Kuidas veebilehe monitooring tuvastab probleeme, mida CMS ise ei näita?

1. Miks CMS-i uuenduste vaade ei ole alati piisav?

Joomla laiendus või WordPressi plugin peab ise sisaldama korrektset versiooniinfot ja uuenduskanali seadistust. Kui tootja server ei vasta, litsents on aegunud, uuenduskanal muutunud või paigaldus on katki, ei pruugi CMS uuest versioonist teada saada.

Samuti ei tuvasta CMS tingimata veebijuure kõrvalisi faile, serveri cron-töid, muudetud konfiguratsiooni või seda, kas varukoopia on viimasel ajal edukalt valmis saanud. Haldusvaate roheline märge on kasulik signaal, mitte täielik turvaaudit.

2. Tõhus monitooring kasutab mitut kontrollikihti

Üksik kontroll võib anda valehäire või jätta probleemi märkamata. Näiteks failimuudatus on tavapärane pärast ametlikku uuendust, kuid kahtlasem siis, kui samal ajal ei ole registreeritud uuendusprotsessi.

3. Uptime näitab kättesaadavust, mitte kogu veebilehe tervist

Lihtne uptime-kontroll teeb HTTP päringu ja mõõdab vastust. Parem kontroll kinnitab ka oodatud staatusekoodi, TLS-sertifikaadi kehtivuse ja mõne lehele iseloomuliku teksti olemasolu.

Leht võib tagastada vastuse 200, kuid kuvada ainult veateadet, tühja lehte või ründaja asendatud sisu. Seetõttu tuleb kontrollida vastuse sisu ja vahel ka kontaktivormi või muu olulise funktsiooni toimimist.

Uptime ei ütle, kas administraatorikonto on üle võetud, andmebaasi lekkinud või serveris on tagauks. See on ainult üks kiht.

4. Versioonide inventuur ja CVE seos vajavad normaliseerimist

Monitooring peab kõigepealt usaldusväärselt tuvastama paigaldatud tarkvara ja versiooni. Seejärel saab võrrelda tulemust tootja värske versiooni ja turvateavitustega.

Praktikas tekivad probleemid, sest:

• laienduse nimi võib eri allikates erineda;
• versioon võib olla peidetud või vales formaadis;
• üks pakett sisaldab mitut komponenti;
• turvanõrkus puudutab ainult kindlat seadistust või funktsiooni;
• parandus võib olla tootja poolt tagasiporditud ilma põhinumbrit muutmata.

Seetõttu ei tohi CVE vaste automaatselt tähendada, et sait on kindlasti haavatav. See tähendab, et inimene peab versiooni, seadistuse ja tootja nõuande üle kontrollima.

5. Failide tervikluse kontroll näitab muutust, mitte automaatselt rünnakut

Failide tervikluse kontroll loob usaldatud algseisundi ja võrdleb hilisemaid faile sellega. Tulemuseks on lisatud, muudetud ja eemaldatud failide loend.

Legitiimsed põhjused on näiteks CMS-i uuendus, plugina paigaldamine, vahemälu või pildi lisamine. Kahtlasemad on ootamatud PHP-failid üleslaadimiskataloogis, süsteemifailide muutused väljaspool uuendusakent või failid, mis pärast eemaldamist tagasi ilmuvad.

Automaatne süsteem peaks proovima muutuse siduda teadaoleva uuendusega. Kui seost ei saa kinnitada, vajab muutus käsitsi ülevaatust. Pärast kontrollitud uuendust saab uue seisu kinnitada algtasemeks.

6. Varunduse monitooring peab eristama „töö käivitus” ja „taastatav koopia”

Varundustarkvara teade „job completed” on parem kui teadmatus, kuid see ei pruugi kinnitada, et kõik vajalikud failid ja andmebaas jõudsid koopiasse. Monitooring võib kontrollida viimase koopia aega, mahtu, veateateid ja säilituskohtade kättesaadavust.

Perioodiline taastetest jääb endiselt vajalikuks. Veebimonitooring võib anda märku, et varukoopia puudub või on vananenud, kuid täieliku taastevõime tõestab ainult proovitaastus.

7. Turvapäised ja TLS on lihtsad, kuid kasulikud välised kontrollid

Turvapäiste kontroll näitab, kas veebiserver saadab näiteks Content-Security-Policy, X-Content-Type-Options või Referrer-Policy päiseid. Nende puudumine ei tähenda automaatselt kompromiteerimist, kuid võib näidata, et kaitsekiht kadus konfiguratsioonimuudatuse käigus.

Samuti saab jälgida TLS-sertifikaadi aegumist, domeeni DNS-i vastust ja HTTPS-suunamist. Need kontrollid aitavad avastada töökindluse ja konfiguratsiooni probleeme enne, kui kasutajad neid märkavad.

8. Inimese hinnang muudab toorhäire teenuseks

Klient ei vaja 40 faili nimekirja ilma kontekstita. Hallatud monitooringu töövoog võiks olla:

1. kontroll kogub signaalid;
2. süsteem seob need uuenduste ja varasema algseisundiga;
3. spetsialist vaatab kõrge riskiga või seletamata muutused üle;
4. tavapärane muudatus kinnitatakse;
5. kahtlase muutuse puhul tehakse täiendav kontroll või võetakse kliendiga ühendust;
6. tegevus ja otsus jäävad dokumenteerituks.

Prevent IT Web Monitor on praegu sisemine tööriist Joomla ja WordPressi saitide haldamiseks. See kontrollib töökindlust, failimuudatusi, versioone, uuendusi, CVE vasteid, varunduse seisundit ja turvapäiseid. Klient ei pea ise dashboard’i tõlgendama; tulemused vaatab üle Prevent IT.

9. Mida monitooring ei tõesta?

Hea teenuse kirjeldus ütleb lisaks kontrollidele ka kontrollimise sageduse, teavitamise kriteeriumid, inimese ülevaatuse ja reageerimise piirid. Vaata Prevent IT veebihoolduse ja monitooringu teenust.