ممکن است شما یک سایت شخصی داشته باشید که از آن برای وبلاگ نویسی استفاده می‌کنید. یا یک تجارت جهانی در مقیاس بزرگ را می گردانید! در هر دو حالت امنیت سایت شما از اهمیت بالایی برخوردار است. امنیت جنبه ای از میزبانی وب است که برای همه حائز اهمیت است. اگر مشکلات امنیتی منجر به از دست دادن درآمد یا سرقت هویت شما شود، میتواند برای یک تجارت ویرانگر باشد؛ بنابراین، اهمیت دارد که یاد بگیرید به چه جنبه های امنیتی باید توجه کنید. در این مقاله راه‌های بالا بردن امنیت هاست میزبانی وب و سایت را بررسی خواهیم کرد.
فهرست عناوین
بالا بردن امنیت هاست در برابر چه کسانی خواهد بود!؟
در اصل کسانی که برای صدمه زدن به سایت شما اقدام می کنند دو دسته هستند.
متداول ترین و خطرناک ترین آنها سارق اطلاعات است. این اشخاص که به دنبال فرصتی برای جمع آوری اطلاعات برای منافع شخصی خود هستند، غالباً در خفا فعالیت می‌کنند. آنها سعی می‌کنند برای مدت طولانی بدون توجه به کار خود ادامه دهند تا تعداد قربانیانی که می توانند به آنها دسترسی پیدا کنند را به حداکثر برسانند.
البته توجه داشته باشید که همه افرادی که قصد دارند به سایت شما آسیب برسانند سعی در سرقت از شما ندارند. گروه قابل توجهی از هکر ها هستند که به سادگی به دنبال ایجاد اختلال هستند و از آن لذت می برند.
وقتی قربانی یکی از این هکرها شوید، میتواند سایت شما را فلج کند و باعث از دست دادن درآمدتان شود. آنها معمولاً به دلیل سرگرمی خود و یا اینکه خودشان را ثابت کنند، اقدام به از کار انداختن یک سازمان یا کسب و کار می کنند. آنها اغلب دیوارنویسی هایی را روی سایت قرار می‌دهند و صفحه را تغییر می دهند تا به شما اطلاع دهند که آنجا هستند و این کار را انجام داده اند.
برای بالا بردن امنیت هاست به چه موارد امنیتی باید توجه شود؟
خوشبختانه اکثر میزبانان وب آگاه هستند که تقاضای امنیت قوی وجود دارد و به خواسته های مشتریان خود گوش می دهند. اما شما باید در بالابردن امنیت هاست لینوکس و یا هاست ویندوز خود به دو نکته اساسی توجه داشته باشید. اول، شما باید مطمئن باشید که میزبان وب شما از سرورهای خود مراقبت می کند تا یک محیط امن را فراهم کند. در مرحله بعدی، آنها باید ابزار های لازم را برای اطمینان از امنیت سایت و عملکرد آن فراهم کنند. هنگام جستجوی یک میزبان وب جدید یا ارزیابی امنیت میزبان خود، مواردی وجود دارد که باید در نظر بگیرید در ادامه به آنها خواهیم پرداخت. البته پیش از آن اجازه دهید به این موضوع بپردازیم که وقتی که قصد بالا بردن امنیت هاست را داریم این انیت به چه معناست و اصلا امنیت سایت چیست.
امنیت سایت چیست؟
همان طور که گفته شد همواره هکرها به دنبال هک کردن سایت شما هستند. حال ممکن است فکر کنید که این ها فقط سایت های بزرگ را هک می کنند و هک سایت های کوچک به دردشان نمی‌خورد! ولی باید بگوییم که این تصور کاملاً غلط است. انجام روش هایی که سایت شما را از خطر هک شدن حفظ می کند را امنیت سایت می گویند. حال می تواند در بخش اصلی سایت باشد یا دامنه و هاست… هک شدن هر کدام از این بخش ها به سایت شما صدمه می زند و حاصل دسترنج شما را تهدید خواهد کرد!
اگر سایت شما وردپرس است قطعاً از افزونه هایی برای بالا بردن امنیت هاست و وب سایت خود استفاده می کنید اما آیا این ها کافی هستند؟
جواب این سوال، خیر است! علاوه بر تضمین امنیت سایت شما باید برای بالا بردن امنیت هاست و بخش های مختلف آن نیز کاری را انجام دهید و توجه کنید که با انجام راهکار های ساده ای که در ادامه خواهید دید، به راحتی سایت شما از خطر هک شدن در امان می ماند. شما می توانید به عنوان کارشناس امنیت هاست خود عمل کنید.
