Сигурност на институционалните уебсайтове и приложения.

Основните съставни части в световната мрежа World Wide Web са уебсайтовете, които се дефинират като интернет базирани приложения, състоящи се от множество уеб страници (хипертекстови документи) с общ URL адрес, който често се състои само от името на домейна или IP адреса и пътя до основната директория, до които може да се достигне с помощта на програми наречени уеб браузъри.

Към настоящия момент търсачката Google е индексирала около 1,3 милиарда уебсайта във видимото интернет пространство и те с право се превърнаха в крайъгален камък на корпоративните авотматизирани информационни системи.^[1]  

Обект на автоматизираните информационни системи е всеки елемент, който съдържа или приема информация, поради което защитата на институционалните уебсайтове представлява интерес за информационната сигурност на държавата.

Сигурността на всяка информационна система в това число и на уеб сайтовете е в пряка зависимост от нивата на функционалност и изполваемост на приложенията.

Основната концепция за сигурност на информационните системи се базира на компромисния триъгълник, получен от компонентите: сигурност, функционалност и използваемост спрямо цената на системата. При всяка информационна система се получава различен триъгълник, затова трябва да се постигне максимална степен на компромис при която средствата хвърлени за защита на уебсайтовете и уеб приложенията да бъдат по-малки от евентуалните загуби.

Система за управление сигурността на информацията в организацията

Изграждането на уебсайтовете в организацията трябва да бъде съобразено с цялостната архитектура на корпоративната система за управление сигурността на информацията. Има няколко композиции за построяване на такива системи за информационна сигурност, като най-ефикасна е комплексната система, която включва не просто защита на устройствата, а и защита от грешки на потребителите.

 Изхождайки от голямото многообразие на средствата за защита на информацията, можем да класифицираме тези средства според предназначението  и техническите решения, както следва:

1. Средства за защита от несанкциониран достъп – т.н.  защитни стени (FireWall).  Това е най-изполваното средство за защита на мрежите от външни заплахи. Те са проектирани така, че да предотвратят навлизането на нежелан трафик в определените зони, като по този начин се осигурява сигурност на периметъра. Но корпоративната система следва да осигури защита на следните нива: достъп до мрежата, на мрежово ниво, на транспортно ниво, на приложно ниво.  Затова по-широко използвани са средства за многослойна защита –например за защита на трафика, предаван по открити линии, според протокола могат да бъдат: за защита на физическо ниво – защита на кабелите, комуникационни стаи, екранизация на кабелите; на мрежово ниво – шифриране на трафика от компютър до компютър използвайки например IPSec; на транспортно ниво – шифриране на данните от приложение до приложение използвайки например Secure Socket Layer (SSL); на  приложното ниво – използване на програми за локална защита и криптиране[2].
2. Защита на електронната поща, аудио и видео и друга информация, предавана по открити канали, чрез използване на VPN[3];
3. Защита на информацията от вируси доставяни през SMTP, HTTP, FTP и вътре в самата система. Използване на антивирусни системи, като TrendMicro, Symantec (Norton AntiVirus Corporativ Edition) през които преминава целия трафик;
4. Средства за осигуряване на регламентиран достъп на множество потребители до множество приложения използва протокола Authentication, Authorization, Accounting (ААА). Аутентификация е идентифициране на потребители, авторизацията е удостоверяване и получаване на съответните разрешение, а акаунтинга се превежда като одит и запис какво правят потребителите. Всяка една мрежа, система или уебсайт следва да е проектиран така, че да контролира кой може да се свърже с нея, когато му е разрешено и да прави какво му е разрешено, като остави запис за проверка при нужда. 
5. Разделяне на достъпа и защита от несанкциониран достъп до информационните ресурси на сървърите за бази от данни, WWW, FTP, POP3/SMTP. Защита от SPAM на пощенските сървъри;
6. Използване на активна директория. Използва се като превантивна мярка за защита от вътрешните потребители, като се ограничат правата им. Тя има предимство и при организиране на автоматичното обновяване за fixes и patches чрез използване на WSUS Server на Microsoft.
7. Системи за откриване на проникване Intrusion Detection System (IDS), а в последствие и появилите се по-нови системи за предотвратяване на проникване (IPS), които откриват атаки в реално време и опити за нерагламентиран достъп. Такива решения имат ISS (Real Secure), Symantec (NetRecon).
8. Използване на нестандартни методи за защита. Те служат за защита от несанкциониран достъп, осъществяван от вътрешни потребители. Към тези методи могат да спадат, поставяне на Proxy с ограничаване на потребителите за достъп до определени сървъри, защитни стени – имат за цел да осъществяват допълнителна защита в двете посоки (навън и навътре) и др.
9. Средства за управление на сигурността, отбранително сканиране и управление на риска – извършва се от системния администратор за тестване на политиката за сигурност и търсене на слаби места[4].

