Webová stránka môže byť pre útočníka vstupnou bránou do organizácie. Ak na nej pritom prevažne zverejňujete statický obsah, nemusíte verejnému internetu sprístupňovať celý redakčný systém, databázu ani administráciu. Dáme vám návod, ako môže pomôcť statická kópia webu.
Webové stránky patria medzi systémy, ktoré sú prirodzene vystavené verejnému internetu. Práve preto sú atraktívnym cieľom kybernetických útočníkov.
Cieľom nemusí byť iba zmena obsahu stránky. Zraniteľný web môže byť využitý ako vstupný bod do infraštruktúry organizácie, na zneužitie jej výpočtových zdrojov, získanie údajov z databáz alebo na ďalšie škodlivé aktivity.
V niektorých prípadoch však možno túto útočnú plochu výrazne zmenšiť.
Keď návštevník nepotrebuje redakčný systém
Mnohé organizácie využívajú redakčné systémy – CMS – predovšetkým na zverejňovanie aktualít, dokumentov či základných informácií. Návštevník webu však na ich prezeranie nepotrebuje prístup k samotnému redakčnému systému ani databáze.
Jedným z riešení môže byť statická kópia webovej stránky.
Verejne dostupný web v takom prípade obsahuje iba statické súbory a neobsahuje serverový kód, databázu ani administratívne rozhranie.
Výsledkom je podstatne menšia útočná plocha. Z verejnej časti webu odpadajú napríklad potenciálne zraniteľnosti:
- redakčného systému,
- zásuvných modulov,
- tém a rozšírení,
- databázy,
- verejne dostupného administračného rozhrania.
Samotný redakčný systém môže naďalej fungovať, ale zostane vo vnútornej sieti organizácie alebo lokálnom prostredí, kde nie je priamo dostupný z internetu.
Obsah upravíte ako doteraz. Verejnosť uvidí iba výsledok
Princíp je pritom jednoduchý.
Obsah webu sa naďalej upravuje v redakčnom systéme. Následne sa vytvorí jeho statická verzia, ktorá sa publikuje na verejný web.
CSIRT.SK pripravil praktický návod krok za krokom, pomocou ktorého si organizácie môžu takúto statickú kópiu webovej stránky vytvoriť:
Statická kópia webu – návod CSIRT.SK
Súčasťou riešenia je aj pripravený skript dostupný na portáli GitHub. Export stránky tak možno opakovane vykonať jedným príkazom alebo celý proces automatizovať.
Po úprave obsahu v redakčnom systéme stačí spustiť skript – prípadne počkať na jeho naplánované spustenie – a aktualizovaný obsah sa následne zobrazí na verejnom webe.
GitHub – statická kópia webu od CSIRT.SK
Menej verejne dostupných komponentov, menej možností na útok
Statická kópia samozrejme nie je riešením pre každý typ webovej aplikácie. Pri stránkach, ktoré slúžia najmä na zverejňovanie informácií, však môže byť veľmi praktickým spôsobom, ako znížiť množstvo technológií vystavených priamo internetu.
Platí pritom jednoduchý bezpečnostný princíp: čo nemusí byť dostupné z internetu, nemalo by byť dostupné z internetu.
Ak organizácia dokáže oddeliť redakčné prostredie od verejnej prezentácie webu, potenciálny útočník dostáva výrazne menej možností, ktoré môže skúsiť zneužiť.
Riešenie, podrobný postup aj zdrojové kódy pripravil CSIRT.SK – vládna jednotka CSIRT.
Viac informácií nájdete na www.csirt.sk.
Článok bol spracovaný na základe metodického materiálu CSIRT.SK.
