Sitenizi bulaşmalardan nasıl korursunuz

Makale, sitenizi enfeksiyondan korumak için bir dizi öneri içermektedir.

Siteme kötü amaçlı kod eklenmesini nasıl önlerim?

1. Güvenilir yazılım kullanın.

   • Web uygulamaları ve CMS uzantılarının/eklentilerinin dağıtımlarını güvenilir kaynaklardan indirin.

   • CMS ve sunucu yazılımınızı düzenli olarak güncelleyin. CMS’inizin güvenlik açıkları hakkındaki haberleri takip edin.

   • Sunucuların güvenliğini düzenli olarak denetleyin.

   • CMS’i kurduktan sonra kurulum ve hata ayıklama betiklerini kaldırın.

2. Web sunucu yazılımı (FTP, SSH, barındırma yönetim panelleri ve CMS) için karmaşık parolalar kullanın.

   • Karmaşık bir parola, 11 karakterden uzun olup farklı büyük/küçük harfler, sayılar ve özel karakterler içerir.

   • Farklı hizmetlere erişim için aynı parolaları kullanmayın.

   • En güvenilir parolalar bile, olası sızıntılara karşı her üç ayda bir değiştirilmelidir.

   • Önemli parolaları web tarayıcılarında, dosya yöneticilerinde ve FTP, SSH gibi istemcilerde kaydetmeyin.

3. Bilgisayarların güvenliğini takip edin.

   Sunucuyla çalışmak için kullanılan tüm bilgisayarlara (webmaster, yönetici, içerik yöneticisi, satış yöneticisi bilgisayarları vb.) düzenli güncellemelerle antivirüs yazılımı yükleyin. Ayrıca, işletim sistemi ve uygulamaları zamanında güncelleyin.

4. Kullanıcılar tarafından girilen verileri kontrol edin.

   • Kullanıcı girdisinde, site sayfalarının koduna eklenebilecek HTML işaretlemesini filtreleyin.

   • Alınan verilerin izin verilen boyut, değer ve aralıklara sahip olup olmadığını kontrol edin.

   • Kullanıcılardan alınan bilgileri asla doğrudan eval() çağrılarında, SQL isteklerinde veya tür dönüşümlerinde kullanmayın. Potansiyel olarak tehlikeli öğelerden alınan bilgileri her zaman kontrol edin ve temizleyin.

   • Hata ayıklama, yeni veya devre dışı işlevlerle deneyler için kullanılan parametreleri kodun taslak sürümünde asla bırakmayın.

   • WAF (Web Uygulama Güvenlik Duvarı) kullanın.

5. Kullanıcı erişim haklarını kontrol edin ve özellikle Siteler Arası İstek Sahteciliği (CSRF) saldırılarına karşı kendinizi koruyun.

   CMS ve veritabanı panellerine (örneğin, phpMyAdmin) erişimi kısıtlayın, ayrıca:

   • Kod yedeklemeleri.

   • Yapılandırma dosyaları.

   • Sürüm kontrol sistemleri meta verileri (örneğin, .svn veya .git dizinleri).

6. Mümkünse sunucu yazılımı sürümünü gizleyin (CMS, web sunucusu, yorumlayıcı, DBMS).

7. Güvenlik duvarlarınızı ve ağ altyapınızı yalnızca ihtiyaç duyduğunuz bağlantılara izin verecek şekilde yapılandırın.

8. Tıklama dolandırıcılığından’den kaçınmaya çalışın. Bunu yapmanın en basit yolları:

   • X-FRAME-OPTIONS SAMEORIGIN veya X-FRAME-OPTIONS DENY HTTP üst bilgisi çıktıları.

   • JavaScript yapıları gibi

     if (top.location != window.location) top.location = window.location
     

     if (top.location != window.location) top.location = window.location

     top.location = 'http://example.com'
     

9. Barındırma sağlayıcılarının desteklenen siteleri düzenli olarak Yandex Güvenli Tarama API'sini veya Web Yöneticisi API'sini kullanarak kontrol etmelerini öneririz.