В крайна сметка голямото разнообразие от технически средства за информационна сигурност показва, че осигуряването на сигурност на корпоративните инфомрационни системи на основата на отделни компоненти от различни производители е доста сложно занимание. Основно то зависи от размера и типа на системата или мрежата, информацията, която се защитава и какво ниво на сигурност желаем.

Затова информационната сигурност се осъществява от специализирана подсистема в рамките на конкретна информационна система, наречена система за управление сигурността на информацията (СУСИ).  Тя е част от общата система за управление в рамките на организацията и за нея важат всички условия и изисквания, които характеризират една информационна система и следва да има:[5]

• утвърдена от ръководството политика за информационна сигурност с изяснени понятия, цели и задачи;
• план за оценка на рисковете за сигурността с описан порядък за оценка и анализ на риска;
• списък на информационните активи, попадащи в областта на функциониране на СУСИ;
• ръководство за приложимост на контролите (Statement of Applicability)
• стандартни оперативни процедури за формализиране на процеса по защита на информацията
• набор от контрамерки насочени към минимизиране на риска при инциденти[6].

Според стандарт ISO 27001, в който се разглеждат изискванията за СУСИ нейната работа трябва да е базиран на процесния подход в т.н. цикъл на Деминг: планиране, изпълнение, проверка, действие.

Фиг. 33 Цикъл на Деминг

Заплахи за уебсайтовете

Според същността и източника на атаките в уебсайтовете,  заплахите могат да се класифицират в следните основни категории: случайни заплахи, злонамерени заплахи, заплахи за пълномощията, заплахи за приложенията, заплахи за поверителността, заплахи за контрола на достъпа.[7]

Случайните заплахи покриват проблеми в резултат на човешка грешка, като лош избор на пароли, случайни или погрешни бизнес транзакции, случайно разкриване на информация и използване на неподходящ или остарял софтуер.

Злонамерените заплахи целят специално причиняване на вреди и могат да се разделят на подгрупите злонамерен софтуер и неправомерно събиране на информация (социално инженерство). Чрез социалното инженерство хакерите извличат поверителна информация. Злонамереният софтуер е програмен код, който е целенасочено написан, за да причини вреда на система или уебсайта. Вирусите, червеите и троянските коне са типични примери за злонамерени програми. Вирусът е малка програма, която инфектира компютрите, като се самокопира и прикачва към други файлове. Троянският кон е програма, която се маскира като полезна програма. Червеите са програми, които се самокопират от компютър на компютър, но не заразяват други програми, а нанасят вреда чрез загубата на процесорно време.

Заплахите за пълномощията (правата) са резултат от представянето на хакерите като упълномощени потребители. Често срещана атака над правата на уебайтовете е когато нарушителят открие парола на потребител и влезе в системата.

Заплахите за приложенията се разделят на превишаване на правата (нарушителят повишава правата и привилегиите си), уязвимости на разработен от независим производител или персонализиран софтуер (от трети лица) , отказ на услуги (DoS), разпределен отказ на услуги-системата е атакувана от няколко различни компютъра през Интернет (DDoS), DNS  превземане, уязвимости на Web сървърите (когато сървърите предлагат повече от една услуга едновременно), превземане на сесии, атаки по e-mail (като e-mail бомбардиране, изпращане на спам и e-mail подслушване-sniffing и измами-spoofing)[8].

Заплахите за поверителността включват атаки с подслушване като мрежово подслушване и подслушване на радио сигнал, издаван от компютри и мобилни телефони.

Заплахи за контрола на достъпа включват атаки, целящи достъп до системи в Интернет. Най-често срещан метод е разбиването на пароли. Други атаки включват достъп до файлове с пароли или комуникационни точки като модеми или използване на софтуер, който дава достъп до вътрешни или външни системи през задна вратичка (backdoor), експлоатирайки по този начин пробиви в мрежата.

Първият начин да се групират тези заплахи е от гледна точка на пасивни и активни атаки.

• Пасивните атаки включват подслушване на мрежовия трафик между браузъра и сървъра и придобиване на достъп до информация от уеб страница с ограничен достъп.
• Активите атаки включват представянето на активния потребител за друго лице (имперсонализиране на легитимен потребител), промяна на съобщенията в обръщение между клиент и сървър и промяна на информацията на уеб страницата.

Често срещани заплахи в уебсайтовете са:

Наличие на злонамерен софтуер (Malware), който  включва вируси, червеи, троянски кон, рекламен и шпионски софтуер.

Пробив в сигурността.  Тази група атаки включва всеки опит за получаване на неоторизиран достъп до системата. Това включва разкриване на пароли, превишаване на права, проникване в сървър, всички дейности, които най-често се свързват с термина „хакерство“.

