Янв

WebTotem WordPress Security – бесплатный плагин безопасности сайта + услуга аудита

Понятие безопасной работы сайта в наше время включает в себя сразу несколько направлений – это не только выявление вредоносных скриптов, но еще и защита от внешних атак, мониторинг аптайма и др. Сегодня расскажу о плагине WebTotem WordPress Security, который позволяет выполнять целый комплекс задач, касающихся безопасности и поддержки веб-проекта в рабочем состоянии. У него есть наглядный дашборд для Вордпресс админки и отдельный онлайновый личный кабинет пользователя с более детальной информацией. Модуль совсем новый, но достаточно крутой.

WebTotem WordPress Security содержит инструменты для обнаружения внутренних и внешних угроз. К последним относятся такие функции как:

Выявление вредоносных кодов для перенаправления пользователей из поисковых систем, мобильных браузеров на рекламные объявления/ресурсы злоумышленников, поиск скрытых майнеров крипты.
Мониторинг сетевых портов сервера, где вы размещаетесь – если будут обнаружены подозрительные запуски уязвимых служб и процессов, вы об этом узнаете.
Обнаружение признаков «дефейса» вебсайта – когда главная страница подменяется на другую с рекламой или негативным содержанием.
Показатель аптайма – ежеминутная оценка доступности вашей площадки в онлайне (есть уведомления о проблемах по СМС, почте, в Телеграм, Slack и др).
Проверка домена – сервис будет уведомлять о необходимости его продления, а также отслеживает наличие доменного имени в блэк-листах и спам-базах.
SSL – статус установленного сертификата (его подлинность и актуальность).

Для предотвращения внутренних угроз используется 2 локальных скрипта, которые вам нужно будет отдельно установить. Это:

Антивирус – мониторинг в реальном времени изменений в файлах или их удаления без ведома пользователя (как правило, это свидетельствует о взломе) + поиск шеллов и вирусов.
Фаервол – проверка всех запросов/трафика, поступающих к серверу для предотвращения и блокировки SQL или XSS атак, спам-ботов.

Результаты работы WebTotem WordPress Security вы можете просматривать в админ-панели сервиса или внутри WP-админки. Также имеется отправка детальных отчетов в PDF, CSV или формате XML.

Установка и использование плагина

Первым делом переходим на сайт сервиса Для использования одноименного модуля нам нужен будет API ключ, и получить его можно только после регистрации – ссылка “Sign in” в самом верхнем правом углу меню.

Как только подтвердите регистрацию по почте, заходим в личный кабинет юзера, он выглядит следующим образом (кликабельно):

Здесь первым делом добавляете свой сайт для работы – кнопка “Add site”. При этом начнется его предварительное сканирование и через минуту появятся первые результаты. Слева располагаются все функции мониторинга и безопасности, о которых я говорил выше: аптайм, SSL, домен, дефейс, сканер портов и др. Переходите в соответствующие пункты меню чтобы посмотреть результаты проверки:

Справа вверху есть выпадающее меню профиля, где нужно будет перейти во вкладку “Profile” и сгенерировать себе API ключ (нажимаете там Create new api-key). ВАЖНО! Обязательно скопируйте себе куда-то это значение, т.к. вы сможете увидеть его только на этапе генерирования (или придется создавать новый).

Далее в своей WP-админке в плагинах находите и устанавливаете модуль WebTotem WordPress Security. После активации переходите в новый появившийся одноименный раздел, где вас попросят ввести API-ключ. Как только это сделаете, модуль начнет работать. Для наглядности можете посмотреть видео с процессом установки:

В разделе плагина есть несколько подпунктов:

Дашборд, где выводится вся информация по сайту.
Опции – можно включать и отключать определенную функциональность, которая вам нужна или нет (например, вы не хотите отслеживать SSL и домены, т.к сами за этим следите или юзаете другие сервисы).
Услуги – перечень платных предложений от разработчиков: лечение вирусов, тестирование высокими нагрузками и т.п.
Антивирус.

Вот как выглядит главная страница со всеми включенными функциями.

Справа находится небольшой FAQ с популярными вопросами, а также ссылка на веб-версию. Вы могли заметить, что статус фаервола “Не установлен”. Дело в том, что внутренние скрипты для безопасности (антивирус и фаервол) устанавливаются отдельно. Поэтому даже, когда во вкладке WT-панели “Опции” вы попытаетесь их включить, ничего не произойдет.

Если зайти в учетную запись пользователя онлайн, то там для каждого сайта есть иконка настроек. Кликаем по ней и видим всевозможные параметры WebTotem WordPress Security. Последние два пункта как раз и отвечают за фаервол/антивирус.

Вам нужно будет скачать и загрузить скрипт на сервер вручную или, как я понял, можно сделать это по FTP прямо из этого всплывающего окна (указав параметры доступа к FTP-серверу). После установки кликаете “Confirm”. Подробнее об этом можете почитать в FAQ. Кстати, что касается антивируса, то его мне удалось подключить через Вордпресс админку – там где-то была кнопка “Установить”.

Аудит безопасности и другие услуги

Для серьезных корпоративных вебсайтов или бизнесовых проектов разработчики модуля WebTotem WordPress Security предлагают определенные платные услуги. Одна из них – комплексный аудит WordPress безопасности. Если вам важна сохранность конфиденциальных данных компании и вы хотите максимально защитить свой веб-проект на Вордпресс от злоумышленников, предложение может вас заинтересовать.

Что входит в данный аудит:

Сбор предварительной инфы о приложении/сайте клиента.
Определение установленного ПО на сервере + выявление проблем сетевых сервисов.
Моделирование всевозможных атак злоумышленников с помощью публичных и собственных инструментов.
Попытка получения доступа к конфиденциальным данным.
Выявление разных типов уязвимостей: SQL-инъекция, замена главной/контента, удаленное выполнение команд операционной системы, поиск уязвимостей в процессе авторизации и др.

После этого клиент получает детальный отчет о тестировании, описание имеющихся угроз безопасности по вашему проекту/приложению, а также рекомендации для исправления всех найденных уязвимостей.

Более того в WebTotem WordPress Security дают гарантию и поддержку на 90 дней после проведения аудита, если заказчик выполнит все требования и пожелания по улучшению защиты сайта. Весь процесс занимает около 2-3 дней, стоимость услуги — $150. Соответствующая форма для оплаты есть на странице аудита, после чего с вами свяжется менеджер для передачи доступов и уточнения всех нюансов.

Итого. Данный плагин безопасности WordPress полностью бесплатный (для владельца одного веб-сайта) – то есть все те функции, о которых я говорил в самом начале доступны вам сразу после установки. Причем вместе с антивирусом и фаерволом! Мне нравится, что вся информация находится в одном месте, что может избавить вас от использования отдельных сторонних сервисов проверки аптайма, запуска веб-антивируса и т.п. Дашборд с результатами в Вордпресс и в онлайне достаточно информативны, интерфейс классный. Буду следить за развитием проекта и продолжу тестировать их модуль.

Кстати, в планах у ребят выпустить в скором времени продукт для владельцев большого количества WordPress сайтов — единый дашборд для мониторинга проектов — WebTotem SOC for WordPress. Если вы заинтересованы, то уже можете списаться с разработчиками чтобы договориться о пилоте.