سیزده راه ساده برای بالا بردن امنیت هاست
- اولین و مهم ترین بخش این است که از شرکت های هاستینگ معتبر هاست خود را تهیه نمایید و توجه داشته باشید امنیت هاست برای این شرکت ها دارای اهمیت باشید! همین که تهیه و ورود به هاست دارای مراحل امنیتی باشد نشان دهنده اهمیت این امر برای این شرکت است.
- دومین نکتة دارای اهمیت این است که از رمز عبور های ساده و قابل حدس زدن استفاده نکنید!
لطفاً نگویید من فراموش کار هستم و رمز های خود را فراموش می کنم مجبور به انتخاب رمز های راحت هستم. قطعاً ضرری که انتخاب رمز های ساده به شما می زند خیلی بیشتر از این است که یک فهرستی تهیه کنید و تمام رمز های مهم خود را یادداشت کنید. اگر تا الان از رمز های راحت استفاده می کردید همین الان اقدام به تغییر آن کنید و از رمز های دارای حروف و اعداد استفاده کنید. همچنین هر چند وقت یک بار آن را تغییر دهید.
- سومین کاری که برای بالا بردن امنیت هاست باید انجام دهید و تقریبا می توان گفت امنیت هاست شما را دو برابر می کند فعال کردن تأییدیه های دو مرحله‌ای است، که در اغلب هاست ها این امکان وجود دارد و کافی است این گزینه را فعال کنید، قبل از ورود به حساب کاربری شما یک کد هشت رقمی به موبایل شما ارسال می شود و بدون این کد امکان ورود برای دیگران وجود نخواهد داشت.
- چهارمین کاری که برای جلوگیری از هک شدن سی پنل لازم به اجراست استفاده از maildirb در سیستم های لینوکسی است که از لحاظ امنیتی بهتر از mailbox است.
- پنجمین راه برای بالا بردن امنیت هاست تقویت امنیت سی پنل با نصب و کانفیگ clameAV است. این کنترل پنل دارای آنتی ویروس هایی از قبیل clamAV است که با اسکن کردن هاست از هک شدن جلوگیری می کند.
- ششمین راه ایجاد امنیت سی پنل Secure کردن پارتیشن tmp در لینوکس است که بسیار دارای اهمیت است و نباید نادیده گرفته شود؛ که این نفوذ و حمله‌های صورت گرفته به دلیل ضعف پوشه /tmp صورت می گیرد و شما با کد های سادة php می توانید امنیت این بخش را بالا ببرید.
- هفتمین راهکار بالا بردن امنیت هاست و جلوگیری از ورود هکر ها به سایت شما این است که سعی کنید از سیستم های اشتراکی و گوشی همراه برای ورود به پنل کاربری هاست استفاده نکنید چرا که استفاده از نرم‌افزارهای غیر مجاز و مخرب امنیت شما را تهدید خواهد کرد.
- هشتمین عاملی که به بالا بردن امنیت هاست کمک می کند، مدیریت پچ است. به این معنا که نرم افزارها را به موقع آپدیت کنید!
در پس آپدیت هایی که برای برنامه‌های شما ارائه می شود قطعاً رفع مشکل و اصلاح یک ایراد در برنامه وجود دارد. این آپدیت کردن ها را جدی بگیرید و همین می تواند امنیت هاست شما را در پی داشته باشد. (مانند بروز کردن وردپرس، قالب، افزونه و…)
- نهمین بخشی که نقش اساسی در بالا بردن امنیت هاست دارد، فایروال هاست است. در اینجا شما مشخص می کنید که چه افرادی به هاست شما دسترسی داشته باشند و افراد دیگر این دسترسی را نخواهند داشت.
- دهمین نکته در بالا بردن امنیت هاست این است که هنگام ورود به هاست از پروتکل های امن استفاده کنید.
http و https پروتکل هایی هستند که می توانید از آنها استفاده کنید؛ اما http نا امن است و امکان هک شدن وجود دارد ولی https به شرط وجود الگوریتم رمزنگاری معتبر امن خواهد بود. این امنیت توسط SSL که مخفف Secure Sockets Layer است، تضمین می شود.
SSL یک مسیر رمزگذاری شده بین مرورگر و وب سرور را فراهم می کند. شما می توانید با استفاده از نشانگر قفل شده در نوار آدرس همراه با استفاده از Https:// در آدرس، از یک گواهینامه SSL استفاده کنید. اگر یک سایت تجارت الکترونیکی را اداره می کنید، گواهی SSL یک ضرورت است. این امر به جلوگیری از سرقت اطلاعات مشتری، شماره های کارت اعتباری یا بانکی، نام، آدرس و سایر اطلاعات شخصی کمک خواهد کرد و این اطلاعات ایمن خواهند ماند. پس توجه داشته باشید هر زمان که نیاز به جمع آوری اطلاعات شخصی و حساس دارید، گواهی SSL ضروری است.
