Kurumsal Web Siteleri İçin Güvenlik Temelleri

Bir Kurumsal Siteye Gerçekte Kim Saldırır?

Tehdit konusunda gerçekçi olmak işe yarar. Neredeyse hiç kimse özellikle sizin tanıtım sitenizi hedeflemiyor. Size ulaşan şey otomatiktir: yaygın yazılımlardaki bilinen açıkları arayan tarayıcılar, ilgisiz servislerden sızmış şifrelerle giriş sayfalarını deneyen saldırılar ve formu bedava bir kanal gördüğü için dolduran botlar.

Bu önemlidir, çünkü çabayı nereye harcayacağınızı söyler. Uyum sağlayacak kararlı bir insan saldırgana karşı savunma yapmıyorsunuz. Otomatik taramanın beklediğinden biraz daha zor bir hedef olmaya çalışıyorsunuz ki bu çok daha ulaşılabilir bir amaçtır.

En Yaygın Giriş Kapısı Hesaplardır

Gördüğümüz en büyük ele geçirilme kategorisi zekice değildir. Biri şifresini başka yerde de kullanmıştır, hesabın ihtiyacından fazla yetkisi vardır ve o kişi sekiz ay önce şirketten ayrılmıştır ama erişimini kimse kaldırmamıştır.

Önce bunu düzeltin; çünkü bedava. Siteyi, alan adını ya da analitiği değiştirebilen her hesapta iki adımlı doğrulamayı açın. İnsanlara işini yapmasına yetecek en az yetkiyi verin — bir editörün yönetici haklarına ihtiyacı yoktur. Ve sürecinize bir çıkış adımı koyun ki şirketten ayrılmak, biri hatırladığında değil aynı gün erişimi kaldırsın.

Unutulan Hesaplar

Site girişi bariz olanıdır. Tehlikeli olanlar, kimsenin web sitesinin parçası saymadığı hesaplardır: alan adı kayıt şirketi, DNS sağlayıcısı, e-posta servisi, ödeme altyapısı, analitik mülkü ve ilk geliştiricinin 2019’da bir şeyi kurmak için kullandığı kişisel hesap. Bunları listeleyin, her birine bir sahip atayın ve bir bireyin özel e-posta adresine bağlı olmadıklarını kontrol edin.

Bileşenleri Güncel Tutmak

Her eklenti, tema ve kütüphane, sitenizde çalışan ve sizin yazmadığınız koddur. Yaygın platformlardaki ele geçirmelerin çoğu, güncellenmemiş bir bileşendeki bilinen bir açıktan gelir; üstelik açık aylar önce yamalanmıştır, sadece kimse uygulamamıştır.

İki alışkanlık bunun çoğunu halleder. Bir şey bozulduğunda değil, takvime bağlı güncelleyin ve aktif kullanmadığınız her şeyi kaldırın — devre dışı bırakılmış bir eklenti hâlâ sunucuda duran koddur. Daha az bileşen yalnızca performans değil, bir güvenlik duruşudur ve site bakımı rehberimizdeki rutine doğal olarak oturur.

Güncelleme işini takviminde tekrar eden bir slotu olan, adı belli bir kişiye verin; site para kazanıyorsa güncellemeleri önce güvenli bir ortamda uygulayın. Ekiplerin düştüğü hata bunun tam tersidir: bir güncellemede yaşanan kötü bir deneyim, bir yıl boyunca hiçbir şeyi güncellememeye yol açar ki bu, on dakikada geri alabileceğiniz ara sıra bozulan bir düzenden çok daha tehlikelidir.

Formlar, Spam ve Kötüye Kullanım

Herkese açık her form bulunur ve kullanılır. Gelenin çoğu spam’dır ve can sıkıcıdır; ama formlar alan adınız üzerinden posta göndermek, enjeksiyon açıkları aramak ya da gerçek bir talebi iki yüz sahtenin altına gömmek için de kötüye kullanılabilir.

Hız sınırlama, rahatsız etmeyen bir doğrulama, her alanın sunucu tarafında denetlenmesi ve dosya türlerini kısıtlayan bir yükleme politikası çoğunu kapatır. Bunu formu zorlaştırarak çözme dürtüsüne direnin; yoksa bu süreçte gerçek talepleri kaybedersiniz. Bu dengeyi insanların gerçekten doldurduğu form tasarımı yazımızda işliyoruz.

Barındırma da Güvenlik Duruşunuzun Parçasıdır

Sitenin nerede çalıştığı, bunların ne kadarının sizin sorununuz olacağını belirler. Yamalamayı, izolasyonu ve sertifika yenilemesini üstlenen yönetilen bir platform, listenizden birkaç risk kategorisini tamamen çıkarır. Komşu bir sitenin sizi etkileyebildiği, çalışma ortamı iki yıl önce güvenlik güncellemesi almayı bırakmış ucuz bir paylaşımlı sunucu ise göremediğiniz ve düzeltemeyeceğiniz kategoriler ekler.

