15 راهكار مناسب براي ايمن سازي وب سايت

از آنجاييكه هيچ نرم افزار مهم و مختصري (همچون يك آنتي ويروس) در رابطه با ايمن سازي وب سايت وجود ندارد، افراد تصور ميكنند با طراحي يك وب سايت ايمن سازي نيز انجام شده است. مطمئنا اينطور نيست. محافظت از يك وب سايت يا سرور شبكه تنها با انجام يك سري مراحل ممكن ميشود. شايد بي توجهي به ميز محل كارتان زياد مهم نباشد ولي داشتن يك وب سايت هك شده تاثير بدي بر شما، كار و كالايتان ميگذارد. حتي در صورتيكه حجم تهديدات روزانه درحد صفر باشد، نبايد محافظت از وب سايت را فراموش كرد. البته قبل از شروع اولين مرحله از ايمن سازي و طراحي يك برنامه ي امنيتي دقيق بايد كارهاي ريشه اي و مهم را انجام داد. در ادامه 15 نكته مفيد درجهت ايجاد مقدمات ايمن سازي شبكه را ارائه ميكنيم.

_از زبانهاي برنامه نويسي آزاد (Open source)استفاده كنيد:

در صورت نداشتن گروه توسعه ي ماهر، استفاده از زبانهاي برنامه نويسي آزاد پيشنهاد بسيار خوبي است. زبانهاي آزاد مثل WordPress, Drupal, Joomla, Magento,… بسيار قوي و مناسب بوده وبا هزاران كدگذار جهت بروزرساني پشتيباني ميشوند.

اين امر ازنفوذ هكرها و جاسوسان به وب سايت بدليل وجود كدهاي ضعيف جلوگيري ميكند. شما ميتوانيد از زبانهاي موجود استفاده كرده و آنها را بطور دلخواه اصلاح كنيد. زبانهاي برنامه نويسي تجاري شركتهاي معروف را نيز ميتوان گسترش داد، درصورتيكه مرتبا بروزرساني شوند.

_دائما بروزرساني كنيد:

زبانهاي برنامه نويسي را به محض انتشار نسخه جديد، حتي درصورت نداشتن ويژگيهاي جديد، بروزرساني كنيد. بروزرسانيهاي مختصر اشكالات موجود در زبان را برطرف ساخته و به اندازه ي بروزرساني نسخه ي كامل مهم مي باشد. اگر نميدانيد كه بروزرساني تنظيمات شما را برهم ميزند يا خير، سراغ قسمت پشتيباني برويد و قبل از انجام بروزرساني منتظر نمانيد تا تنظيمات ثابت شود.

_از كلمه ي عبور قوي استفاده كنيد:

كلمه هاي عبوري همچون “عاشقانه123” و “عاشق اسب تك شاخ” مطمئنا مناسب نبوده و استفاده از آنها بي ملاحظگي است. كلمه ي عبور نبايد بيانگر شخصيت دروني شما باشد چراكه قرار است چيزهايي را ايمن نگه دارد. از تركيبي از حروف،اعداد،و علائم خاص استفاده كنيد بطوريكه كلمه اي حداقل 10 حرفي تشكيل گردد. برنامه هاي كاربردي همچون Lastpass, Keepass شما را در توليد و حفظ كلمه هاي عبور قوي كمك ميكنند.

_آدرس ايميل را ايمن كنيد:

آدرس ايميل كه براي متصل شدن به سرور شبكه،CMS،پايگاه داده ها و… بكار ميرود را دور از دسترس قراردهيد. از آدرسي كاملا متفاوت در صفحه ي ارتباط استفاده كنيد. اين كار جلوي جاسوسان را كه بصورت ايميل مخفي ظاهر ميشوند را ميگيرد.

_يك پيشوند مخصوص بخش پايگاه داده ها اضافه كنيد:

اگر از يك CMS,blog،يا زبان برنامه نويسي استفاده ميكنيد، پيشوند پيش فرض مربوط به بخش پايگاه داده ها را تغيير دهيد. براي مثال درمورد WordPress اين پيشوند wp است. بنابراين اگر يك هكر حرفه اي راهي را براي استخراج اطلاعات از پايگاه داده ها پيداكند، پيشوندهاي پيش فرض پاشنه هاي آشيل شما خواهند بود.

_رمز از پايگاه داده ها محافظت ميكند:

دربسياري از زبانهاي برنامه نويسي وارد كردن رمز پايگاه داده ها واجب نيست و خالي گذاشتن كادر آن جلوي نصب زبان را نخواهد گرفت. يك رمز خالي نوعي اتلاف لايه ي امنيتي اضافي است. رمزپايگاه داده ها وب سايت را كند نخواهد كرد بنابراين دليلي براي انتخاب نكردن آن وجود ندارد.