Атака за отказ на услуга (Denial-of-service attack -DoS attack) Вид атака, която причинява загуба на услуга или възможността на мрежата да функционира. Атака за отказ на услуга е опит даден ресурс, предоставян от компютър (наричан жертва), да бъде направен недостъпен за целевите му потребители. Атаката може да бъде чрез изтощаване на ресурси или чрез възползване от грешка в софтуера на жертвата. Най-често биват атакувани популярни уеб сървъри, като целта е те да станат недостъпни от Интернет. Когато атаката е осъществена от повече от един източници на трафик, тя се нарича дистрибутирана атака за отказ на услуга (distributed denial-of-service attack или DDoS attack).

WEB атаки. Атака, чрез която хакерът може да внедри и изпълни команди върху базата данни на един сайт, която използва уязвимост на приложението, за да “вмъкне“ нежелан код, който се изпълнява в браузъра на крайния потребител. Това е атака, чрез която хакерът лесно може да се сдобие с достъп до базата данни чрез помощта на PHP грешка. Грешката може да бъде синтактична или просто типична грешка в MySQL сървъра. Тази атака може да вземе информация от вашата база данни (имена,пароли и т.н.) или пък да се добави нов запис без ваше разрешение или даже да се редактира.

“Отвличане” на HTTP сесии (Session hijacking). Тези атаки представляват отвличане на идентификатора на потребителската сесия (session hijacking), при което е възможно злонамерени потребители да осъществят достъп до чужди данни, принадлежащи на даден потребител.

DNS отравяне. Този тип атаки компрометират DNS сървъра така, че потребителите могат да бъдат пренасочени към зловредни уеб сайтове, включително и към уеб сайтове с цел фишинг.

По отношение на създаването на сигурни сайтове в интернет, трябва да знаем,  че три области в глобалната мрежа трябва да бъдат защитени,  като по степен на важност това са: сървърът, мрежата и клиентът.[9] В структурата на Web архитектурата те си взаимодействат като клиентът изпраща заявка до сървъра,  чрез въвеждане на URL адрес в Web браузъра. По подразбиране заявката първо се насочва към DNS сървъра. DNS сървърът преобразува името на домейн в URL адреса в IP адреса на Web сайта, който клиентът е поискал. Чрез използване на IP адреса се създава връзка със сървъра, на който се намира Web сайтът и се изпраща заявка до Web сървъра за Web страницата. Web сървърът изпраща исканата Web страница до клиента. Тогава браузърът показва Web страницата на екрана. Това взаимодействие между клиента и сървъра е улеснено от няколко мрежи, които свързват всички компютри в глобалната мрежа.

Заплахи за сървъра. Данните на Web сървърите са може би най-уязвими за неупълномощен достъп. Интернет е приложение клиент/сървър.[10] Мрежата е уязвима за атаки върху сървърите, които на свой ред могат да доведат до загуба на пари и репутация в бизнес средите. Възможни са нарушения в сървъра , които да доведат до намаление на скоростта му на работа и в най-лошите случаи до спирането му. Освен това ресурсите на сървъра могат да се използват с различна цел от тези, за която са предназначени.

Съществен елемент от сигурността на една идеална операционна система са проверката за автентичност, контролът на достъпа, отговорността, проверката, разделението на сигурността, целостта, поверителността и надеждността.[11] Проверката за автентичност (автентикацията) е механизъм, който позволява на операционната система да идентифицира потребител и да удостовери, че той е този, за когото се представя. Механизмът за проверка може да е базиран на следните категории: парола, биометрични механизми, местоположение. Механизмът за контрол на достъпа ограничава използването на ресурси от упълномощени потребители. Отговорността подсигурява, че действията на единица се идентифицират уникално с единицата, която ги е извършила. Проверката (ревизията) е способността да се наблюдава дейността върху системата с цел да се определи дали е имало нарушение на политиката или причина за тревога е подозрително действие. Разделението на сигурността се базира на това, че всяка системна единица (потребител или компютърен ресурс) е разпределена към раздел или домейн на сигурността. Подсигуряването на цялостността означава подсигуряване, че неупълномощени потребители не могат да променят съдържанието на системни обекти. Поддържането на поверителността на информацията включва подсигуряване, че тя се показва само на упълномощени потребители, независимо чия е. Поддържа се чрез използването на криптиране. Надеждността на операционната система се отнася до сигурността на данните, до които имат достъп потребители на компютър или мрежа[12].

Заплахи за мрежите. Една мрежа свързана в Интернет, ако не е защитена правилно тя е заплаха за целия Интернет.  Причината затова е, че мрежата е входна точка за компютърните системи. Слабата мрежа позволява при пренос на данни от компютър-източник до компютър-получател информацията да бъде променена и фалшифицирана. Хакерите могат да използват ресурсите на компютъра чрез пробив в нея.

