Miks kodulehed häkitakse — ja kuidas seda ära tunda
„Miks keegi peaks minu väikest kodulehte häkkima?" on kõige levinum mõte, mis ettevõtjal enne rünnakut tekib. Loogiline küsimus, aga vale eeldus — peaaegu keegi ei istu arvuti taga ja vali sind välja. Allpool on lahti kirjutatud, kuidas häkkimine tegelikult käib, kust sissepääs kõige sagedamini tuleb ja mida ründajad sinu saidiga tegelikult teevad, kui see neil õnnestub.
Sisukord
Enamik häkkimisi ei ole sihitud
Kujuta ette mitte inimest, kes valib sinu saidi, vaid robotit, kes proovib tunnis läbi kümneid tuhandeid saite. Just nii see enamasti käib:
- Turvauuring avastab pluginas augu ja avaldab selle kohta tehnilise kirjelduse.
- Mõne päeva jooksul kirjutab keegi automaatse skripti, mis seda auku otsib.
- Skript käib läbi miljoneid domeene ja proovib sedasama auku igal ühel.
- Kui su sait kasutab seda pluginat vananenud versioonis, siis see „vastab".
Sinu sait ei pea olema huvitav, väärtuslik ega tuntud. Ta peab lihtsalt olema olemas ja uuendamata. See on ka põhjus, miks väike visiitkaardisait saab häkitud sama tõenäoliselt kui suure firma koduleht — robot ei tee vahet.
Kust sissepääs kõige sagedamini tuleb
Enamik intsidente jaguneb nelja põhilise sissepääsu vahel:
Vananenud pluginad ja teemad. Kõige levinum tee sisse. Avalikult teada haavatavus + saidi omanik, kes pole kuu või kaks uuendanud = sissepääs, mida pole vaja isegi ise otsida, piisab avaliku andmebaasi läbi vaatamisest.
Nõrgad paroolid ja brute-force. Robotid proovivad automaatselt läbi tuhandeid tavalisi kasutajanime-parooli kombinatsioone. Kasutajanimi „admin" koos parooliga, mida kasutad ka mujal, on peaaegu kutse.
XML-RPC ja REST API kuritarvitamine. WordPressi sisseehitatud liidesed, mis on algselt mõeldud kaugühenduse jaoks (nt mobiilirakendused), aga mida saab kasutada ka sisselogimiskatsete massiliseks proovimiseks, kui neid pole piiratud.
Failide üleslaadimine ilma kontrollita. Vorm või plugin, mis lubab kasutajal faili üles laadida, aga ei kontrolli piisavalt, mis tüüpi fail see on. Ühe pildivormingu asemel laetakse üles käivitatav skript.
Miks just WordPress on nii sage sihtmärk
See ei ole WordPressi enda süü niivõrd, kuivõrd tema populaarsuse matemaatika. WordPress jookseb ligi poolel maailma kodulehtedest — see tähendab, et üks leitud auk ühes populaarses pluginas annab ründajale võimaliku ligipääsu sadadele tuhandetele saitidele korraga. Ründaja vaatevinklist on see äärmiselt efektiivne: sama töö annab tulemuse tuhandekordselt.
Teine tegur on pluginate ökosüsteem ise. WordPressi tuum ise on suhteliselt hästi hooldatud, aga kolmandate osapoolte pluginate kvaliteet kõigub suurel määral — mõnda hooldab üksik arendaja, kes kaob ühel hetkel jäljetult, ja plugin jääbki uuendamata, kuni haavatavus avastatakse.
Mis juhtub pärast sissemurdmist
See on osa, mida enamik ettevõtjaid ei tea küsida. Nakatunud sait ei tähenda tavaliselt, et keegi „lõhub" sinu lehe nähtavalt. Kõige levinumad stsenaariumid:
- Rämpsu sisestamine. Saidi lehtedele lisatakse peidetud tekst ja lingid (tavaliselt ravimid, kasiinod, võltsitud kaubad) — nähtamatud tavakülastajale, aga näha otsingumootoritele. Eesmärk on kasutada sinu saidi otsinguusaldust enda lingi jaoks.
