Дежурные по Рунету

Серьезные производители коробочных CMS заботятся о безопасности своих продуктов. Для этого они периодически проводят аудиты безопасности продуктов, о чем имеют соответствующие документы от независимых экспертов.

Если при разработке сайта выполнялись требования производителя CMS по качеству и безопасности внедрения — риски минимальные.

Если проект ответственный, сложный, нестандартный, в процессе разработки внедренцы влезали в код CMS, писали свой код к CMS — лучше после окончания проекта заказать аудит безопасности.

Безопасность сайта складывается из нескольких составляющих: надежность хостингового ПО, человеческий фактор (надежность паролей, политика их смены и прочее), а также, разумеется, устойчивость ко взломам CMS, на которой работает сайт, и того программного кода, который написан «сверху» CMS (внедрение).

Получить представление о безопасности CMS проще всего на сайте производителей (у сайтов серьезных продуктов обязательно есть страница о безопасности): какие инструменты обеспечения безопасности предлагает производитель, есть ли у него соответствующие сертификаты и прочее.

Что касается безопасности внедрения, то можно во-первых воспользоваться автоматическими средствами проверки сайта на уязвимости, например, XSpider, или заказать ручной аудит проекта специализированной компании. Но это вариант гораздо более затратный.

Очень просто — постоянно проводить тестирование безопасности. Можно взять специалистов в штат или заказать услугу по поиску уязвимостей, обратившись в компании, занимающиеся сетевой безопасностью.

Мы сами так поступаем — у нас есть отдел информационной безопасности, но и внешнее тестирование мы постоянно заказываем. Хотя такой подход и дает наилучшие результаты, но весьма дорог для большинства проектов.

Мы предусмотрели в нашей системе управления сайтом несколько встроенных систем защиты, в том числе web-антивирус и web application firewall, которые позволяют автоматически выявить и предотвратить большинство попыток несанкционированного доступа. Например, несколько раз мы регистрировали до 15 тысяч атак в день на наш сайт. Безуспешных атак.