За да се направи възможна комуникацията между мрежите или в Интернет, е необходим мрежови протокол.[13] Най-често използваният протокол по Интернет е TCP/IP (Transmission Control Protocol/ Internet Protocol). TCP/IP е резултат от изследователско проучване на мрежовите протоколи-инициатива на Американското министерство на отбраната през 1969 г. Протоколът може да се използва в многобройни мрежови топологии и между различни по архитектура мрежи. TCP/IP се отнася към групата протоколи, използвани за свързване на разнородни мрежи за формирането на Интернет. Името идва от двата най-важни протокола от групата-протокола за контрол на предаването и Интернет протокола. TCP отговаря за подсигуряването, че пакетите от данни не са загубени по време на доставката между клиента и сървъра. Освен това TCP предоставя механизъм за препредаване на данни, докато данните достигнат до получателя си напълно. IP отговаря за трансфера на данни от подателя до получателя чрез прикачване на адреса на получателя към всеки пакет данни, който трябва да се изпрати.

Архитектурата на TCP/IP протокола се разпределя в 4-слоен модел, известен още като DARPA модел или относителен TCP/IP модел. Четирите слоя са: Приложен, Транспортен, Интернет и Мрежов слой. Всеки слой в този модел е свързан с един или повече слоеве от 7-слойния модел OSI[14] (Open Systems Interconnection): физически слой, слой за данни, мрежов слой , транспортен слой ,  сесиен слой ,  презентационен слой , приложен слой. Първите два влизат в слоя на мрежовия интерфейс на TCP/IP, слой 3 съвпада с Интернет слоя на TCP/IP, слой 4 съвпада с транспортния слой на TCP/IP, слоеве 5, 6 и 7) влизат в приложния слой на TCP/IP.

При стандартен протокол TCP/IP (Transmission Control Protocol/Internet Protocol) има няколко заплахи за сигурността на мрежите: DoS атаки (отказ на услуги), разпределени DoS атаки (DDoS) и атаки с измами с данни (spoofing и sniffing, превземане на сесии, промяна на маршрута, сканиране на портове). DoS атаките могат да са наводняващи атаки и софтуерни атаки.[15]

Заплахи за клиента. Компютърът от страна на клиента е уязвим към вирусни атаки от хакери, кракери и злонамерен код. Освен това клиентът в глобалната мрежа е предразположен към посегателство над личната му информация. Сигурността на ниво потребител включва сигурност на браузърите, сигурност на програмни езици за писане на програми, вградени в Web страници, превземане на сесии, поверителност на потребителя по отношение на cookies.[16] Атаките срещу браузърите включват изпращане на злонамерени данни чрез нормални приложения, атаки тип социално инженерство. Някои от езиците, използвани за писане на Web програми са Java, JavaScript, VBScript и HTML. Cookies се използват за проследяване на навиците на потребителя за сърфиране. Има два вида cookies-сесийни (съхраняват се в паметта) и постоянни (съхраняват се на твърдия диск).

В крайна сметка можем да обобщим, че в Интернет се наблюдават следните по-чести  заплахи, свързани с DDoS, SQL injection, Cross-Site Scripting (XSS), rooting, DNS, социално инженерство, APT (устойчиви съвременни заплахи) Ransomware, phishing и други атаки в различни слоеве на OSI (Open System Interconnection Model).

Има няколко основни решения за защита като:  своевременно откриване на заплахите;  криптографски решения за сигурност и комплексни решения за защита. В корпоративните информационни системи се използват комплексния подход, защото е комбинация на всички останали и основно се работи по защита на каналите за пренос, аутентификация и идентификация, защита на отделните възли и цялата система.

Сигурност на уеб приложенията

За отделните слоеве от OSI модела се използват различни механизми за защита, но ако погледнем  класификацията на уязвимостите във Vulnerability Stack и елементите на информационните системи ще видим, че има много варианти те да бъдат повредени или изкарани извън строя.

Фиг.34: Уязвимости и елементи на информационните системи.

Източник: https://blog.jeremiahgrossman.com/2006/11/vulnerability-stack.html

Както се вижда на най-горното ниво и съответно най-слабото място са уеб приложенията, уебсървърите и бази данни, свързани с интернет. Въпреки, че целенаосченото намиране на такова слабо място, което да бъде атакувано в последствие не е толкова лесна работа, то институционалните уебсайтовете трябва да бъдат добре защитени. Системите за информационна сигурност, в това число и уебсайтовете, се изграждат на четири нива, като съвкупност от законодателни, административни, процедурно-организационни, програмно-технологични и криптографски мерки и средства за защита.

