Zabezpiecz swoją stronę w Joomla!

download Zabezpiecz swoją stronę w Joomla!

If you can't read please download the document

  • date post

    22-Jan-2017
  • Category

    Internet

  • view

    796
  • download

    1

Embed Size (px)

Transcript of Zabezpiecz swoją stronę w Joomla!

Zabezpiecz swoj stron w Joomla! od wyboru

Zabezpiecz swoj stron w Joomla! od wyboru hostingu do strony produkcyjnejWojciech Klocek

Zacznij od SIEBIeZainwestuj w program antywirusowy,Nie zapisuj hase w przegldarce i kliencie FTP,Zapisywanie hase na kartkach i przyklejanie ich na monitor czy biurko te nie jest dobrym pomysem

Wybr hostinguCo powinien posiada idealny hosting:Support 24/7,Regularne kopie zapasowe,Moliwo odtworzenia lub pobrania kopii zapasowych,Zabezpieczenia firewall, blokowanie portw, systemy antywirusowe.

Baza danychUywaj innego uytkownika dla bazy danych ni gwny uytkownik na hostinguUywaj randomowych i unikalnych prefixw tabelPhpmyadmin jest fajny, ale

Serwer FTPWycz w Joomla! obsug protokou FTP. Generalnie nie jest on w jakimkolwiek stopniu potrzebny czy uywany jeli stosujesz klienta FTP.

Hasa i HasekaHaso powinno by w miar silne najbardziej podstawowa bezpieczna kombinacja to minimum 6 znakw pi liter (z czego jedna dua), jedna cyfra i jeden znak specjalny,Przykadowo haso Admin1# jest hasem ju w miar bezpiecznym,Wbrew pozorom numer PESEL jest hasem bezpiecznym

Ustawienia serwera php.inidisable_functions = show_source, system, shell_exec, passthru, exec, phpinfo, popen, proc_openmagic_quotes_gpc = 0safe_mode = 0register_globals = 0allow_url_include = 0

Plik .htaccess# Block out any script trying to set a mosConfig value through the URLRewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [OR]

# Block out any script trying to base64_encode crap to send via URLRewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR]

# Block out any script that includes a < script> tag in URLRewriteCond %{QUERY_STRING} (|%3E) [NC,OR]

# Block out any script trying to set a PHP GLOBALS variable via URLRewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR]

# Block out any script trying to modify a _REQUEST variable via URLRewriteCond %{QUERY_STRING} _REQUEST(=|[|%[0-9A-Z]{0,2}) [OR]

# Block out any script that tries to set CONFIG_EXT (com_extcal2 issue)RewriteCond %{QUERY_STRING} CONFIG_EXT([|%20|%5B).*= [NC,OR]

# Block out any script that tries to set sbp or sb_authorname via URL (simpleboard)RewriteCond %{QUERY_STRING} sbp(=|%20|%3D) [OR]RewriteCond %{QUERY_STRING} sb_authorname(=|%20|%3D)

# Send all blocked request to homepage with 403 Forbidden error!RewriteRule ^(.*)$ index.php [F,L]

UytkownicyWycz automatyczn rejestracj uytkownikwJeli posiadasz wczon rejestracj to ustaw potwierdzenie rejestracji lub akceptacj przez nowych kont przez administratorw serwisu

SuperadministratorPo zainstalowaniu Joomla! utwrz nowe konto Superadministratora, a staremu zmie uprawnienia lub je usu inny numer IDIm mniej Superadminw tym stabilniejsza praca i mniej mieciZmiana domylnej nazwy Superadmina

Kopie zapasoweRb kopie minimum raz dziennie oraz przed kad znaczc zmian na stronieMoliwe jest rwnie zautomatyzowanie tworzenia kopii Akeeba Backup oraz Cron

AktualizacjePamitaj o aktualizacjach, szczeglnie tych usuwajcych bdy krytyczne oraz luki w zabezpieczeniachPrzy innych aktualizacjach odczekaj par dni i poszukaj opinii czy wszystko dziaa prawidowo

Prawa dostpu do folderw i plikwPrawa dostpu (CHMOD):Pliki PHP 644Plik configuration.php 644 (lub 444)Pliki hmtl oraz zdjcia - 644Katalogi 755Katalog gwny instalacji Joomla! - 750Nigdy nie uywaj 777, jeli ju jest to absolutnie niezbdne ustaw 707

Logowanie do zapleczaInna cieka dostpu do zapleczaOgraniczenie dostpu dla wybranych numerw IP (w pliku .htaccess) w przypadku staego IP dla adminwDeny from ALLAllow fromx.x.x.x

.htpasswdUtwrz w katalogu administrator plik .htpasswdW jego wntrzu umie login:hasoUtwrz plik .htaccess w katalogu administratorWewnrz pliku umie kod:

AuthName "Secured Area"AuthType BasicAuthUserFile /home/myaccount/.HTPASSWDrequire valid-user

Two-Factor AuthenticationDodatkowe pole z unikalnym kluczem generowanym dynamicznie,Wymaga pobrania na urzdzenie mobilne programu generujcego klucz

Two-Factor Authentication

YubiKey

Certyfikaty SSLUmoliwiaj ochron plikw cookies,Ochrona sesji,Uwiarygodnienie poczenia certyfikatem

Nieuywane ZasobyElementy, ktrych nie uywasz najlepiej usun z CMS-a. Poza potencjalnymi bdami w kodzie, rootkitami mog one rwnie znaczco spowalnia dziaanie strony.

Dotyczy to zarwno komponentw, moduw i wtyczek, jak i szablonw.

LegalnoInstaluj tylko oryginalne rozszerzeniaRozszerzenia pobrane z warezw mog:Zawiera zoliwy kod,Zawiera backdoory,Zawiera niechciane treci reklamowe oraz przekierowania

RozszerzeniaInstaluj rozszerzenia pochodzce z zaufanych rde (JED, strony producentw)Jeli na stronie wywietla si informacja odnonie rozszerzenia staraj si j ukry dajesz osobie atakujcej informacje z czego korzystasz

System komentarzyZastp standardowy system komentarzy innym, np. Disqus zwaszcza w przypadku K2,Wcz dla komentarzy Captcha,Zapobiegaj automatycznemu publikowaniu komentarzy wcz ich moderacj

Captcha ReCaptchaEliminuje w znaczny sposb ilo faszywych kont,Praktycznie uniemoliwia botom dodawanie komentarzy,Znacznie ogranicza ilo otrzymywanego spamu.

Rozszerzenia typu SEFDobry dodatek SEF zwiksza rwnie bezpieczestwo stronyMaskuje on wywietlanie w URL-u informacji odnonie uytego rozszerzeniash404SEF zawiera element zabezpieczajcy zatrzymujcy rne ataki i informujcy o tym na mailaUsuwa ona rwnie Tag Generator informujcy o rodzaju wykorzystywanego CMS-a

Rozszerzenia do zarzdzania bezpieczestwem

Akeeba Admin ToolsjHackGuardRSFirewall

Dzikuj za uwag

http://morphic.plkontakt@morphic.pl690 696 232