Безопасность

1. Проактивная защита
2. Проактивная фильтр (Web Application Firewall)
3. Инструмент для аудита безопасности PHP-кода
4. Панель безопасности с уровнями защищенности
5. Веб-антивирус
6. Журнал Вторжений
7. одноразовые пароли
8. Контроль целостности файлов
9. Проверка целостности скрипта контроля
10. Безопасная авторизация без SSL
11. Защита административного раздела
12. защита сессий
13. контроль активности
14. стоп письмо
15. внутренний аудит
16. внешний аудит
17. Почему нужно защищаться
18. Уязвимости веб-приложений

Наша взаимовыгодная связь https://banwar.org/

Проактивная защита

Проактивная защита

Если Портал размещен на внешнем хостинге, или у сотрудников есть доступ в Интернет, необходимо обеспечить защиту от большинства известных атак на веб-приложения. Для этого в новую версию продукта включен модуль «Проактивная защита», который позволяет повысить уровень защищенности Портала благодаря встроенному в продукт проактивному фильтра (Web Application Firewall). Новая версия продукта сертифицирована компанией Positive Technologies - лидером рынка информационной безопасности. После проведенного аудита продукта выдан сертификат «Защищенный веб-приложение».
Проактивная защита - это целый комплекс технических и организационных мероприятий, объединенных общей концепцией безопасности и позволяют значительно расширить понятие защищенности и реакции веб-приложений на угрозы.
Комплекс по защите веб-приложений, входит в модуль:

Проактивная фильтр (Web Application Firewall)

Проактивная фильтр ( WAF - Web Application Firewal ) Обеспечивает защиту от большинства известных атак на веб-приложения. В потоке внешних запросов пользователей проактивный фильтр распознает большинство опасных угроз и блокирует вторжения на сайт. Проактивная фильтр - наиболее эффективный способ защиты от возможных ошибок безопасности, допущенных при реализации интернет-проекта (XSS, SQL Injection, PHP Including и ряда других). Действие фильтра основана на анализе и фильтрации всех данных, поступающих от пользователей через переменные и куки.
* Обратите внимание, что некоторые действия пользователей, которые не представляют угрозы, тоже могут выглядеть подозрительно и вызывать ложное срабатывание фильтра.

• защиту от большинства известных атак на веб-приложения;
• экранирование приложении от наиболее активно используемых атак;
• создание списка страниц-исключений из фильтрации (по маске)
  
• распознавания большинства опасных угроз;
• блокирования вторжений на сайт;
• защита от возможных ошибок безопасности;
• фиксирования попыток атак в журнале;
• информирование администратора о случаях вторжения;
• настройки активной реакции - действий системы при попытке вторжения на сайт:
• сделать данные безопасными;
• очистить опасные данные;
• добавить IP адрес атакующего в стоп-лист на ХХ минут
• занести попытку вторжения в журнал.
• обновление вместе с продуктом.

Инструмент для аудита безопасности PHP-кода

Инструмент для аудита безопасности PHP-кода - удобный, точный и понятный инструмент для разработчика, который «подсказывает» узкие места в безопасности его кода. Инструмент позволяет не только предотвратить эксплуатацию уязвимости, но и устранить ее источник. Проверка показывает в отчете потенциальные уязвимости в коде и усиливает защиту сайта от взлома.

Инструмент для аудита PHP-кода
запустить автотетст

Найти и испытать этот инструмент можно в административной части сайта: Настройка -> Инструменты -> «Монитор качества» -> выбрать тест «Принять меры по обеспечению безопасности проекта на уровне веб-разработки» в разделе «Безопасность». Запустив тест, вы сможете просмотреть подробный отчет о его работе (при наличии найденных проблем).

Система проверки «Монитор качества» также работает в каталоге веб-приложений для сайтов и корпоративных порталов «Битрикс: Маркетплейс» .