Законодателните мерки се изразяват в спазване на законите, нормативните актове и  стандартите, според сферата на организацията и предназначението на уебсайта, като следва да спазват разпоредбите на:

• Закон за електронното управление, Закон за електронните съобщителни мрежи и физическа инфраструктура, Закон за електронната търговия – ако уебсайтът ще бъде магазин и др.
• Наредба за общите изисквания към информационните системи, регистрите и електронните административни услуги налага редица технически изисквания.
• Наредба за минималните изисквания за мрежова и информационна сигурност изисква  да се назначи  служител или звено, отговарящо за мрежовата и информационната сигурност и администратор на системата [17]
• Стандарт ЕN 301 549 v2.1.2 (2018-08) за достъпност на уебсайтове и мобилни приложения налага дизайнът на сайта да е съобразен за хора в неравсностойно положение, като веднъж годишно да се подновява декларцията за достъпност, заедно с анализа и оценка на риска.
• Регламента за GDPR и защита на личните данни налага уебсайтовете на държавна администрация освен другите стандартни страници, да имат публикувани страници за общи условия, декларация за поверителност, декларация за достъпност, политика за бисквитите и защита на данните.
• Групата стандарти БДС (EN) ISO/IEC 2700х, Военен стандарт ВС 40095-91, както и да отговарят на държавните правила за институционална идентичност.

Административни мерки за сигурност изискват да се спазват заповедите на ръководителя на административна единица с цел прилагане на балансирана система от мерки за сигурност, осигуряващи изпълнението на общи и специфични  условия, както следва:

• Прилагане на политика за мрежова и информационна сигурност, която е съвкупност от споделени идеи и разбирания на ръководителите на организацията, благодарение на които се вземат решения и се реализира организационното поведение.
• Изработване на техническа, експлоатационна и потребителска документация на информационните системи и вътрешни правила за администрирането, експлоатацията и поддръжката на уебсайта със списък на администраторските профили.
• Други мерки, които се определят от ръководителя на организационната единица, като процедури за публикуване на информация, екплоатация на страниците от личния състав, правила за употреба на социалните медии и действия при инциденти.

Организационните мерки се изразяват в управление на персонала, физическа сигурност на сървърите, мрежовите процесори, ключове и шифроващи устройства съхранявани в защитени помещения с контролиран достъп.  Изграждане на система за реагиране на нарушения и възстановяване.

Достъп до уебресурсите се предоставя само на лица, получили разрешение, чиито служебни задължения налагат това и то само до ресурсите, които са им необходими.

Програмно-техническите и криптографски мерки са едни  от най-важните при създаване на институционален сайт. Те започват още с проектирането и определянето на потребителските права и публикуване на „политиката за сигурност“.

В резултат на това можем да предложим следните превантивни  мерки за повишаване нивото на мрежова и информационна сигурност на уебсайтовете в организацията:

