Сайт, которым я управляю, уже пострадал от одного крупного и одного незначительного нарушения, поэтому я внимательно изучаю методы повышения безопасности. Мы используем FTP...
Кажется, все согласны, что FTP необходимо заменить ради безопасности, и SFTP, похоже, является заменой. Но наш план общего хостинга предоставляет только одну учетную запись SFTP, а наш основной альтернативный поставщик — только одну.
Я думаю, что это как раз то, что человек получает, не имея возможности позволить себе что-то лучше, чем общий хостинг. Но также потому, что SFTP основан на SSH, и нет необходимости иметь много разных людей, которые возятся с сайтами через SSH.
В1: Предоставляют ли какие-либо крупные поставщики хостинга несколько защищенных аккаунтов в планах общего хостинга по конкурентоспособным ценам?
В2: Верно ли, что нет разумного способа совместного использования одного аккаунта SFTP двумя или тремя людьми? Другими словами, неизбежно ли, что кто-то в конечном итоге будет использовать совершенно небезопасное FTP-соединение?
В3: Что делать? Предложения приветствуются!
В4: Упускаю ли я что-то невероятно очевидное?
Нет, мы так и не смогли определить причину нарушений, несмотря на все усилия. Я нашел столько списков мер предосторожности, которые нужно было принять, и дыр, которые нужно было закрыть, и сделал все, что мог. FTP — одна из основных, которую я все еще пытаюсь закрыть.
Вкратце: после первого взлома мы обновились до последней версии CMS, которую мы используем (phpFusion), и переместили большую часть сайта на поддомены. (Есть веская причина, не относящаяся к делу, сделать это.) Это оставило в базовом домене только тривиальное приветствие — переключение html-страницы, содержащей статические ссылки на экземпляры CMS в поддоменах. Второе нарушение вставило в этот файл много скрытых ссылок. Насколько я могу судить, в базовом домене в принципе нечего было взламывать, поэтому наиболее вероятным способом доступа кажется взломанный FTP. Пароли FTP были достаточно надежными, поэтому подбор методом подбора кажется маловероятным.
Кстати, техническая поддержка не отреагировала на наши сообщения об инцидентах, а поставщик не предоставляет журнал доступа к FTP, который мог бы подтвердить или исключить тот факт, что кто-то перехватил учетные данные FTP.
--
Нас только двое с правами root на сайте. Мы коллеги на сайте, представляющем общественный интерес, поэтому оба очень мотивированы на защиту сайта. Я обеспокоен тем, что мой коллега не очень техничен и не может много потратить на защиту своего ПК, поэтому он мог подцепить кейлоггер.
Нас только двое с правами root на сайте. Мы коллеги на сайте, представляющем общественный интерес, поэтому оба очень мотивированы на защиту сайта. Я обеспокоен тем, что мой коллега не очень техничен и не может много потратить на защиту своего ПК, поэтому он взял себе кейлоггер.
решение1
Были ли изначально определены основные причины нарушений и установлено, что они являются результатом скомпрометированных входов в систему (что может быть или не быть признаком взломанного сеанса ftp)? Замена ftp на sftp, безусловно, более безопасна, но действительно ли это решает ваши прошлые нарушения (чтобы вы не стали повторной жертвой той же уязвимости — что должно быть первоочередной задачей)?
решение2
Данные FTP (включая учетные данные для входа) передаются в виде простого текста, поэтому они настолько небезопасны. Вам определенно стоит начать использовать SFTP в качестве привычки, поскольку тогда ваши данные будут зашифрованы.
В1: Предоставляют ли какие-либо крупные поставщики хостинга несколько защищенных аккаунтов в планах общего хостинга по конкурентоспособным ценам?
A1: Media Temple предлагает способ создания нескольких пользователей с доступом к SSH/SFTP в своем «совместном» плане хостинга — они называют это Grid. http://mediatemple.net
В2: Верно ли, что нет разумного способа совместного использования одного аккаунта SFTP двумя или тремя людьми? Другими словами, неизбежно ли, что кто-то в конечном итоге будет использовать совершенно небезопасное FTP-соединение?
A2: Это зависит от того, чего вы хотите. Если вас всего двое или трое, работающих вместе, то на самом деле нет особых причин, по которым совместное использование учетной записи может быть проблемой. Кстати, в зависимости от того, с кем вы работаете и насколько вы доверяете этим людям, вам действительно нужно, чтобы учетная запись ssh/sftp, которой вы все делитесь, НЕ была учетной записью root/administrator.
В3: Что делать? Предложения приветствуются!
A3: Если вы доверяете своим коллегам, нет причин, по которым вы не могли бы совместно использовать одну учетную запись ssh/sftp. Я предлагаю вам полностью отключить FTP, если вы можете, или, по крайней мере, отключить FTP для этого пользователя. Поскольку ваш сайт уже был скомпрометирован, также убедитесь, что все ваши пароли изменены. Все они: mysql, apache, root и любые другие пользователи или учетные записи.
В4: Упускаю ли я что-то невероятно очевидное?
A4: Остерегайтесь SQL-инъекций, старых версий ПО: apache, phpmyadmin, mysql — обновляйте их и всегда используйте SFTP или SSH для удаленного подключения к вашему хосту. Меняйте пароли так часто, как это разумно для вашего стиля работы, для всех систем; пользователей базы данных, root, учетные записи ssh... и т. д.
решение3
Если вы используете общий хостинг, вы обычно платите за веб-пространство для домена, поэтому вы получите одну учетную запись SSH, которая позволяет вам войти в эту папку. SFTP просто входит в систему, используя эту учетную запись, и ограничение на количество учетных записей, скорее всего, зависит от количества имен пользователей, а не от количества одновременных подключений.
Если у вас больше одного домена, вы, вероятно, получите больше одного аккаунта. Если нет, зачем вам больше одного аккаунта? Также, посмотрите пост user48838, он прав, не беспокойтесь о том, чтобы прибить доску поперек двери, если у вас открыто окно.