Панель безопасности с уровнями защищенности

Любой проект, работающий под управлением продуктов от «Битрикс», обязательно должен начальный уровень защиты. Однако с помощью модуля «Проактивная защита» можно значительно повысить защищенность собственного интранет-проекта. Нужно всего лишь выбрать и настроить один из уровней безопасности модуля: стандартный; высокий; повышен. При этом система подскажет - выдаст рекомендации - действие необходимо установить для каждого параметра на выбранном текущем уровне.

• начальный уровень безопасности - получают проекты на базе Bitrix Framework без установленного модуля «Проактивная защита»;
  

• стандартный уровень - в проекте задействованы стандартные инструменты проактивной защиты продукта;
  

• проактивная фильтр (на весь сайт без исключений)
• ведется журнал вторжений за последние 7 дней
• включен контроль активности;
• повышенный уровень безопасности для группы администраторов;
• использование CAPTCHA при регистрации;
• режим вывода ошибок (только ошибки).

• высокий уровень - рекомендованный уровень защиты получают проекты, выполнившие требования стандартного уровня, и дополнительно включили:
  

• журнала событий главного модуля
• защиту административной части;
• хранения сессий в базе данных;
• изменение идентификатора сессий.

• повышенный уровень - специальные средства защиты, обязательные для сайтов, содержащих конфиденциальную информацию пользователей, для интернет-магазинов, для тех, кто работает с критической информациею.Додатково к высокому уровню:
  

• включения одноразовых паролей;
• контроль целостности скрипта контроля.

Веб-антивирус

Веб-антивирус встроен непосредственно в сам продукт - систему управления сайтами. Этот компонент защиты полностью соответствует общей концепции безопасности системы и в разы повышает защищенность и скорость реакции веб-приложений на веб-угрозы.
«Веб-антивирус» препятствует имплантирования вредоносного кода непосредственно в веб-приложения. И происходит это следующим образом. «Веб-антивирус» обнаруживает в HTML коде потенциально опасные участки и «вырезает» подозрительные объекты из кода сайта. В итоге вирусы не могут проникнуть на пользователя сайта - антивирус препятствует этому. И, что особенно важно, «Веб-антивирус» сообщает администратора портала - предупреждает о наличии вируса. Получая информацию об этом, администратор ищет источник вредоносного кода, проводит «зачистку» компьютера и усиливает профилактические мероприятия. Подробнее

Журнал Вторжений

В журнале регистрируются события, происходящие в системе, в том числе необычные или злонамеренные. Оперативный режим регистрации этих событий позволяет просматривать соответствующие записи в Журнале сразу же после их генерации. В свою очередь, это позволяет выявлять атаки и попытки атак в момент их проведения. Это значит, у вас есть возможность немедленно принимать соответствующие меры, и, в некоторых случаях, даже предупреждать атаки.

• оперативная регистрация всех событий в системе;
• в случае срабатывания проактивной фильтра запись в Журнале в одной из категорий атак:
• попытка внедрения SQL;
• попытка атаки через XSS;
• попытка внедрения PHP.
• отбор вредоносных событий по фильтру;
• просмотр и анализ событий в реальном времени;
• немедленная реакция - ответная мера на событие;
• профилактика и предупреждение событий на основе их анализа;

одноразовые пароли

Для обеспечения безопасности доступа к Порталу удаленных сотрудников в новой версии реализована технология одноразовых паролей (One Time Password - OTP) на базе электронных ключей Aladdin eToken PASS для обеспечения аутентификации пользователя при доступе на Портал. Новая технология протестирована компанией Aladdin - лидирующий разработчик средств защиты информации. На основании тестирования выдан сертификат совместимости eToken PASS с «Битрикс24: Корпоративный портал 8.0».

