Що таке технічний аудит безпеки
Це перевірка сайту, сервера й усього, що з ними пов’язано, на поширені й відомі проблеми. Ми дивимося на сайт очима і розробника, і зловмисника: де можна зайти без дозволу, які дані можуть витекти, що зламається першим.
Важливо розуміти межі. Технічний аудит — не сертифікація і не юридичний висновок про відповідність стандартам. Він також не замінює повноцінне тестування на проникнення для банків чи великих платформ. Але для переважної більшості сайтів компаній і магазинів саме технічний аудит закриває основні реальні ризики.
Що входить у перевірку
- Програмне забезпечення: версії CMS, фреймворку, модулів, тем оформлення, бібліотек, PHP і бази даних.
- Доступи: облікові записи в адмін-панелі, на сервері, в хостингу, базі даних і сторонніх сервісах.
- Код: обробка форм і даних користувачів, завантаження файлів, захист від найпоширеніших атак.
- Сервер: HTTPS, відкриті порти, права на файли, службові файли й сторінки, доступні ззовні.
- Резервні копії: чи вони є, де зберігаються і чи можна з них відновитися.
- Сліди зламу: чужі файли, приховані посилання, підозрілі зміни в коді.
Кому і коли потрібен аудит
Ось ситуації, коли перевірка особливо доречна:
- ви отримали сайт від іншого підрядника і не знаєте, що там «всередині»;
- сайт не оновлювали давно, а CMS і модулі встигли вийти в кількох нових версіях;
- з’явилися підозрілі ознаки: чужа реклама, переадресація на інші сайти, попередження в пошуку чи браузері, різке зростання навантаження;
- сайт зберігає персональні дані клієнтів, приймає оплати чи має особисті кабінети;
- перед масштабною рекламною кампанією чи інвестиційною перевіркою.
Якщо ваш сайт регулярно оновлюється командою, яка вже стежить за безпекою, окремий аудит потрібен рідше — наприклад, після великих змін.
Чому оновлення — це половина безпеки
Розробники CMS і модулів постійно знаходять і закривають вразливості. Щойно виправлення опубліковано, інформація про вразливість стає публічною, і автоматичні програми починають шукати сайти, які не оновилися. Тому старий модуль — це не просто «застаріло», а відчинені двері.
Водночас оновлювати все бездумно теж ризиковано: нова версія модуля може конфліктувати з доробками й зламати оформлення замовлення. Тому ми оновлюємо на тестовій копії, перевіряємо ключові сценарії і лише потім переносимо на робочий сайт. Якщо модуль більше не підтримується автором, пропонуємо заміну.
Разовий аудит чи регулярні оновлення
Разовий аудит дає знімок стану на сьогодні й план виправлень. Він доречний, коли потрібно швидко зрозуміти ризики або коли сайт обслуговує власна команда, якій потрібен зовнішній погляд.
Регулярне обслуговування — це плановані оновлення, перевірка доступів і повторні перевірки після змін. Воно дешевше за ліквідацію наслідків зламу і зазвичай входить у технічну підтримку сайту. Для серверної частини оновлення ведемо в межах адміністрування серверів.
Що ви отримуєте в результаті
Звіт, який зрозуміє не лише технічний фахівець. Для кожної знайденої проблеми ми пишемо:
- що саме не так і де це знайдено;
- чим це загрожує бізнесу: витік даних клієнтів, зупинка продажів, втрата позицій у пошуку;
- наскільки терміново це потрібно виправити;
- як саме виправляти і чи можна це зробити без зупинки сайту.
Звіт залишається у вас. Виправлення можемо виконати самі або передати рекомендації вашим розробникам.
Що підготувати з вашого боку
- доступи до адмін-панелі, сервера або хостингу і, за можливості, до коду;
- перелік людей і компаній, які зараз мають або колись мали доступ до сайту;
- інформацію про підозрілі події, якщо вони були;
- список сторонніх сервісів, підключених до сайту: оплата, CRM, розсилки, аналітика.
Типові проблеми, які ми знаходимо
- Модулі й теми, оновлення для яких виходили кілька разів, але жодного разу не встановлювалися.
- Спільний пароль адміністратора, яким користуються кілька людей, у тому числі колишні працівники.
- Копії бази даних, які лежать у загальнодоступній папці сайту.
- Стара версія PHP, яка вже не отримує виправлень безпеки.
- Адмін-панель за стандартною адресою без обмеження спроб входу.
Що може зробити сам власник сайту
Частину ризиків можна зменшити й без технічних знань. Між перевірками варто дотримуватися кількох простих правил:
- видавати кожному працівнику й підряднику окремий обліковий запис і відключати його одразу після завершення співпраці;
- використовувати менеджер паролів і двофакторний вхід для адмін-панелі, пошти й хостингу;
- не встановлювати модулі з неперевірених джерел і не просити розробників «просто вимкнути оновлення»;
- тримати домен і хостинг оформленими на компанію, а не на окрему людину.
Ці звички не замінюють технічної перевірки, але суттєво зменшують шанс, що проблема виникне через людський фактор.
Що впливає на вартість аудиту
- Розмір і тип сайту: сайт на популярній CMS перевірити простіше, ніж систему з великим обсягом власного коду.
- Глибина перевірки: лише версії й налаштування чи також ручний аналіз коду.
- Кількість серверів і сервісів, які входять в обсяг аудиту.
- Обсяг виправлень: чи потрібно лише оновити модулі, чи переписати небезпечні частини або прибрати наслідки зламу.
Часті запитання
Чи вплине аудит на роботу сайту? Зазвичай ні. Перевірки проводимо обережно, а все, що може вплинути на роботу, робимо на тестовій копії.
Мій сайт уже зламали. Що робити? Не видаляйте нічого самостійно і змініть паролі до адмін-панелі й хостингу. Ми допоможемо знайти, як відбувся злам, прибрати шкідливий код, закрити вразливість і відновити сайт з чистої резервної копії.
Як часто потрібно оновлювати сайт? Критичні оновлення безпеки варто встановлювати якомога швидше після виходу, решту — за планом. Конкретний графік залежить від CMS і кількості модулів.
Чи можна перевірити сайт, який робили не ви? Так, аудит часто замовляють саме для сайтів, отриманих від інших підрядників.
Чому Promodex
Ми розробляємо сайти з 2015 року на різних CMS і фреймворках, тож перевіряємо безпеку не за чужим шаблоном, а розуміючи, як влаштований код зсередини. Аудит і виправлення виконує одна власна команда в Києві, без аутсорсу, а ви заздалегідь знаєте, що і навіщо ми робимо. Після аудиту можемо залишитися поруч і регулярно оновлювати сайт.