1. Първоначално може да започнете с актуализиране на схемата на IT инфраструктурата и описа на информационните активи в организацията. В практиката на всяка организация се случва да се добавят различни неодобрени активи и затова е добре описът на активите да се преглежда редовно. Не може да се управлява нещо, което не познавате. 
   1. Направете онлайн преглед на дейностите и услугите, които предлагате чрез IT инфраструктура на Вашата администрация. Проритизирайте различните дейности за да определите кпои от тях могат да бъдат спрени в случай на нужда и как би повляла евентулна кибератака над някоя от тях. Разделете онлайн услугите (web сайт, е-mail, DNS и т.н.) върху различни устройства, доставици и мрежи. По този начин при атака над някоя от тях, останлите ще бъдат незасегнати. Подгответе си статична уеб страница, която да активирате веднага в случай на атака.
   1. Идентифицирайте кой осъществява поддръжката и администрирането на информационните системи предоставящи услугите на организацията, дали са наши служители или външни фирми. Трябва да се идентифицира цялата верига и да се изисква от доставчиците гаранция, че прилагат механизми за постигане желаното ниво на защита. Необходимо е да поддържаме актуален списък с контакти на всички от които зависят услугите.
   1. Консолтирайте се с вашите доставчици какви контрамерки са предприели  за защита. При сключване на договор за подобни услуги задължително в тях трябва да се включва информация за контактните точки, механизми за защита, контрамерки и др.
   1. Направете преглед на мерките за защита на всяко приложение, сървър и мрежово устройство в организацията. Наприемр според добрите практики трябва да се забранят функциите XML-RPC във WordPress и zone-transfers за DNS сървърите, за Apache да се приложи mod-evesive, mod_reqtimeout и ModSecurity, за защита от SYN-flood атаки, да се използва Unicast Reverse-Patch Forwarding за предпазване от фалшиви IP адреси и rate-limiting за организиране броя на заявките по IP адрес, да се забрани TLS renegotiation  или да се ограничи броя на предоговаряне на сесията. Трябва да се спрат всички ненужни услуги (плъгини) и да се блокират всички портове на сървърите, които не се използват. Да се тестват всички приложения срещу SQL injection, XSS и други атаки.
   1. Проверете антивирусните програми дали работят с актуални бази данни от вирусни дефиниции и дали уебсайтът ви има вируси.  За ацелта е необходимо да го свържете с Google Search Console, където има инструменти за проверка за вируси и друг зловреден софтуер. Много хостинг компании предлагат услуги като Security & Reputation и сканират ежедневно сайтовете. Все пак ако сайтът ви се зарази ще получите съобщение в Google Search Console или в резултатите от търсене ще се появи предупреждение да не влизате в този сайт. Тогава трябва незабавно да прегледате кода си за странни символи и непознати кодове. Това е трудоемка работа ако трябва да го правите ръчно, файл по файл. Най-добрата предпазна мярка е да пазите свалени стари файлове от сайта си на вашия компютър и да ги качите на хостинга си, след като изтриете всичко от там. Затова се препоръчва редовно правене на бекъп на главната директория и на базата данни за да може да реагирате в такива случай. Веднага след като го оправите влезте пак във  Google Search Console секция „Злонамерен софтуер“ и пуснете искане за преразглеждане състоянието на Google Webmaster[18].
   1. Проверете дали са приложени последните актуализации, отстраняващи уязвимости в сигурността на използваните софтуери, плъгини, разширения и устройства. Експертите в областта препоръчват винаги да обновявате CMS до последната версия. Ако използвате Joomla, WordPress, Drupal или други системи винаги ги обновявайте при излизане на нова версия, както и използваните теми и разширения. В новите версии се добавят поправки на открити пробиви в сигурността. Обуърнете особенно внимание на изполвания безплатен софтуер и този с отворен код. 
   1. Една от задължителните мерки е да съхранявате резервен архив (Backup) на вашият сайт[19]. Повечето хостинг компанни предлагат автоматичен бекъп, но това не е достатъчно. Добре е периодично да копирате и свалите всички файлове и базите данни на преносим носител, който да съхраните на сигурно място.  Създаването на резервни копия е ваша отговорност, а не на хостинг доставчика. Можете да запазите архив и в облака. Една от причините е, че дигиталната информация може да служи като доказателство в съда.
   1. Най-важната защита на уебсайта е сигурната потребителска система от пароли[20].   Създайте сигурен достъп при администрирането на сайта: на първо място се нуждаете от сигурно потребителско име и парола за всеки интерфейс, който дава достъп до вашата страница или до инструментите, необходими за опериране на сайта. Това включва: име на домейн мениджъра, панела за хостинг контрол, достъп до протокола за трансфер на файл, системата за управление на съдържанието, имейл акаунтите. Не използвайте името на вашия домейн за име на вашия хостинг акаунт. Ако срокът на домейна изтече или сървърът не работи, имейлът с името на вашия домейн няма да работи.  Проверявайте информацията за контакт на вашия домейн и хостинг.  Ако можете да избирате вашето потребителско име го изберете като комбинация на големи и малки букви, симвои и числа и да е поне десет знака, като ги сменяте на всеки два месеца.
   1. Препоръчително е да промените адреса за вход в системата тъй като ако използвате CMS система те са стандартни и хакерите лесно ги разбират. Друг вариант за защита е да ограничите влизанията по IP, но тогава няма да може да влизате от друго място в сайта.
   1. Направете тестване на уязвимостите в сигурността на уебсайтовете.  За целта можем да използваме инструменти като: https://internet.nl/, https://observatory.mozilla.org/, https://www.ssllabs.com/ssltest . За тестване на Windows можем да използваме Microsoft Baseline Security Analyzer
   1. Направете преглед на правата на достъп  на служителите и дали сред тях няма бивши служители, външни лица и др. и какви права имат те. Проверете дали се спазва политиката за паролите. При необходимост за отдлаечен достъп изисквайте да се изполва двуфакторна идентификация, VPN  и да не се използва FTP.
   1. Най-добре е изобщо да не се  предоставят права на други хора, но понякога това се налага. В този случай може да се приложи технология наречена САРТСНА – съкращение от „Completely Automated Public Turing Test to Tell Computers and Humans Apart“, на български се превежда „Напълно автоматизиран публичен тест на Тюринг за разграничаване на компютри от хора“. Представлява визуален код, който трябва да се въведе ръчно при писане на коментари и публикуване на друго съдържание от неоторизирани потребители. Използва се с цел да ограничи спама от автоматичен софтуер за публикуване и от ботове опитващи се да сканират цялата ви база данни.
   1. Проверете дали регулярно се извършва резервиране и архивиране на инфромацията, дали резервните копия се съхраняват надеждно на различни носители. Извършвайте редовен преглед на логовете за да откриете събития, които засягат информационната сигурност.
   1. Проверете актуалността на установените във Вашето ведомство вътрешни правила за информационна сигурност, процедури и правила за реакция при инциденти.
   1. Определете какво е нормалното състояние на трафика и натоварването на инфраструктурата в различните часови периоди, кои IP адреси генерират трафика. Наблюдавайте входящия и изходящия трафик. Това означава периодично измерване и анализ за взмеане на мотивирано решение при нужда.
   1. Да се направи проверка на инсталирания приложен софтуер, да не се използва кракнати версии и др.
   1. Организирайте регулярни обучения на служителите относно информационната сигурност. Когато проверяват своята поща да бъдат внимателни с прикачените файлове, да бъдат бдителни за социално инжинерство, да не използват една и съща парола за различни акаунти и др.
   1. Изборът на сигурен хостинг  е може би най-важната стъпка за цялостната защита на уебсайт! Освен техническите изисквания той трябва да  включва SSL сертификат, DDoS защита, кеширащи инструменти и т.н.
   1. Използвайте SSL (Secure Socket Layer) сертификат. По принцип има три вида сертификати: за валидиране на домейн, валидиране на организация с мултидомейн и за разширено валидиране включително на поддомейни. До скоро цената на тези сертификати за сигурност беше доста голяма, но днес на пазара се предлагат няколко възможности за закупуването им и дори безплатния SSL сертификат Let’s Encrypt. Той валидира само домейна, но не и идентичността на организацията, което означава, че в браузъра няма да се изпише информация за институцията т.е. URL адреса става с HTTPS:// и зелен катинар, но за разлика от платените сертификати не поддържа зелена адресна лента.
   1. Друг важен момент е защитата на съдържанието. Ако на вашата страница има съдържание, което се страхувате да не бъде откраднато, сложете му етикет за авторски права и дайте насоки за това как другите да използват това съдържание. След това просто трябва да следите страницата за неправомерна употреба на съдържанието. Можете и да отидете една стъпка напред като официално регистрирате уеб страницата си към агенцията по авторски права във вашата страна. Заключвайте с пароли дадено съдържание-това означава, че търсачките няма да могат да го индексират. Лошото е, че търсачките пазят копия на страниците и така съдържанието, защитено с парола може да бъде достъпно при търсене. Ако съдържанието е свързано с чувствителна информация, използвайте интранет или виртуална частна мрежа.
   1. За да избегнете спамове, които използват вашата парола, използвайте контактни форми вместо да качвате имейл адрес за връзка. Изключете съобщенията за грешките. Те могат да дадат на хакерите ценна информация.
   1. Направете план за действие при инциденти в които да е устсановено, кой е отговорен при подобна ситуация, кого трябва да информираме, какви действия да предприемем, кой ще събира и схранява информацията и по кои алтернативни канали ще комуникираме. Съгласнио закона за киберсигурност селедва да се уведоми центърът за кибер инциденти.  Трябва да имаме подготвени съобщения за кризисно изказване пред обществеността, защото това може да породи нови атаки.