сертификат совместимости

Модуль «Проактивная защита» позволяет включить поддержку одноразовых паролей и использовать их выборочно для любых пользователей на сайте. Однако особенно рекомендуется задействовать систему одноразовых паролей администраторам сайтов, поскольку это сильно повышает уровень безопасности пользовательской группы «Администраторы».
система одноразовых паролей дополняет стандартную систему авторизации и позволяет значительно усилить систему безопасности интернет-проекта. Для включения системы необходимо использовать аппаратное устройство (например, Aladdin eToken PASS или соответствующее программное обеспечение, реализующее OTP .
Что вам дает такая технология? Однозначный уверенность, что на сайте авторизуется именно тот пользователь, которому выдано брелок. При этом какое-то похищение и перехват паролей теряет всякий смысл том, что пароль одноразовый. Брелок же физический, дает уникальные одноразовые пароли и только при нажатии. А это значит, что владелец брелке не сможет передать пароль другому человеку, продолжая пользоваться входом на сайт.

• усиление системы безопасности интернет-проекта;
• использование аппаратных устройств;
• использование ПО, реализующего OTP;
• расширена аутентификация с одноразовым паролем - при авторизации на сайте пользователь в дополнение к паролю дописывает одноразовый пароль;
• авторизация только с использованием имя (login) и составного пароля;
• заполнения при инициализации двух последовательно сгенерированных одноразовых паролей, полученных с устройства;
• восстановления синхронизации в случае нарушения синхронизации счетчика генерации в устройстве и на сервере.

Персональный генератор одноразовых паролей для сайта (OTP) С помощью Bitrix OTP вы сможете самостоятельно включать или отключать использование на сайте системы одноразовых паролей для учетных записей. Это реализует OTP программное обеспечение, разработанное компанией «Битрикс24», позволяет обойтись без покупки аппаратных устройств (например, Aladdin eToken PASS) или соответствующих программных аналогов.

Установить Bitrix OTP вы можете прямо с сайта, работающего на «Битрикс: Управление сайтом» 10.0 и выше. Для этого достаточно перейти в браузере мобильного телефона по адресу http: // <ваш_сайт> / bitrix / otp / и следовать инструкциям на экране. Бесплатная установка Bitrix OTP также возможна из онлайн-магазина приложений.

Установите приложение от «Битрикс24» на мобильный телефон и создавайте одноразовые пароли для входа на сайт, поддерживающий авторизацию по OTP. Программа поддерживает работу с несколькими сайтами одновременно.
Создание нового сайта
получение пароля
Вы можете включить на мобильном сайте поддержку одноразовых паролей и использовать их выборочно для любых пользователей. Особенно рекомендуется задействовать систему одноразовых паролей администраторам сайтов, поскольку это сильно повышает уровень безопасности для пользователя группы «Администраторы». Для этого достаточно создать в генераторе паролей новый сайт, который поддерживает авторизацию по ОТП, и затем каждый раз, при входе на этот сайт, получать для него одноразовый пароль. Генератор позволяет создать множество записей для таких сайтов, и нужный сайт вы сможете выбрать из списка. Подробнее

Контроль целостности файлов

Контроль целостности файлов необходим для быстрого выяснения - вносились изменения в файлы системы. В любой момент вы можете проверить целостность ядра, системных областей, публичной части продукта.

• отслеживание изменений в файловой системе;
• проверка целостности ядра;
• проверка системных областей;
• проверка публичной части продукта.

Проверка целостности скрипта контроля

Перед проверкой целостности системы необходимо проверить скрипт контроля на наличие изменений. При первом запуске скрипта введите произвольный пароль (состоящий из латинских букв и цифр, длиной не менее 10 символов), а также произвольное кодовое (ключевое слово (отличное от пароля) и нажмите на кнопку «Установить новый ключ».

• проверка скрипта на наличие изменений;
• защиту целостности скрипта ключом - символьным паролем.

Безопасная авторизация без SSL

С помощью методики безопасной аутентификации пароли из формы авторизации ваших сотрудников невозможно сломать, поскольку они шифруются по алгоритму RSA с ключом 1024 бит и в таком виде передаются на корпоративный портал. При этом не важно, какие соединения и протоколы используют пользователи вашего портала. Подробнее

• безопасная аутентификация шифрования пароля позволяет избежать передачи пароля в открытом виде без SSL;
• все инструменты, которые использовались ранее для авторизации, продолжат работать.