Bağlanmadan önce her barındırma sağlayıcısına üç soru sorun: güvenlik güncellemelerini kim, ne kadar hızlı uyguluyor; siteler birbirinden izole mi; ve gece üçte bir şey ters gittiğinde yazılı süreç ne? Bunlara net cevap veremeyen bir sağlayıcı, yalnızca kendi adınıza değil müşterileriniz adına da aldığınız bir risktir.

Üçüncü Taraf Betikleri de Sizin Riskinizdir

Kurumsal siteler etiket biriktirir: analitik, sohbet widget’ları, ısı haritaları, reklam pikselleri, test araçları, gömülü videolar. Her biri sayfanıza kendi kodunuzla aynı erişimle çalışır. O sağlayıcılardan biri ele geçirilirse size sunduğu betik de ele geçirilmiş olur ve ziyaretçileriniz sizin alan adınızda etkilenir.

Neyin neden yüklendiğinin envanterini tutun, artık kimsenin kullanmadıklarını kaldırın ve yeni bir şey eklenmeden önce adı belli bir sahip isteyin. Bu bir güvenlik meselesi olduğu kadar gizlilik yükümlülüğüdür de; çünkü o betiklerin her biri, açıklamaktan sorumlu olduğunuz veriyi topluyor olabilir.

Gerçekten Geri Yüklediğiniz Yedekler

Hiç test etmediğiniz bir yedek bir önlem değil, bir inançtır. En az bir kez bir test ortamına geri yükleyin ve güncel içerikle çalışan bir site elde ettiğinizi doğrulayın. Yedeğin neleri kapsadığını kontrol edin — veritabanı, yüklenen medya, yapılandırma — çünkü eksik yedekler yaygındır ve mümkün olan en kötü anda fark edilir.

Alan Adı ve DNS: Sessiz Felaket

En yıkıcı olaylar nadiren sitenin kendisinde yaşanır. Alan adının kontrolünü kaybetmek; siteyi, e-postayı ve kim olduğunuzu kanıtlama imkânını kaybetmek demektir. Süresi dolmuş bir kayıt ya da ele geçirilmiş bir kayıt şirketi hesabı, tahrif edilmiş bir sayfadan çok daha ağır sonuç doğurur.

Otomatik yenilemeyi açın, kayıt kilidini ve iki adımlı doğrulamayı etkinleştirin, kayıt sahibi iletişimini bir çalışanın gelen kutusu yerine kurumsal bir adres yapın ve sertifika ile alan adı bitiş tarihleri için otomatik bildirimlerden bağımsız bir takvim hatırlatması kurun.

Sorunu Müşterinizden Önce Fark Edin

Ele geçirmelerin çoğu geç fark edilir; genelde de şirket dışından biri tarafından. Erişilebilirlik izleme, marka adınızın arama sonuçlarında beklenmedik bir şey çıkıp çıkmadığına haftalık bir bakış ve çekirdek dosyalar değiştiğinde gelen bir uyarı, olayların çoğunu hâlâ küçükken yüzeye çıkarır. Bunların hiçbiri güvenlik bütçesi gerektirmez; bakmakla sorumlu birini gerektirir.

Müdahaleyi de önceden kararlaştırın. Site zararlı bir şey sunuyorsa onu kim kapatacak, müşterilerle kim konuşacak ve yedekler nerede? Bunu olay anında, hızla ve seyirci önünde kararlaştırmak, küçük sorunların kamuya mal olma biçimidir.

Ne Zaman Uzman Çağırmalı?

Yukarıdakilerin tamamı yetkin bir pazarlama ekibinin ulaşabileceği mesafededir ve gerçekte yaşananların çoğunu kapsar. Yine de bir sınır var. Ödeme verisini doğrudan işliyorsanız, hassas kişisel veri tutuyorsanız, düzenlemeye tabi bir sektördeyseniz ya da hâlihazırda aktif bir ele geçirmeyle uğraşıyorsanız burası uzmanlık alanıdır; doğaçlama yapmak yerine öyle davranın.

İhtiyacınız olmadan önce kimi arayacağınızı yazın ve izindeki kişiden başka birinin de kimlik bilgilerinin ve barındırma sözleşmesinin nerede olduğunu bildiğinden emin olun. Rutin kısımların sitenize ve sürecinize baştan yerleşmesini isterseniz, web tasarım ajansı olarak ekibimiz erişimi, güncellemeleri ve yedekleri opsiyonel bir ek değil teslimatın parçası sayar; aynısı üstlendiğimiz her süregelen platform işi için de geçerlidir.