При евентуален инцидент или смущения в работата на информационните системи специалистът по информационна сигурност  действа в следната последователност:

Стъпка 1. Детекция.  Събира достоверна информация, определя източниците на заплахи, определя нивото на заплахата и начина на разспространение, оценява риска, създава план за  действие.  С други думи преценява дали са ни компрометирали или не? Определя дали смущенията се дължат на DDoS атака или идват по друга причина. За целта можем да проверим всички входящи връзки, достъпа по IP и URL до предлаганите услуги и логовете на различните устройства. Ако има атака определете естеството на атаката и кои са нейните вектори. Трябва да определи дали тя е обемна (Volumetric), дали е асиметрична за времени прекъсвания или изменения на сесиите (Asymmetric), изчислителна, консумираща ресурси (Computational) или основана на софтуерни уязвимости (Vulnerability-based).

Стъпка 2. Ограничаване на щетите. Без да отделяме прекалено много време на първата стъпка, дори и при най-малко съмнение трябва да предприемем  мерки за ограниаване на щетите. При нужда да спрем транзакциите с определени банкови сметки, дебитни карти, дори с риск ние да не ги ползваме, но с което ще ограничим финансовите щети. След като се установи, че става въпрос за атака трябва да се свържем с ръководителите на организацията, екипът за реагиране при инциденти към ДАЕУ с точка за контакт cert@govCERT.bg или телефон 0878 908 546. Доставчикът на интернет услуги също може да ограничи щетите. Трябва да вземем решение кои услуги да бъдат спрени за да може мрежовите ресурси да се обслужат. Направете оценка на възможностите за смекчаване на атаката чрез въздействие на източника на трафик. Трябва да определим колко източника на атака и от кои IP идват за да ги блокираме или да забраним дадения регион.