Site kullanıcılarına kötü amaçlı kod yerleştirmekten nasıl kaçınılır

Web barındırma şirketlerinin desteklenen web sitelerini düzenli olarak kontrol etmelerini öneririz, örneğin, Yandex Güvenli Tarama API veya Yandex.Webmaster API kullanarak.

1. Kullanıcıların siteme kötü amaçlı kod eklemesini nasıl önlerim?

   Kötü amaçlı yazılım, kullanıcıların sitenize metin veya dosya yüklemesine izin veriliyorsa yüklenen içerikte (kazara veya kasıtlı olarak) bulunabilir.

2. Sitenizi botlardan koruyun.

   • Kendinizi siber saldırı botlarından korumak için özel CMS eklentileri kullanabilir veya kara listeye alınmış kullanıcıları arayabilirsiniz.

   • Kullanıcılar tarafından yüklenen bilgileri kontrol edin.

   • script içinde, etiketlerde veya bağlantılarda JavaScript kodu eklemeye izin vermeyin.

   • iframe, object, embed etiketlerini doğrudan site sayfalarına eklemeyin ve .jar, .swf ve .pdf dosyalarını yüklemeyin (site bu tür etiketleri otomatik olarak oluşturabilir).

İzin verilen HTML etiketlerinin bir "beyaz listesini" tutarak diğer her şeyi ekstra işlem yapmadan reddedin

1. Kullanıcı tarafından eklenen bağlantıları, örneğin Yandex Güvenli Tarama API ile kontrol edin.

   • Kötü amaçlı kodu kazara eklemekten nasıl kaçınırım?

   • Kullandığınız yazılımı kontrol edin.

   • CMS dağıtımlarını, widget’ları ve kütüphaneleri yalnızca resmi sitelerden veya güvenilir kaynaklardan indirin.

2. Eğer şüpheli bir siteden bir dağıtım indirmeniz gerekiyorsa, kötü amaçlı kod için kontrol edin.

   • CMS’e eklemek istediğiniz herhangi bir ek bileşenin kodunu dikkatlice inceleyin.

   • Reklam blokları ve kodları konusunda dikkatli olun.

   • Sitenizin sayfalarına yalnızca kanıtlanmış reklam sistemleri tarafından sunulan reklam bloklarını yerleştirin.

   • Yeni bir ortak sisteme katılmadan önce, hakkında incelemeler ve dağıtılan içerik örnekleri arayın. “Benzersiz teklifler”den kaçının (izleme etiketleri ve reklam blokları veya mobil trafik para kazanma için şüpheli derecede yüksek fiyatlandırma). Mümkünse, sayfalarınıza statik içerik (bağlantılar ve resimler) yerleştirin.

   • Betik ve iframe yükleyen öğelerden kaçının.

3. Flash, Java ve ActiveX bileşenlerini yalnızca kontrol edip kendiniz derleyebileceğiniz kaynak kodu olarak kabul edin. Gizli blokları olan ortak programları kullanmayın.

   • Hizmet arabirimlerine erişimi dikkatlice kontrol edin.

   • Siteye yalnızca ihtiyacı olanlara ve ihtiyaçları olduğu sürece erişim verin. Tek seferlik iş yapan profesyonellerden, önceki sahiplerden, siteyi sürdürmekten sorumlu olmayan kişilerden (örneğin, pazarlama profesyonelleri veya yöneticiler) erişimi geri alın.

   • Site üzerinde çalışmak için başka insanları dahil ettiğinizde, bazı tavsiyeler almaya çalışın. İş tamamlandıktan sonra, hesaplarını kaldırın veya parolaları değiştirin. Siteniz statikse, bazı ortaklar kendi başlarına afişleri değiştirebilmek için FTP erişimi talep edebilir.

4. Böyle bir erişim sağlamak tehlikelidir. Ortağın veritabanı siber saldırıya uğrarsa, bilgisayar korsanları sitenizdeki dosyalara doğrudan erişim elde eder.