Esiste un modo per rilevare la pagina di phishing e ingannevole (social engineering)

Finché tu

• consenti javascript
• o consenti moduli
• o consenti archiviazione

quindi stai fornendo una risorsa sfruttabile per i phisher.

Per quanto riguarda il rilevamento di tali siti ... ci sono vari approcci che puoi applicare per catturare il frutto basso appeso come il controllo delle parole e il filtraggio bayesiano. Dovresti anche monitorare i tuoi hid per vedere quando appare il nuovo contenuto.

Ma se fossi in me, vorrei anche iniettare un banner fluttuante (piccolo) con qualcosa come "ospitato da badr" nelle pagine html.

Supponendo che tu abbia la possibilità di eseguire script sul server, farei un certo numero di cose.

Innanzitutto assicurati di avere un accordo con qualsiasi utente per modificare e / o eliminare i loro contenuti ai fini della sicurezza. Lo fai attraverso i termini e le condizioni d'uso e / o un contratto standard. Assicurati inoltre di avere disclaimer solidi sui contenuti: ti consigliamo vivamente di ottenere un consiglio legale. In alcuni paesi, dovrai registrare il tuo sito in modo da non essere responsabile per il contenuto, ad es. Stati Uniti d'America.

Quindi imposta un processo di approvazione per qualsiasi contenuto caricato. Dato che è improbabile che tu voglia farlo a mano, modifica qualsiasi script di caricamento che stai utilizzando per effettuare alcuni controlli sull'HTML decompresso.

• A meno che tu non voglia davvero permetterlo, rimuovi o almeno limita ciò che JavaScript può essere incorporato nel codice HTML.

• Se puoi, consenti solo HTML semplificato, ad esempio:

  • Nessun tag di script
  • Nessun tag embed
  • No IFrames
  • Nessun dato: urls
  • Limita la quantità di oscuramento consentita (in cui il codice viene sostituito dalle entità HTML per nascondere ciò che sta facendo)

• Infine, crea una funzione che riveda automaticamente gli URL (href, src attributibutes) e filtri quelli che hai menzionato (PayPal, ecc.)

Questa è solo una lista di esempi, potresti voler adeguarti alle tue esigenze.

Quindi ti stai comportando come un servizio di hosting per siti HTML con script abilitati. Dovresti avere 2 diverse linee di difesa qui.

Come spiegato da Julian, in primo luogo è un punto legale: devi includere nelle clausole dei termini di utilizzo che spieghi che ti riservi il diritto di rimuovere immediatamente un sito ospitato se non rispetta i termini fair use . È possibile trovare esempi per quelli in molti contratti ISP. E ancora da un punto di vista legale e dipendente dal tuo paese, dovresti chiarire alle autorità che non sei responsabile per i contenuti ospitati. Forse consulta un avvocato qui.

Il secondo punto è la tecnica. Non c'è modo di rilevare automaticamente un sito non valido in modo affidabile al 100%. È possibile configurare un filtro bayesiano solo per la ricerca di modelli che si trovano in siti non validi. Dovresti quindi rivedere manualmente quelli che superano una determinata soglia.

Ma attenzione, devi essere abbastanza veloce per elaborare una richiesta da Google o dalle autorità locali per fermare un sito sbagliato. In caso contrario, potresti portare a una mancata referenziazione globale di tutti i tuoi siti da parte di Google e a eventuali azioni legali contro di te, poiché l'ultima parte dipende in gran parte dal tuo paese ...