц устанавливаются обновления безопасности и делается резервная копия.

• Как часто вы проводите плановые обновления?
• За сколько дней вы устанавливаете исправления после срочного бюллетеня безопасности?
• Можно ли получать журнал обновлений?
• Если после обновления сломается вёрстка, платно ли восстановление?
• Кому и как сообщать, если подозревается взлом?