Как обезопасить бизнес от злоумышленников, коллег, непредвиденных ситуаций

Лонгрид о 17 способах защиты онлайн-проекта.

Острая проблема многих проектов — отсутствие защиты сайтов от злоумышленников, коллег, случайных ошибок. Порой кажется, что все настроено, но один промах может создать возможность для крупного взлома.

Бывают случаи, когда восстановить ничего не удается. Поэтому мы подготовили 17 правил защиты онлайн-бизнеса. Действуем на опережение!

Защита бизнеса начинается с личной безопасности. Если ваши данные не будут под контролем, то проект легко будет взломать. Будьте осторожны и следуйте правилам:

На 1С-Битрикс предусмотрена защита проекта и от внутренних, и от внешних угроз.

Начнем с внутренних. Какое бы большое доверие вы не имели к коллегам, не передавайте свои доступы для выполнения работ. Даже на время. Даже с последующей сменой пароля — возможно, это сделают раньше вас.

В 1С-Битрикс можно разделить пользователей на группы с уникальными правами. Это очень удобно для разных команд, работающих над сайтом. Вы можете использовать имеющиеся группы администраторов, маркетологов, а также создавать новые.

Создадим профиль Ивана, маркетолога, который работает над проектом в определенные сроки. Переходим в Настройки → Пользователи → Список пользователей.

Заполняем данные: имя (1), фамилию (2), e-mail (3), логин (4), пароль (6-7). При необходимости можно ввести номер телефона (5) и активировать оповещение пользователя (8).

Далее переходим на вкладку «Группы»: ставим галочку в группе маркетологов (1), указываем период активности (2). Готово! Сохраните изменения.

Если нужно создать новую группу пользователей, перейдите в Настройки → Пользователи → Группы пользователей и нажмите «Добавить группу».

Новая группа по умолчанию будет активна. Если это не нужно в данный момент, снимите галочку.

Укажите период сортировки (1), название группы (2). Напишите описание (3) — в будущем с ним будет удобнее быстрым взглядом просматривать характеристику группы. Добавьте пользователей в группу (4). Если необходимо, укажите период активности сотрудника (5).

Минуйте вкладку «Безопасность». В ней не рекомендуется изменять параметры. Перейдите на вкладку «Доступ». Укажите нужные для группы права (1) и сохраните изменения (2).

Готово! Вы создали новую группу пользователей и задали им необходимые права для работы с сайтом на 1С-Битрикс.

Если вы всегда работаете с одного местоположения и используете статический IP-адрес, то можно указать конкретные адреса, с которых можно войти в административный раздел.

Если решились на подключение, перейдите в Настройки → Проактивная защита → Защита административной части. Далее укажите все IP-адреса, с которых можно заходить в административную панель (1-3).

Проактивный фильтр защищает сайт от ошибок безопасности: попыток атак через XSS, внедрения PHP, SQL и других. Система сообщит о попытках вторжения прямо на главном экране в административном разделе.

Для подключения перейдите в Настройки → Проактивная защита → Проактивный фильтр. Включите модуль.

От вирусов поможет «Веб-антивирус» 1С-Битрикс. Он находит вредоносные части кода сайта, определяет большинство заражений и активирует белый список для отсечения ложных срабатываний.

Один из популярных способов рассылки спама — использование форм обратной связи. Если они незащищены, то злоумышленник воспользуется ею. Установка reCAPTCHA поможет избежать этого. Она создана для блокировки автоматизированных действий. Может представлять собой небольшой баннер, в котором нужно лишь поставить галочку и отправить подтверждение.

Устанавливается на каждую форму в административной разделе сайта. Для настройки перейдите в Сервисы → Веб-формы → Настройка форм. Выберите форму для установки защиты (1). Поставьте галочку (2) и сохраните изменения.

На хостинге также есть возможности для защиты сайта. О каждом рассказываем подробно.

Вы можете ограничить посещение отдельных каталогов сайта. Например, mydomen.ru/bitrix/admin/. Создайте уникальные пары логин-пароль сотрудникам — с таким ограничением злоумышленникам будет гораздо сложнее попасть в систему.

Разработчики, программисты и даже сами владельцы сайтов после проведения работ могут оставлять опасные файлы. Они позволяют посторонним делать все, что угодно — заходить в админку без пароля, выполнять удаленные команды, распространять нелегальный контент и др.

Нарушить работу ресурса могут даже стандартные файлы 1С-Битрикс.

После работы с ними их нужно обязательно удалить. Иначе появляется лазейка для злоумышленников. Она позволяет скачать все файлы вашего сайта, загрузить зараженные файлы, войти в административный раздел без пароля и сделать с сайтом что угодно. Как только вы завершили работу со скриптами, удалите их.

DDoS-атаки и вирусы могут стать большой проблемой для бизнеса, поэтому следует обезопасить проект заранее. Защита от DDoS-атак поможет заблокировать запросы, поступающих единовременно с одного IP-адреса или по заданному ключу. Для каждого домена создается зона распределяемой памяти и устанавливается максимальный размер обращений к сайту. Если они превышают ограничение для зоны, обработка запросов задерживается.

Один небольшой сбой может причинить огромный урон. Регулярное сохранение резервных копий поможет в случае ЧП на сайте. После атаки вы сможете вернуть проект в прежнее состояние, минимизировав потери данных.

Для полной уверенности в безопасности вашего проекта сохраняйте последние резервные копии на локальный диск. Например, на ПК или в облачное хранилище — Google Диск или Яндекс.Диск.

Так будет соблюдено правило «3-2-1». Храните:

Внезапное отключение сайта — удар по онлайн-бизнесу. Особенно, при запущенном продвижении и ожидании потока покупателей. Если сайт недоступен в момент запроса потребителями, прибыль стремительно уменьшается.

Сайт может стать недоступным из-за нехватки ресурсов и окончания срока действия SSL-сертификата. RED.Monitoring проконтролирует критические показатели, а наша поддержка сделает все возможное для поддержания сайта онлайн.

RED.Monitoring контролирует достаточность свободного места на хостинге. Когда ресурсов станет меньше показателя начального оповещения, робот отправит сообщение на ваш e-mail. Для решения удалите ненужные файлы или увеличьте место на тарифе. Если места станет меньше критической границы, уведомление получит владелец услуги и наша техническая поддержка.

Если в этот момент вы окажетесь на важном совещании, в отпуске или просто вне доступа — мы поможем. Специалист постарается исправить ситуацию самостоятельно и свяжется с вами по e-mail или телефону. RED.Monitoring следит за сроком действия сертификата. Когда приближается срок окончания действия SSL-сертификата, робот отправляет предупреждение и инструкции по его обновлению. Если несмотря на наши предупреждения SSL-сертификат не будет обновлен — в дело включится техническая поддержка. Мы постараемся сами исправить ситуацию и свяжемся с вами для решения проблемы.

Любое действие в Интернете — это обмен данными. По умолчанию обмен происходит с помощью HTTP, стандартного протокола передачи данных от сервера к пользователю. Данные, передаваемые таким протоколом, никак не защищены, потому как передаются в открытом виде.

Для передачи данных от сервера к пользователю рекомендуется использовать протокол HTTPS. Он шифрует данные с помощью SSL-сертификата и обеспечивает конфиденциальность обмена данными.

Также отметим: Google считает сайты без SSL-сертификата небезопасными, а Яндекс выделяет наличие сертификата ключевым параметром качества сайта. Используйте SSL-сертификаты для увеличения доверия пользователей и наличия сайта в поисковой выдаче.

Статья подготовлена Reddock — хостинг для 1С-Битрикс.