- Pahavara levitamine. Sinu sait hakkab külastajate arvutisse laadima kahjulikku koodi. Sina ei pruugi midagi näha, aga brauser hoiatab külastajaid ja Google märgib saidi mustas nimekirjas.
- Ümbersuunamised. Külastaja, kes tuleb otsingust, suunatakse hoopis mujale — tihti pettuslehele. Sina, otse aadressi sisestades, näed tavalist saiti, sest suunamine töötab ainult teatud tingimustel.
- Osa botnetist. Server hakkab saatma rämpskirju või osalema DDoS-rünnakutes teiste vastu — sinu sait ise „töötab" endiselt, aga taustal kasutatakse tema ressurssi kellegi teise jaoks.
- Krüptomüntide kaevandamine. Server tehakse hõivatuks arvutustega, mis ei puutu sinu saidiga üldse kokku. Tavaliseks tunnuseks on saidi ootamatu aeglustumine.
Ühine joon on see, et enamik neist on vaikne. Sait näib omanikule töötavat, kuni keegi teine (Google, majutaja, klient) annab teada, et midagi on valesti.
Hoiatusmärgid, mida tasub tunda
- Sait on ootamatult aeglustunud, ilma nähtava põhjuseta
- Google Search Console teatab „häkitud sisust" või turvaprobleemist
- Külastaja teatab, et brauser näitas hoiatust
- Otsingutulemustes ilmub sinu domeeni all võõraid, sinuga mitteseotud lehepealkirju (nt ravimireklaamid)
- Adminis on kasutaja, keda sa ei tunne, või õigused, mida sa pole andnud
- Failihalduris on failid, mida sa ei ole üles laadinud, eriti kummaliste nimedega juurkataloogis
- Majutaja saadab kirja ressursikasutuse ootamatu tõusu kohta
Ükski neist eraldivõetuna ei tõesta midagi kindlalt, aga kaks-kolm korraga on tugev signaal, et on aeg kontroll teha.
Kõige levinumad vead, mis ukse lahti jätavad
Kokkuvõtvalt viis asja, mis peaaegu igas juhtumis, mida oleme näinud, korduvad:
- Plugin või teema, mida keegi ei ole kuudeks unustanud uuendada — sageli selline, mida enam ei kasutatagi, aga mis pole eemaldatud.
- Sama parool mitmel saidil — kui üks teenus lekib, proovitakse sama kombinatsiooni kõikjal mujal.
- 2FA puudumine adminikontol — üks lekkinud parool piisab, kui midagi muud takistust ei ole.
- Piiramatu sisselogimiskatsete arv — brute-force saab lihtsalt jätkata, kuni õnnestub.
- Jagatud majutus, kus naaberkontod on nakatunud — teatud majutuskeskkondades saab pahavara levida ühelt kontolt teisele, kui serveri isolatsioon on nõrk.
Kuidas end kaitsta
Lühivastus: enamik neist vigadest on parandatavad ilma suure vaevata — regulaarne uuendamine, tugevad paroolid koos 2FA-ga, sisselogimispiirang, tulemüür ja usaldusväärne majutus katavad enamiku juhtumitest ära. Põhjalikuma checklisti ja selgituse, mida iga samm konkreetselt teeb, leiad WordPressi turvalisuse juhendist.
Kokkuvõte
Häkkimine ei ole tavaliselt isiklik ja seda ei põhjusta miski dramaatiline — enamasti üks unustatud uuendus, mis jäi liiga kauaks tegemata. Just see teeb ennetuse lihtsaks: sama pisiasjade jada, mis lubas ründajal sisse pääseda, on ka see, mida regulaarne hooldus katab.
Kas sinu sait on juba mõnda hoiatusmärki näidanud? Teeme tasuta ülevaatuse: kontrollime tuntud turvaauke, kasutajaõigusi ja sisselogimiskatseid ning saadame raporti. Kui sait on juba nakatunud, aitame ka puhastada.