Безопасность. Admin CMS

Система управления контентом

Admin CMS

Профессиональная система управления содержимым веб-сайтов и веб-проектов. На базе системы можно создавать, поддерживать, продвигать и развивать:

интернет-магазины

корпоративные веб-сайты

информационные порталы

ERP решения

CRM системы и многие другие веб-проекты

Безопасность является одним из важнейших аспектов работы интернет-сайтов. Большую роль в обеспечении безопасности играет выбор хорошей системы управления контентом, надежного серверного программного обеспечения, хостинга и проведение комплекса действий, которые обеспечивают уменьшение вероятности возникновения проблем на сайтах.

Модуль Безопасность ограничивает возможность авторизации пользователей для обеспечения безопасности на сайте. Уровень безопасности устанавливается для каждой группы пользователей отдельно.

Настройка безопасности:

Для коррекции настройки PHP на хостинге настраивается время активности сессии;
Для защиты от межсайтового скриптинга XSS/CSS осуществляется привязка сессии к IP-адресу или к сети по маске. Подключение такой защиты делает бессмысленным перехват идентификатора сессии;
Установка срока действия активности авторизации пользователя, которая содержится на локальных компьютерах посетителей и ее привязка к сети по маске или к IP-адресу делают бесполезными XSS/CSS атаки и кражу сохраненных данных для авторизации, т.к. все данные генерируются произвольно, не содержат IP-адрес компьютера пользователя и не содержат криптографической информации для анализа;
Для восстановления пароля настраивается срок действия контрольного (проверочного) слова. Это поможет уменьшить риск взлома при перехвате электронных писем через механизм восстановления;
Для каждого пользователя ставится ограничение количества запомненных авторизаций. Например, если у пользователя стоит ограничение 5 ? запомнить себя пользователь сможет только на 5 компьютерах. Старые запомненные авторизации впоследствии будут удаляться или вытесняться.

Для администраторов модуля устанавливается повышенный уровень безопасности. К посетителям, которые относятся к нескольким группам, применяется самая суровая система безопасности.

Чтобы быстро проверить возможные изменения в файлах системы используется Контроль целостности файлов. С его помощью можно проверить целостность ядра, общественной части продукта и системных областей.

Для проверки целостности файлов сначала необходимо проверить были ли изменения в скрипте контроля. Во время запуска скрипта нужно ввести любой пароль из латинских букв и цифр и не менее 10 символов длиной, и любое ключевое слово, несовпадающее с паролем, затем кликните на кнопку "Установить новый ключ".

Защита админ раздела заключается в том, что владелец продукта ограничивает сети, которые считаются безопасными и из которых можно управлять интернет-сайтом. Система защиты административного раздела настраивается в специальном интерфейсе. При этой защите XSS/CSS атаки на локальный компьютер пользователя и перехват данных становятся совершенно безрезультатным.

Свойства системы защиты админ раздела:

Ограничивается доступ для всех IP-адресов к административной части интернет-магазина, кроме указанных администратором;
Можно установить диапазон IP-адресов, с которых разрешен доступ к административной части сайта;
Система определяет IP-адрес пользователя автоматически;
Ввести IP-адрес можно вручную.

Большинство сетевых атак проводятся ради получения несанкционированного доступа. После включения защиты сессий перехватить авторизированные сессии пользователей становится невозможно. Особенно важно защитить сессию администратора.

Информация по сессиям хранится в таблице модуля во избежание хищения этих данных через скрипты других сайтов, исключив ошибки настроек прав доступа во временных файлах, ошибки конфигурирования виртуального хостинга и иные проблемы настроек. К тому же, это разгружает систему и распределяет нагрузку на сервер базы данных.

Достижения системы защиты сессий:

Защита сессий осуществляется путем смены идентификатора сессий раз в несколько минут, установления времени "жизни" сессии, маски сети для привязки сессии к IP и с помощью хранения данных сессий в таблице модуля;
Ошибки настройки прав доступа к временным каталогам исключаются;
Ошибки конфигурирования виртуального хостинга исключаются;
Проблемы настройки операционной системы исключаются;
Разгрузка системы файлов;
Хищения сессий взломщиками становятся бессмысленными.

Модуль Контроль активности ставит защиту от слишком активных пользователей, программ-роботов, некоторых видов DDoS-атак и предотвращает попытки подбора паролей методом последовательного перебора комбинаций.

В настройках данного модуля можно установить ограничения активности для посетителей сайта, например, количество запросов в секунду от одного пользователя.

Функции модуля Контроль активности:

Защита системы от слишком активных пользователей;
Защита системы от программ-роботов;
Защита от некоторых видов DDoS-атак;
Предотвращение попыток подбора паролей методом последовательного перебора комбинаций;
Ограничение активности для посетителей сайта;
В случае превышения лимита активности посетителем заносить информацию в Журнал вторжений;
Блокирование посетителя, который превысил лимит запросов;
Информирование заблокированного посетителя путем вывода для него на экран специального уведомления;

Журнал вторжений фиксирует все события, которые произошли в системе. Записи в Журнале появляются сразу после того как происходит событие. Такая система дает возможность выявить атаки взломщиков во время их проведения и быстро принять соответствующие меры.

Возможности Журнала вторжений:

Своевременное фиксирование всех событий в системе;
При выявлении хакерской атаки информация о характере атаки заносится в один из таких разделов Журнала: попытка атаки через XSS, попытка внедрения PHP или попытка внедрения SQL;
Отбор враждебных событий по фильтру;
Просмотр и анализ событий в момент их совершения;
Принятие соответствующих мер при наступлении событий;
Предупреждение подобных событий в дальнейшем на основании их анализа.

Телефон:
(044) 541-22-13

AdminCMS^TM

НОВОСТИ

Безопасность

Телефон:(044) 541-22-13

AdminCMSTM

НОВОСТИ

Безопасность

Телефон:
(044) 541-22-13

AdminCMS^TM