Se Yahoo può essere hackerato, come possiamo proteggere i nostri piccoli siti web? [chiuso]

Utilizza un computer separato per gestire il sito

La maggior parte delle violazioni dei dati non implica che il sito Web venga violato. Invece, una workstation interna viene violato quando l'utente visita una pagina Web dannosa; questo è chiamato "drive by malware". Con un sistema interno compromesso, viene eseguita l'escalation laterale, fino a quando gli aggressori assumono il controllo di un computer con accesso al database. Possono quindi estrarre ed estrarre i dati.

La ragione per cui viene utilizzata questa rotatoria è che molti siti Web sono estremamente difficili da violare direttamente. Se l'organizzazione prende precauzioni ragionevoli, non ci saranno vulnerabilità note e richiederebbe una "vulnerabilità zero day" per l'hacking diretto. Al contrario, gli ambienti IT degli uffici sono solitamente poco protetti, quindi questa è la via più semplice da indirizzare agli hacker.

La soluzione a questo è di avere "postazioni di accesso privilegiate" completamente separate e "air gapped" da Internet. Questa è stata una pratica standard nelle reti militari / di intelligence classificate per anni, ma è rara nei sistemi commerciali. La violazione indica che Yahoo non lo sta facendo. Mentre potresti criticarli per questo, sono solo gli stessi di molti colleghi del settore. Tuttavia, come un piccolo sito Web, puoi fare le cose in modo diverso. Assicurati che il tuo sito web sia protetto e utilizza un laptop separato per gestire il tuo sito. Non fare alcuna navigazione da quel laptop.

Ho mantenuto questa risposta di alto livello in modo che non diventi troppo lunga. Per ulteriori letture, cerca alcune frasi che ho incluso tra virgolette.

Essere grandi non equivale a essere protetti meglio

Non dare per scontato che, visto che sono grandi e famosi, tutto ciò che fanno è meglio di quello che puoi fare.

Non è cambiato nulla: puoi proteggere i tuoi piccoli siti web come facevi prima, forse meglio dal momento che puoi imparare dagli errori di Yahoo. L'aggiornamento continuo dell'hash della password, invece di usare md5, sarebbe un buon inizio.

A volte, essere grandi significa anche impiegare molto tempo ad aggiornare le misure di sicurezza, non mi sorprenderebbe se "aggiornare gli hash delle password" fosse in qualche elenco di cose da fare per molti anni.

Ogni sito Web è a rischio, i siti Web sicuri al 100% sono un mito. Come già detto qui, una buona cosa è imparare dagli errori degli altri (non solo Yahoo) per difendere meglio le difese. Quello che ha fatto yahoo è terribilmente debole in termini di sicurezza. Ad esempio, gli hash MD5 erano già noti nel 2013 per essere precari. Quindi, ciò che apprende è che è necessario stare al passo con le migliori pratiche di sicurezza ed essere consapevoli delle nuove vulnerabilità nelle diverse parti del tuo sito web.

Un altro aspetto per difendersi è sapere chi è il tuo nemico. In una delle dichiarazioni di Yahoo dicono che si trattava di aggressori dello stato nazione. Questa categoria di aggressori ha un sacco di soldi. E se hai la giusta quantità di denaro puoi rompere tutto. Ma probabilmente non sarà il tipo di attaccante che devi temere sul tuo piccolo sito web. Più probabili aggressori sono i ragazzini degli script che sono là fuori per divertirsi un po 'a cercare di hackerare il tuo sito web. O qualsiasi altro aggressore con un budget limitato. Ma non essere sbagliato, possono fare molto male! Ma comunque questa informazione ti dà una buona intuizione per fare compromessi sulla sicurezza.

1. come possiamo proteggere le informazioni degli utenti del sito web dagli hacker? Yahoo usa la sicurezza di alto livello ...

Non ho dettagli su questa operazione, ma presumo che ci siano stati dei difetti da qualche parte. Yahoo, come altre importanti aziende, deve sempre trovare un equilibrio tra sicurezza, costi e aspettative del cliente. Utilizzeresti un sito se ti richiedesse di produrre un certificato valido? O un sito che chiedeva un compenso per pagare i propri agenti di sicurezza? Ciò potrebbe rafforzare la sicurezza, ma anche ridurre notevolmente il pubblico, che è sicuramente non che cosa vogliono quei siti principali.

2. Siamo tutti a rischio?

Sì. O almeno dovresti dare per scontato. O più esattamente, dovresti considerare le minacce per il tuo sito, le possibili conseguenze e il costo dei processi di mitigazione. Potresti decidere che niente di più di ciò che già esiste vale il costo, ma ne sarai consapevole.

3. Le attuali soluzioni di sicurezza non sono sufficienti per prevenire un attacco?

Questa non è la domanda corretta. Le migliori pratiche di sicurezza dovrebbero essere rispettate, e nella grande maggioranza dei casi di hacking, uno di questi (almeno) non lo era. Ma non possono essere sufficienti per nessuna minaccia, perché alcune minacce sono poco dipendenti dalla tecnologia. Non dimenticare mai che esiste anche il mondo reale

TL / DR: per piccoli siti , è sufficiente seguire le migliori pratiche di sicurezza e dovrebbe essere sufficiente. Le cose diventano più complesse quando l'importanza dei dati aumenta perché la protezione fisica arriva sulla scena.