Iga 39 sekundi järel toimub maailmas üks küberrünnak. Ja ära arva, et see puudutab ainult suuri ettevõtteid. Üle 40% küberrünnakutest on suunatud just väikeettevõtete vastu, sest nende veebilehed on tihti halvemini kaitstud ja lihtsamini rünnatavad.
Häkitud veebileht ei tähenda ainult tehnilist probleemi. See tähendab kaotatud kliente, rikutud mainet ja potentsiaalselt ka GDPR-i trahve, kui klientide isikuandmed satuvad valedesse kätesse. Google märgistab nakatunud veebilehe otsingutulemuses hoiatusega “See sait võib olla ohtlik”, mis peletab külastajad eemale ja kukutab su SEO positsiooni.
Lisaks otsesele kahjule tuleb arvestada ka taastamise kuluga. Häkitud veebilehe puhastamine ja taastamine võib maksta sadu kuni tuhandeid eurosid, rääkimata ajast, mil sinu ettevõte on veebis nähtamatu. Ennetamine on alati odavam kui tagajärgede likvideerimine.
Hea uudis on see, et enamikku rünnakutest saab ära hoida üsna lihtsate sammudega. Siin on 8 praktilist tegevust, mida sa saad juba täna ette võtta.
8 sammu, mis kaitsevad sinu veebilehte
1. Paigalda SSL-sertifikaat. SSL-sertifikaat (see väike lukuikoon brauseris) krüpteerib kogu info, mis liigub sinu veebilehe ja külastaja vahel. Ilma selleta on paroolid, kontaktandmed ja makseinfo praktiliselt avalikult loetavad. Enamik hostingupakkujaid, sealhulgas Zone.ee, pakuvad tasuta SSL-sertifikaati Let’s Encrypt kaudu. Kui sul seda veel pole, aktiveeri see kohe.
2. Hoia WordPress ja pluginad alati värskena. Suurem osa WordPress’i häkkimistest toimub just aegunud tarkvara kaudu. Iga uuendus sisaldab turvapaiku, mis sulgevad teadaolevad haavatavused. Lülita sisse automaatsed uuendused või kontrolli vähemalt kord nädalas, kas uuendusi on saadaval. Eemalda ka kõik pluginad ja teemad, mida sa enam ei kasuta, sest isegi deaktiveeritud plugin võib olla turvarisk.
3. Kasuta tugevaid ja unikaalseid paroole. “admin123” ja “parool” on endiselt maailma populaarseimad paroolid ja häkkerid teavad seda. Kasuta iga konto jaoks vähemalt 12-tähemärgilist parooli, mis sisaldab suuri ja väikesi tähti, numbreid ja erimärke. Paroolihaldur nagu Bitwarden või 1Password teeb selle lihtsaks, sa pead meeles pidama ainult ühe peaparooli.
4. Seadista regulaarne varundamine. Isegi parima turvalisuse juures võib midagi minna valesti. Automaatne varundamine tähendab, et sa saad oma veebilehe minutitega taastada. Tee varukoopiaid vähemalt kord nädalas ja hoia neid eraldi serveris (mitte samas kohas, kus su veebileht). WordPress’i pluginad nagu UpdraftPlus teevad kogu protsessi automaatseks.
5. Paigalda veebirakenduse tulemüür (WAF). Tulemüür on nagu turvatöötaja sinu veebilehe uksel, kes filtreerib välja kahtlased päringud enne, kui need sinu serverini jõuavad. Teenused nagu Cloudflare (tasuta plaan olemas) või Wordfence (WordPress’i plugin) blokeerivad automaatselt tuhanded pahatahtlikud päringud päevas, millest sa muidu isegi ei teaks.
6. Piira kasutajaõigusi. Mitte iga kasutaja ei vaja administraatori õigusi. Anna igale kasutajale ainult need õigused, mida ta oma töö tegemiseks vajab. Kui kellelgi on vaja ainult blogipostitusi kirjutada, piisab “Autori” rollist. Mida vähem administraatorikontosid, seda väiksem on ründepind.
7. Aktiveeri kaheastmeline autentimine (2FA). Kaheastmeline autentimine lisab sisselogimisele teise turvakihi. Isegi kui keegi saab su parooli kätte, ei pääse ta sisse ilma sinu telefonis oleva kinnituskoodita. WordPress’i jaoks on häid 2FA pluginaid, näiteks WP 2FA või Google Authenticator. Aktiveeri see vähemalt kõigile administraatorikontodele.
8. Monitoori oma veebilehte pidevalt. Sa ei saa parandada seda, millest sa ei tea. Seadista teavitused, mis annavad sulle kohe märku, kui midagi kahtlast toimub: ebaõnnestunud sisselogimiskatsed, failide muutmine, uued kasutajakontod. Sucuri SiteCheck on tasuta tööriist, mis skaneerib su veebilehe pahavara suhtes. Regulaarne kodulehe hooldus on parim viis tagada, et turvaprobleemid ei jää märkamata.
5 levinumat küberrünnaku tüüpi, mida peaksid tundma
Et mõista, mille vastu sa end kaitsed, on kasulik teada peamisi rünnakuviise:
- Jõurünnak (brute force) on kõige levinum meetod, kus automaatne programm proovib tuhandeid paroolikombinatsioone, kuni leiab õige. Tugev parool ja 2FA (sammud 3 ja 7) teevad selle rünnaku praktiliselt võimatuks.
- SQL-süstimine (SQL injection) kasutab veebilehe vormide haavatavusi, et pääseda ligi andmebaasile. Tulemüür (samm 5) ja regulaarsed uuendused (samm 2) kaitsevad selle eest kõige paremini.
- XSS-rünnak (cross-site scripting) sisestab sinu veebilehele pahatahtlikku koodi, mis käivitub külastaja brauseris. See võib varastada sisselogimisandmeid ja suunata külastajaid võltslehtedele.
- Pahavara (malware) on kahjulik tarkvara, mis nakatab su veebilehte tihti aegunud pluginate kaudu. Pahavara võib suunata külastajaid ümber, kuvada rämpssisu või varastada andmeid. Pidev monitooring (samm 8) aitab seda kiiresti avastada.
- DDoS-rünnak (Distributed Denial of Service) koormab su serveri üle miljonite päringutega, muutes veebilehe kättesaamatuks. Cloudflare’i tulemüür (samm 5) on siin sinu parim kaitse.
Kokkuvõte
Veebilehe turvalisus ei pea olema keeruline. Need 8 sammu katavad enamiku levinumatest ohtudest ja enamikku neist saad rakendada ühe päevaga. Alusta kõige olulisemast: SSL-sertifikaat, uuendused ja tugevad paroolid. Seejärel lisa tulemüür, varundamine ja 2FA. Kogu protsess võtab paar tundi, aga kaitseb sind aastateks.
Kui sa kasutad WordPress’i, siis on sul tegelikult eelis, sest kogukond on tohutu ja turvalahendusi leidub rohkelt. Tasuta pluginad nagu Wordfence ja UpdraftPlus katavad juba suure osa vajadustest. Oluline on lihtsalt teha esimene samm ja mitte lükata turvalisust “homsele”.
Pea meeles, et turvalisus on pidev protsess. Regulaarne kodulehe haldamine tagab, et su veebileht püsib turvaline ka tulevikus. Kui sa pole kindel, kas sinu veebisait on piisavalt kaitstud, võta meiega ühendust ja aitame sul turvaolukorra üle vaadata.