- یازدهمین نکته ای که باید مورد توجه قرار بگیرد لیست سیاه است! یعنی وقتی نمی خواهید از یک برنامه استفاده کنید باید مطمئن شوید که به طور کامل در لیست سیاه (blacklist) قرار گرفته و اجازه دسترسی به محتوای شما ندارد.
- دوازدهمین موردی که می‌توان برای بالا بردن امنیت هاست به آن اشاره کرد استفاده از SFTP است.
اگر قبلاً پرونده ها را در حساب میزبانی خود بارگذاری کرده اید، احتمالاً با FTP (پروتکل انتقال پرونده) آشنا هستید. پیشتر در مقاله “FTP چیست” به طور کامل به بررسی این پروتکل پرداختیم و دیدیم چه کاربردهایی میتواند داشته باشد. اما استفاده از این پروتکل در بالا بردن امنیت هاست کمی به دقت نیاز دارد.
شما از یک سرویس گیرنده FTP برای کشیدن پرونده های خود به جایی که می خواهید بارگذاری شود استفاده می کنید و در حساب شما منتشر می شوند. SFTP همان مفهوم است اما امنیت آن بیشتر است. SFTP مخفف Secure File Transfer Protocol است و یک لایه محافظت اضافی را ایجاد می کند. FTP اگر چه نسبتاً ایمن است اما همچنان آسیب پذیر است. پرونده ها را می توان ره گیری کرد و حتی بدون هیچ نشانه ای اصلاح کرد. SFTP این آسیب پذیری را می بندد.
سیزدهمین نکته در امنیت مربوط به پشتیبان گیری می شود. پشتیبان گیری باید به طور منظم انجام شود تا از سایت شما در صورت بروز مشکل یا فاجعه محافظت شود. بیشتر میزبان ها ابزاری را در صفحه کنترل ارائه می دهند که به شما امکان می دهد از سایت خود پشتیبان (Backup) تهیه کنید. این کار باید انجام شود و برای این کار نباید به میزبان خود اعتماد کنید. با این حال، میزبانی که دارای مراحل پشتیبان گیری صدا باشد یک امتیاز مثبت است.
همان‌طور که می دانید هاست های اشتراکی مزایا و معایب خود رادارند در اینجا با توجه به بحث بالا بردن امنیت هاست می خواهیم به دو مورد از متداول ترین مشکل های امنیتی هاست های اشتراکی را با شما به اشتراک بگذاریم.
DDoS یا distributed denial of service
به معنای انکار خدمات توزیع شده و یکی از پرکار بردترین و قدیمی‌ترین روش مورد استفادة هکرها است! میتوانید برای یافتن اطلاعات کامل این مطلب به مقاله “دیداس چیست” مراجعه کنید.
هدف اصلی این هکر ها استفاده از حملات دیداس برای ناتوان کردن سایت و پهنای باند با فرستادن ریکوست های فراوان است. شما زمانی که متوجه این خطر شدید می توانید IP هکر را مسدود کنید و از پشتیبان هاستینگ کمک بخواهید.
در ادامه سه نوع از حملات دیداس را مورد بررسی قرار خواهیم داد:
۱ حملات مبتنی بر حجم
الف: UDP flood
سیلاب پروتکل دیتاگرام کاربر (UDP) با درخواست هایی به نام بسته های UDP به پورت های تصادفی موجود در یک سرور راه دور حمله می کند. میزبان درگاه ها را برای کاربرد های مناسب بررسی می کند. وقتی هیچ برنامه ای پیدا نمی شود، سیستم به هر درخواست با بسته غیرقابل دسترسی مقصد» پاسخ می دهد. ترافیک حاصل می تواند سرویس را تحت فشار قرار دهد.
ب: ICMP(ping)flood
سیل پروتکل پیام کنترل اینترنت (ICMP) بسته های درخواست اکو ICMP (پینگ) را به یک میزبان ارسال می کند.
Pings درخواست های رایجی است که برای اندازه گیری اتصال دو سرور مورد استفاده قرار می گیرد. هنگام ارسال یک پینگ، سرور به سرعت پاسخ می دهد. با این حال، در یک سیل پینگ، یک مهاجم از یک سری گسترده از پینگ ها استفاده می کند تا پهنای باند ورودی و خروجی سرور مورد نظر را خسته کند.