Защита административного раздела

Эта защита позволяет компаниям строго регламентировать сети, которые считаются безопасными и из которых разрешается работникам администрировать сайт. Перед вами простой специальный интерфейс, в котором все это и делается - задается список или диапазоны IP-адресов, с которых как раз и разрешается управления сайтом. Не бойтесь закрыть доступ в момент установки блокировки - этот момент проверяется системой.
Какой эффект от использования данного защиты? Любые XSS / CSS атаки на компьютер пользователя становятся неэффективными, а похищение перехваченных данных для авторизации с чужого компьютера - абсолютно бесполезным.

• ограничения доступа к административной части всех IP-адресов, кроме указанных;
• автоматическое определение системой IP адреса пользователя;
• ручной ввод разрешенной IP адреса;
• установка диапазона IP-адресов, с которых разрешен доступ к административной части.

защита сессий

Большинство атак на веб-приложения ставят целью получить данные о авторизованной сессии пользователя. Включение защиты сессий делает похищение авторизованной сессии неэффективным. И, если речь идет о авторизованной сессии администратора, то ее надежную защиту с помощью данного механизма является особенно важной задачей. Какие инструменты использует этот защитный механизм? В дополнение к стандартным инструментов защиты сессий, которые устанавливаются в настройках группы, механизм защиты сессий включает специальные - и в некотором роде уникальны.
Хранение данных сессий в таблице модуля позволяет избежать чтения этих данных через скрипты других сайтов на том же сервере, исключив ошибки конфигурирования виртуального хостинга, ошибки настройки прав доступа во временных каталогах и ряд других проблем настройки операционной среды. Кроме того, это разгружает файловую систему, перенося нагрузку на сервер базы данных.

• защита сессий несколькими способами:
• время сессии жизни (минуты)
• изменение идентификатора сессии раз в несколько минут
• маска сети для привязки сессии к IP;
• хранения данных сессий в таблице модуля.
• исключения ошибок конфигурирования виртуального хостинга;
• исключения ошибок настройки прав доступа во временных каталогах;
• исключения проблем настройки операционной среды;
• разгрузки файловой системы;
• бесполезность похищения сессий злоумышленниками.

контроль активности

Контроль активности позволяет установить защиту от чрезмерно активных пользователей, программных роботов, некоторых категорий DDoS-атак, а также отсекать попытки подбора пароля перебором. В настройках можно установить максимальную активность пользователей сайта (например, число запросов в секунду, которые может выполнить пользователь).
Контроль активности пользователей ведется на основе средств модуля Веб-аналитика и, соответственно, доступен только в тех редакциях продукта , В которые входит этот модуль.

• защиту от чрезмерно активных пользователей;
• защита от программных роботов
• защита от некоторых категорий DDoS-атак;
• отсечения попыток подбора паролей перебором;
• установка максимальной активности пользователей для сайта;
• фиксирования превышения лимита активности пользователя в Журнале вторжений;
• блокировка пользователя, превысил количество запросов в заданный временной интервал;
• вывода для заблокированного пользователя специальной информационной страницы.

стоп письмо

Стоп-лист - таблица, содержащая параметры, которые используются для ограничения доступа посетителей к содержимому сайта и перенаправления на другие страницы. Все пользователи, которые попытаются зайти на сайт с IP адресами, включенными в стоп-лист, будут заблокированы.

• перенаправления посетителей, параметры которых содержатся в стоп-листе;
• блокировки пользователей по IP адресам со стоп-листа;
• ручное пополнение стоп-лист новыми записями;
• учет статистики пользователей, которым запрещен доступ к сайту;
• установление периода действия запрета на доступ к сайту для пользователя, IP-сети, маску сети, UserAgent и ссылку, по которой пришел пользователь;
• изменяемое сообщение, которое будет показано пользователю при попытке доступа к сайту.

аудит

внутренний аудит

Наш внутренний отдел информационной безопасности выполняет постоянный мониторинг нового программного кода, генерируемого разработчиками. Он заключается в моделировании угроз безопасности, различных классах атак, попытках реализации технического взлома портала различными приемами и экспериментами.