Стъпка 3. Възстановяване. В тази стъпка трябва да сме разбрали какво е станло. Можем да намесим силовите органи и да подадем жалба в полицията. Смекчаване на специфични атаки към приложенията. Защитата срещу DDoS се решава на приложното ниво, чрез следните технологии: логическа защита на login, human detection чрез CAPTCHA. Real browser enforcement – някои защитни стени на уеб приложения вмъкват JavaScript за пренасочване към нови връзки и след това ги записват в черен списък, ако те не селдват пренасичването. Това спира по-голямата част от ботовете.  Срещу Ransomware може да забрнаите макросите, да използвате актуални версии на софтуер, да инсталирате разширения за браузъри блокиращи рекламите, да се филтрират имейлите, да се правят резервни копия, да се забрнаи опцията autorun. На сайта nomoreransom.org може да видте повече съвети за защита.

Стъпка 4. Научени уроци. Описваме случилото се за да може следващия път да имаме готови варианти за действие и допуснатите грешки да не се допускат пак. Много важно е да валидизира резултатите с постоянно тестване и да се коригират мерките при нуждата.

---

[1] http://www.internetlivestats.com/ [прегледан 30.01.2018]

[2] Николов, Н., Христозов, И. Проблеми и предизвикателства пред изграждането на национална система за киберсигурност. Военен журнал, 2015 г., бр.3, ISSN 0861-7392, стр.7-13       

[3] Христозов, И. Оценка на възможностите за интегриране на информационните системи за отбрана и национална сигурност. Хемус 2016, „Научните изследвания – ключов фактор за придобиване на нови отбранителни способности”, Институт по отбрана „професор Цветан Лазаров“, София, 2016, ISSN 1312-2916, стр.III-1-III-11

[4] Димитров, К. Проектиране и организация на използването на комуникационните и информационни системи и мрежи в сигурността и отбраната. ВА „Г. Ст. Раковски“, София, 2014 год., ISBN 978-954-9348-58-3 Инв. II У5176/36/1/2014

[5] Тужаров, Х. Информационна сигурност в бизнеса, изд. Асеневци, 2009

[6] ISO/IEC 27001

[7] стр.45 в гл.2 Често срещани заплахи в глобалната мрежа в Основи на мрежовата сигурност, Швета Базин, Дуо Дизайн ООД, 2004

[8] Игнатов, И. Анализ на заплахите в киберпространството. Съвременни аспекти на сигурността – предизвикателства, подходи, решения, Годишник на Факултет командно-щабен, 2018, стр. 355

[9] Гл.1 Преглед на сигурността, Стр.31 в Основи на мрежовата сигурност, Швета Базин, Дуо Дизайн ООД, 2004

[10] Ch.7 Web Security in Network Security Essentials, Applications and Standards, 2^nd edition, William Stallings, Prentice Hall, Pearson Education, Inc., New Jersey, USA, 2003

[11] Стр.168 в Гл.5 Сигурност на ниво сървър в Основи на мрежовата сигурност, Швета Базин, Дуо Дизайн ООД, 2004

[12] Калчев, К. Как да измерим способностите на КИС. Сп. „CIO – Chief Information Officer“ бр. 7 – 2012 г.

[13] Гл.3. Овладяване на мрежовата сигурност, стр.82-120 в Основи на мрежовата сигурност, Швета Базин, Дуо Дизайн ООД, 2004г

[14] За по-лесно запомняне на слоевете на модела OSI се използват първите букви от фразата: „Please, Do Not Throw Sausage Pizza Away” (P-Physical, D-Data, N-Network, T-Transport, S-Session, P-Presentation, A-Application).

[15] Стр.101 в Гл.3 Овладяване на мрежовата сигурност в Основи на мрежовата сигурност, Швета Базин, Дуо Дизайн ООД, 2004

[16] стр. 122 в гл.4 Сигурност на ниво потребител в Основи на мрежовата сигурност, Швета Базин, Дуо Дизайн ООД, 2004

[17] НАРЕДБА за минималните изисквания за мрежова и информационна сигурност.  ПМС № 186 от 26.07.2019 г

[18]https://www.google.com/webmasters/tools/reconsideration [прегледан 22.06.2019]

[19] Ch.10 Housekeeping and Security, p.270-296 in Website Design and Development, 100 Questions to Ask Before Building a Website, George Plumley, Wiley Publishing Inc., 2011, Canada and USA, https://www.pdfdrive.com/website-design-and-development-100-questions-to-ask-before-building-a-website-e159322605.html

[20] Page 35, Ch.2 Web Hosting in Website Design and Development, 100 Questions to Ask Before Building a Website, George Plumley, Wiley Publishing Inc., 2011, Canada and USA, https://www.pdfdrive.com/website-design-and-development-100-questions-to-ask-before-building-a-website-e159322605.html