۲ حملات برنامه
الف: HTTP flood
HTTP flood یک حمله برنامه لایه باز است که از بات نت ها استفاده می کند. در این نوع حمله، درخواست های استاندارد GET و POST از یک سرور وب یا برنامه استفاده می کنند. سرور مملو از درخواست است و ممکن است خاموش شود. تشخیص این حملات برای بالا بردن امنیت هاست بسیار دشوار است زیرا کاملاً معتبر به نظر می‌رسد.
ب: Slowloris
Slowloris به آرامی حرکت می کند و سعی می کند اتصالات به وب سرور را باز نگه دارد.
این حمله بخش کوچکی از درخواست HTTP را به یک سرور ارسال می کند. این قسمت ها در بازه های زمانی مشخص ارسال می شوند، بنابراین درخواست به پایان نمی رسد و سرور منتظر تکمیل آن است. این درخواست های ناتمام پهنای باند را تخلیه می‌کنند و بر توانایی سرور در رسیدگی به درخواست های قانونی تأثیر می گذارند.
۳ حملات پروتکل
الف:SYN flood
در حمله سیل SYN، مهاجم درخواست های SYN به ظاهر عادی را به سرور می فرستد که با درخواست SYN-ACK (تأیید هم زمان) پاسخ می دهد. به طور معمول، مشتری سپس درخواست ACK را ارسال می کند و اتصال برقرار می شود. در یک حمله سیل SYN، مهاجم با ACK نهایی پاسخ نمی دهد. تعداد زیادی درخواست ناتمام SYN-ACK که سیستم را تحت فشار قرار می دهند، در سرور باقی مانده است.
ب: Ping of Death
در حمله Ping of Death، مهاجم سعی می کند با ارسال یک درخواست پینگ معمولی که چند قطعه است یا بیش از حد، سرور را خراب یا مسدود کند. اندازه استاندارد هدر IPv4 65535 بایت است. هنگامی که یک پینگ بزرگ تر ارسال می شود، سرور مورد نظر پرونده را تکه تکه می کند. بعداً، هنگامی که سرور پاسخی را تنظیم می کند، دوباره مونتاژ این پرونده بزرگ تر می تواند باعث اضافه بار و خرابی فراوان شود.
SQL injection 4
از شایع‌ترین خطرات امنیتی PHP است که به سایت شما آسیب می زند.
تزریق SQL یک آسیب پذیری امنیت وب است که به یک مهاجم اجازه می دهد تا در جستجو هایی که یک برنامه در پایگاه داده خود ایجاد می کند، تداخل ایجاد کند. به طورکلی به مهاجم اجازه می دهد داده هایی را که معمولاً قادر به بازیابی نیستند، مشاهده کند. این ممکن است شامل داده های متعلق به کاربران دیگر یا هر داده دیگری باشد که برنامه خود قادر به دسترسی به آن است. در بسیاری از موارد، یک مهاجم می تواند با تغییر یا حذف این داده ها، باعث تغییر مداوم در محتوا یا رفتار برنامه شود.
در برخی شرایط، یک مهاجم می تواند حمله تزریق SQL را افزایش دهد تا سرور اصلی یا سایر زیرساخت های back-end را به خطر بیندازد یا حمله ای را برای انکار سرویس انجام دهد.
حمله موفقیت آمیز تزریق SQL می تواند منجر به دسترسی غیرمجاز به داده های حساس مانند رمز های عبور، جزئیات کارت اعتباری یا اطلاعات شخصی کاربر شود.
بسیاری از نقض اطلاعات پر رنگ در سال های اخیر در نتیجه حملات تزریق SQL بوده است که منجر به آسیب رساندن به شهرت سایت های بزرگ و جریمه های قانونی شده است. در برخی موارد، یک مهاجم می تواند مداوم به سیستم های سازمان وارد شود و برای یک دوره طولانی مدت شما متوجه حضور آن نشوید!
سخن نهایی
به عنوان سخن پایانی باید به سراغ ضرب المثل قدیمی برویم که می گوید: «پیشگیری بهتر از درمان است.»!
تا دیر نشده و سروکارتان با هکر ها نیفتاده عجله کنید و روند بالا بردن امنیت هاست و بخش های مختلف سایتتان را به صورت جدی دنبال کنید.
در این مقاله سعی کردیم همه راه های ممکن برای بالا بردن امنیت هاست را با شما به اشتراک بگذاریم که با انجام همین راهکار های عملی ساده با خیالی آسوده به مدیریت سایت خود بپردازید.