_پوشه ي نصب را پاك كنيد:

بعد از اتمام نصب نيازي به حفظ پوشه ي نصب كننده نيست. احتمال بسيارزياد وجوددارد كه هكر نصب كننده را دوباره اجرا،پايگاه داده ها را خالي كرده و كنترل سايت و محتواي آنرا دراختيار بگيرد. به شدت توصيه ميگردد كه بعد از اتمام نصب پوشه ي نصب را پاك كنيد اما اگر مسيرتان را در سرور شبكه ميشناسيد ميتوانيد پوشه را تغيير نام دهيد.

_رمزهاي فايل و پوشه را تغيير دهيد:

در برخي زبانهاي برنامه نويسي حين نصب خواندن – نوشتن كامل ضروري است. اين امر با وارد كردن كد777 درپوشه هاي مهم مثل config, admin حاصل ميشود. رمز فايلها را به عدد اوليه ي آنها مثل 755 يا 644 برگردانيد. يك فايل يا پوشه با رمز خواندن – نوشتن كامل امكان ايجاد رمزهاي جاسوسي را در وب سايتتان افزايش ميدهد.

_از دسترسي FTPايمن بهره ببريد:

اگر سرور شبكه يا ISPتان دسترسي SFTP را پشتيباني ميكند، سريعا فايلها را بصورت كاملا رمزگذاري شده به سرورتان ارسال كنيد. هيچ كس نميتواند نسبت به آنچه به سرور شبكه ارسال و يا از آن دريافت ميكنيد ايراد بگيرد.

_دسترسي كلي را محدود كنيد:

هرگز دسترسي كلي به كسي ندهيد. اجازه ي دسترسي به پوشه هاي غير سيستمي خاص در ارسال هاي FTPرا به افراد غير از مدير ندهيد.

_از وجود فايل htaccess  اطمينان حاصل كنيد:

فايلهاي htaccessاغلب براي تعيين محدوديت هاي امنيتي در دايركتوري خاص بكار ميروند. مطمئن شويد كه ازروي اتفاق پاك نشده باشند.

_فايل robots.txtرا اضافه كنيد:

اين فايل دستورالعملهاي خاصي براي جستجوي موتورهاي جستجو ارائه ميكند. فايده ي اين دستورالعملها اين است كه فايلهايي كه بايد و فايلهايي را كه نبايد فهرست شوند را مشخص ميكند. پوشه هايي داراي اسناد، تصاوير و … را ميتوان با مخفي سازي از فهرست شدن و مشخص شدن در محيط شبكه منع كرد.

_از pluginهاي امنيتي استفاده كنيد:

پايگاههاي كامل هميشه داراي pluginهايي براي افزايش عامليت هسته اي زبان برنامه نويسي هستند. دنبال آن دسته از pluginها باشيد كه لايه ي امنيتي بيشتري اضافه ميكنند.

_وب لاگهاي جديد و مهم در زمينه ي تكنولوژي را مطالعه كنيد:

اطلاعات خودتان را درمورد آخرين آسيب پذيريها، ويروسها و حملات اينترنتي بروز كنيد. اين اطلاعات به شما كمك خواهد كرد كه از وب سايتتان محافظت كرده ويا در صورت بروز خطري بسيار جدي موقتا آنرا غيرفعال سازيد. Wired’s Threat Level , Kreb’s on Securityمكانهاي خوبي براي شروع خواهند بود.

_از زبانهاي برنامه نويسي و تمهاي باطل شده دوري كنيد:

كپي غيرقانوني از زبانهاي تجاري و تمها آسانترين نوع كپي غيرقانوني است. حجم فايل كمتر، عدم نياز به رمز، Daemonو بسته هاي Dllپردردسر باعث گرايش به كپي غيرقانوني زبان برنامه نويسي ميشود. با اين وجود بر خلاف نرم افزارهاي كپي شده بصورت غيرقانوني كه يك ويروس مخفي در آنها به كمك نرم افزار ضد ويروس از بين خواهدرفت، راهي براي جلوگيري از نفوذ به پايگاه كدها وجود ندارد. حتي يك برنامه نويس حرفه اي نيز نميتواند هزاران خط كد را براي كنترل عاري بودن زبان كپي شده از مسيرهاي نفوذ بررسي كند. يك زبان يا تم باطل شده همراه با مسير نفوذ هكر را قادر ميسازد تا بوسيله ي ايميلهاي وعده دهنده حاكي از بهبود شرايطي كه نميتواند بهبود يابد افراد را فريب دهد. اگر خوش شانس باشيد كه از وب سايتتان براي تبليغات ضد دولتي يا ترويج استفاده از كودكان در مسائل جنسي استفاده نشود.

وقتي صحبت از امنيت در اينترنت ميشود، راههاي بسيار زيادي براي حفاظت از يك وب سايت پيش رو قرار ميگيرد. راهكارها و نكته هاي مناسبي را كه براي حفاظت از وب سايتتان بكار ميگيريد با ما در ميان بگذاريد.

منبع: web.appstorm