Utwardzanie stron internetowych: bezpieczeństwo WordPress i PHP

Co to jest

Zlecenie utwardzania strony obejmuje przegląd i poprawę uzgodnionych ustawień technicznych publicznie dostępnej strony lub aplikacji. Zakres jest potwierdzany na piśmie i może obejmować nagłówki bezpieczeństwa HTTP, ustawienia TLS i plików cookie, mechanizmy związane z uwierzytelnianiem, konfigurację serwera lub platformy, odsłonięte ścieżki administracyjne, skrypty podmiotów trzecich oraz podstawowe zasady aktualizacji. Celem jest ograniczenie typowych, możliwych do uniknięcia dróg ekspozycji w uzgodnionym zakresie, przy czym każda obserwacja jest poparta dowodami. W ramach potwierdzonego dostępu nasz zespół wprowadza uzgodnione zmiany i zapisuje każdą z nich w pisemnym rejestrze zmian „przed/po”; pozycje wymagające udziału Państwa programisty, dostawcy hostingu lub CDN są dokumentowane dla nich. Granica odpowiedzialności jest potwierdzana przed rozpoczęciem prac. Utwardzanie jest najbardziej przydatne, gdy strona jest na tyle stabilna, by ją ocenić, właściwi właściciele mogą potwierdzić zamierzone działanie, a zmiany można jasno przetestować przed ich wdrożeniem lub po nim.

Dla kogo

Utwardzanie strony internetowej jest odpowiednie dla firm, które:

• Prowadzą publiczną stronę lub aplikację webową z formularzami, kontami, płatnościami lub innymi funkcjami krytycznymi dla działalności
• Mają wcześniejszy przegląd, skan lub wewnętrzną listę kontrolną, które wskazały pozycje konfiguracyjne wymagające praktycznego dokończenia
• Przygotowują się do uruchomienia, ponownego uruchomienia lub zmiany hostingu i chcą mniej polegać na niesprawdzonych ustawieniach domyślnych
• Potrzebują jaśniejszego podziału między zespołami produktu, rozwoju, marketingu i hostingu co do tego, kto odpowiada za kluczowe ustawienia bezpieczeństwa

Co pomaga wyjaśnić

Zlecenie utwardzania pomaga wyjaśnić:

• Które uzgodnione słabości konfiguracji są obecnie odsłonięte, a które można usunąć w granicach strony
• Które zmiany są proste, a które wymagają decyzji, ponieważ mogą wpłynąć na analitykę, osadzone treści, proces logowania lub inne działanie strony
• Gdzie skrypty podmiotów trzecich, ustawienia hostingu lub dostęp administracyjny wymagają jaśniej określonego właściciela lub osobnego przeglądu
• Co zmieniono lub zalecono, co nadal wymaga dalszych działań i które pozycje pozostają otwarte

Co jest zawarte

• Pisemne potwierdzenie zakresu obejmujące stronę, domeny, środowiska i uwzględnione obszary konfiguracji
• Przegląd uzgodnionej konfiguracji WordPress, PHP lub innej strony, w tym wtyczek objętych zakresem, nagłówków HTTP, ustawień TLS i cookie, mechanizmów uwierzytelniania, skryptów podmiotów trzecich oraz ustawień platformy lub serwera
• Udokumentowana lista obserwacji i proponowanych zmian z wyjaśnieniem praktycznego uzasadnienia każdej pozycji
• Autoryzowane wdrożenie uzgodnionych zmian konfiguracji wraz z pisemnym rejestrem zmian „przed/po”
• Podstawowa weryfikacja uzgodnionych zmian i omówienie kompromisów funkcjonalnych ujawnionych w trakcie realizacji
• Jedna rozmowa podsumowująca na temat przekazania, pozostałej odpowiedzialności i rozsądnych kolejnych działań

Co nie jest uwzględnione

• Testy penetracyjne, aktywna eksploatacja ani obietnica znalezienia wszystkich możliwych podatności
• Certyfikacja zgodności, zatwierdzenie audytowe ani zapewnienie, że strona spełnia wszystkie wymagania prawne lub branżowe
• Bieżący monitoring, reagowanie na incydenty ani ciągłe zarządzanie po zakończeniu zlecenia
• Przegląd domen, systemów, wtyczek lub integracji, które nie są wymienione w uzgodnionym zakresie
• Przegląd kodu aplikacji, przegląd procesu płatności ani szersze prace nad bezpieczeństwem produktu, chyba że zostaną osobno zdefiniowane

Kiedy to wybrać

Warto wybrać utwardzanie strony, gdy istnieje znany problem z konfiguracją, konkretna potrzeba przygotowania do uruchomienia lub jasny zestaw wcześniejszych ustaleń, które należy przekształcić w kontrolowane zmiany. Często jest to rozsądny kolejny krok po przeglądzie bazowym, skanie podatności lub migracji platformy. Może być również właściwe, gdy stroną zajmowało się kilku dostawców i nikt nie jest w pełni pewien, które ustawienia domyślne lub skrypty są nadal używane. Jeśli główne pytanie nie jest jeszcze jasne, warto zacząć od Security Baseline Review, aby odróżnić zadanie konfiguracyjne od szerszego problemu z dostępem, kodem lub procesami. Utwardzanie jest najskuteczniejsze, gdy firma potrafi wskazać właściciela strony, właściciela technicznego i akceptowalne okno testowe przed uzgodnieniem zmian.

Nasze podejście

Zaczynamy od pisemnego określenia granic strony i sposobu realizacji. Opis wskazuje domeny, środowiska, obszary konfiguracji, wymagania dotyczące dostępu i odpowiedzialność za zmiany. Zmiany wprowadzamy po uzyskaniu tego potwierdzenia. Jeśli zmiana może wpłynąć na funkcjonalność, na przykład restrykcyjna polityka przeglądarki zmieniająca działanie skryptu podmiotu trzeciego, wyjaśniamy kompromis przed przystąpieniem do pracy. Weryfikujemy uzgodnione zmiany w praktycznych granicach zakresu i zapisujemy, co zostało wdrożone, odłożone lub pozostawione innemu właścicielowi. Jeśli natrafimy na problem wskazujący na słabość na poziomie kodu, ryzyko po stronie dostawcy lub szerszą kwestię bezpieczeństwa, dokumentujemy obserwację, zamiast rozszerzać prace bez uzgodnienia. Przekazanie jest napisane tak, aby Państwa zespół programistów, hostingu lub operacji wewnętrznych mógł zrozumieć wynik bez tłumaczenia długiej listy żargonu bezpieczeństwa.

Często zadawane pytania

Artykuły pokrewne