Słownik bezpieczeństwa WordPress – co znaczą hardening, WAF, 2FA, backdoor i inne pojęcia
Krótki słownik pojęć, które pojawiają się na tym blogu i w rozmowach o bezpieczeństwie stron. Bez żargonu – tak, żeby rozumiał je właściciel firmy, a nie tylko informatyk.
.htaccess · 2FA · Atak brute-force · Backdoor · CSP · DDoS · Exploit · Hardening · Malware · Mixed content · Phishing · SSL / TLS · Staging · WAF · wp-config.php
.htaccess
Plik konfiguracyjny serwera Apache/LiteSpeed. Pozwala m.in. wymusić HTTPS, zablokować wrażliwe pliki i ustawić reguły bezpieczeństwa, zanim żądanie trafi do WordPressa.
2FA (uwierzytelnianie dwuskładnikowe)
Logowanie wymagające dwóch elementów: hasła oraz drugiego składnika, np. kodu z aplikacji w telefonie. Nawet jeśli ktoś pozna hasło, bez drugiego składnika nie zaloguje się na konto.
Atak brute-force
Automatyczne zgadywanie hasła przez sprawdzanie tysięcy kombinacji. Boty robią to całą dobę. Bronią się przed nim limit prób logowania, silne hasła i 2FA.
Backdoor (tylne drzwi)
Ukryty fragment kodu zostawiony przez włamywacza, który pozwala mu wrócić na serwer nawet po zmianie haseł. Najczęstszy powód, dla którego „wyczyszczona” strona zostaje zainfekowana ponownie.
CSP (Content-Security-Policy)
Nagłówek, który mówi przeglądarce, z jakich źródeł wolno ładować skrypty, style i obrazy. Jedna z najskuteczniejszych barier przeciw wstrzykiwaniu złośliwych skryptów, w tym skimmerów kart.
DDoS
Atak polegający na zalaniu strony ogromną liczbą żądań naraz, tak by przestała odpowiadać. Ochronę zapewniają usługi typu Cloudflare, które pochłaniają i filtrują taki ruch.
Exploit
Gotowy sposób wykorzystania konkretnej luki w oprogramowaniu. Gdy luka w popularnej wtyczce zostaje opisana, exploit szybko trafia do automatycznych narzędzi atakujących.
Hardening (utwardzanie)
Zestaw działań, które zmniejszają „powierzchnię ataku” strony: blokada zbędnych funkcji, reguły serwera, mocniejsze ustawienia logowania. Celem jest zamknięcie typowych dróg ataku, zanim ktoś z nich skorzysta.
Malware (złośliwe oprogramowanie)
Każdy kod wprowadzony na stronę w złym celu: przekierowania, spam, kradzież danych, koparki kryptowalut. Rozpoznanie typu infekcji ułatwia jej usunięcie.
Mixed content
Sytuacja, gdy strona działa po HTTPS, ale część elementów (obrazki, skrypty) ładuje się po http://. Przeglądarka traktuje ją wtedy jako nie w pełni bezpieczną i nie pokazuje kłódki.
Phishing
Podszywanie się pod zaufaną firmę (bank, kuriera), by wyłudzić dane logowania lub płatności. Przejęte strony bywają wykorzystywane do hostowania fałszywych stron phishingowych.
SSL / TLS
Technologia szyfrująca połączenie między przeglądarką a serwerem. Objawia się adresem https:// i kłódką w pasku. Chroni dane przesyłane przez formularze i jest dziś standardem, którego wymaga też Google.
Staging (środowisko testowe)
Kopia strony, na której testuje się aktualizacje i zmiany, zanim trafią na wersję dostępną dla klientów. Pozwala wychwycić problem, zanim zepsuje działającą stronę.
WAF (firewall aplikacyjny)
Web Application Firewall – filtr, przez który przechodzi ruch do strony. Blokuje żądania pasujące do znanych wzorców ataków, zanim dotrą do WordPressa. Może działać na poziomie serwera, chmury (np. Cloudflare) albo wtyczki.
wp-config.php
Główny plik konfiguracyjny WordPressa – zawiera m.in. dane dostępowe do bazy danych. Jego ochrona jest kluczowa; dostęp do niego oznacza dostęp do całej strony.
Coś jest niejasne?
Jeśli natrafiłeś na pojęcie, którego tu nie ma, napisz – chętnie wytłumaczę i rozbuduję słowniczek.
Zadaj pytanieNajczęstsze pytania
Czym różni się hardening od firewalla?
Hardening (utwardzanie) to zamykanie zbędnych furtek w konfiguracji WordPressa i serwera, a firewall (WAF) to filtr blokujący złośliwe żądania w locie. Działają uzupełniająco – jedno ogranicza powierzchnię ataku, drugie odsiewa ruch.
Co to jest backdoor?
To ukryte „tylne drzwi” zostawione w kodzie po włamaniu, które pozwalają atakującemu wrócić nawet po zmianie haseł. Dlatego samo przywrócenie kopii zapasowej nie zawsze wystarcza – trzeba też znaleźć i usunąć backdoora.
Czy muszę znać wszystkie te pojęcia?
Nie. Wystarczy rozumieć ogólnie, co robią najważniejsze zabezpieczenia. Słownik ma pomóc zrozumieć raporty i rozmowy ze specjalistą, a nie zrobić z Ciebie informatyka.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