Это кропотливая и сложная работа, требующая отличного знания нашей программной платформы, работы браузеров и веб-серверов, PHP и различных СУБД. Данные специалисты не участвуют в разработке функционала, поскольку на практике практически невозможно одновременно разрабатывать функционал и учесть все нюансы надежности программного кода к взлому.

Это отдельный технологический цикл, и мы считаем его обязательным для общего процесса разработки.

Как бы ни был востребован новый функционал, как бы ни хотелось его быстрее выпустить и предоставить нашим клиентам и партнерам, окончательное решение о включении его в систему обновлений дают специалисты по безопасности.

внешний аудит

Несмотря на то, что компания «Битрикс24» уделяет важное значение вопросам безопасности в программном продукте и безопасной разработке веб-приложений, для обеспечения нового уровня защищенности и предоставления большей уверенности для клиентов было решено провести независимый аудит защищенности наших продуктов

Для выполнения аудита информационной безопасности было решено привлечь известную компанию в области веб-безопасности, разработчика программного продукта XSpider , Владельца самого ресурса по безопасности www.securitylab.ru - компанию Positive Technologies .

Компания Positive Technologies провела полномасштабное тестирование платформы Битрикс.Framework, на которой реализованы продукты «Битрикс: Управление сайтом» и «Битрикс24» в коробке », имея в своем распоряжении исходные тексты продукта и консультационную поддержку технических специалистов компании« Битрикс24 ».

угрозы

Почему нужно защищаться

Если внутрикорпоративный портал доступен для просмотра только из внутренней сети организации (по брэндмауэром), то, безусловно, он менее уязвим для атак извне, чем корпоративный сайт.
Но внутри компании существует существенная проблема - возможные инсайдеры. Недобросовестные ненадежные сотрудники могут воспользоваться уязвимостями в программном обеспечении портала и получить секретные сведения, нарушить целостность документов, или вызвать отказ в обслуживании.
На портале может лежать важная информация, начиная от финансовой отчетности компании к личной переписки между директорами подразделений и обсуждения организационных вопросов. Нельзя допустить, чтобы кто-то получил к ней несанкционированный доступ.
Кроме этого, часто сеть настраивают так, что в ряде случаев портал может быть доступен и извне компании, например, для работы сотрудников в командировках или внештатных сотрудников. В этом случае требования по защите портала существенно возрастают и справедливые все рекомендации по защите традиционного сайта .

Уязвимости веб-приложений

Существует целый класс уязвимостей, Которым подвержены веб-приложения. Но очень часто проблемы информационной безопасности остаются за рамками бюджета или вообще не фигурируют в этапах разработки.

интересный материал на эту тему опубликовано Алексеем Лукацкий, руководителем отдела Интернет-решений компании «Информзащита» (в настоящее время менеджер по развитию бизнеса Cisco Systems) в журнале BYTE Россия:

«Автор прошелся по Web-сайтам Некоторых, в том числе и именитых студий, предлагающих свои (недешевые, заметим) услуги по созданию сайтов, и что же? Ни одна из них не упомянула в своих "портфолио" понятие "защищенный сайт". И в типовых договорах нет ни слова о защите ...

Что это - некомпетентность или осознанное нежелание ввязываться в неизвестную область ИТ? К сожалению, приходится признать, что скорее всего первое. Попробую проиллюстрировать этот тезис, опираясь на личный опыт участия в ряде интернет-проектов ... »

Полный текст статьи опубликован в разделе «Защищенный сайт» .

Перечислим некоторые из проблем, часто встречающихся:

• Cross Site Scripting
• SQL- injection
• PHP- injection
• HTTP Response Splitting
• HTML code injection
• File Inclusion
• Directory traversal и некоторые другие.

Перечисленные типы уязвимостей могут встречаться во всех веб-приложениях, независимо от того, Разработаны они одним специалистом или известной компанией. Только системное проектирование, продумывание вопросов безопасности на всех этапах разработки и детальное тестирование готового приложения могут позволить исключить появления уязвимостей.

подробнее

Похожие

Комментарии