لازمه‌ی راه‌اندازی هر کسب‌وکاری، ایجاد یک وب‌سایت برای آن هست. تکنولوژی امروزی ساخت چنین پلتفرمی را از هر زمان دیگری آسان‌تر نموده است. وب‌سایت یک نوع دارایی برای برند محسوب می‌شود که مشتریان می‌توانند پاسخ‌های مورد نیازشان را در آن جستجو کنند. اگر شما نیز برای کسب‌وکارتان وب‌سایتی راه‌اندازی کرده‌اید باید دانش لازم را در مورد نقاط ضعف موجود در امنیت وب‌سایت‌ها و روش‌های کنترل کردن آنها داشته باشید. پشتیبانی و نگهداری از وب‌سایت شامل تمامی فعالیت‌هایی است که طی آن مطمئن شوید وب‌سایتتان کاملاً به‌روز هست و کارایی خود را دارد. یکی از مهم‌ترین فعالیت‌ها، تأمین امنیت وب‌سایت هست که البته کمتر مورد توجه مدیران قرار می‌گیرد.
خبر خوب اینکه برای مراقبت مناسب از وب‌سایت در برابر آسیب‌هایی که امنیت آن را تهدید می‌کنند، نیازی به بودجه اضافی و سنگین نیست. تنها با رویکردی مطمئن برای پیشگیری از بروز هرگونه مشکل، می‌توان امنیت لازم را برای وب‌سایت خود فراهم کرد.
۷ آسیب‌پذیری رایج امنیت سایت
مقوله‌ی امنیت وب‌سایت شامل طیف گسترده‌ای از حملات و راه‌حل‌ها می‌شود که می‌توانند بسیار دردسرساز باشند؛ اما ۷ موردی که در این مقاله به آنها پرداخته شده است از رایج‌ترین آنها هستند:
۱- بدافزار
۲- تزریق SQL
۳- تزریق کد از طریق وب‌سایت (Cross-Site Scripting)
۴- استراق سمع و ردیابی اطلاعات
۵- حملات مربوط به رمز عبور
۶- حمله DDoS
۷- تنظیمات نادرست امنیتی
اگرچه وب‌سایت‌ها آسیب‌پذیری‌های امنیتی دیگری نیز دارند؛ اما حفاظت از آنها در برابر این ۷ نوع تهدید سایبری به شما کمک می‌کند که در مسیر درست قدم بردارید.
۱- بدافزار
بدافزار (Malware) نرم‌افزاری است که با اهداف تبهکارانه ساخته شده و طراحی آن به شکلی است که می‌تواند یک سیستم را آلوده کرده و به آن آسیب برساند. از آنجایی که واژه بدافزار واژه‌ای بسیار کلی برای این‌گونه تهدیدات سایبری هست می‌توان گفت که حملات بدافزاری شامل تهدیدهایی از ویروس‌ها گرفته تا نرم‌افزارهای مخرب تبلیغاتی است، که هم کامپیوترها و هم وب‌سایت‌ها را آلوده می‌سازند. در نتیجه‌ی حملات بدافزاری به یک وب‌سایت، اطلاعات حساس موجود در آن از جمله اطلاعات مشتریان به سرقت می‌روند یا دست‌کم در معرض دید عموم قرار می‌گیرند.
حملات بدافزاری می‌توانند آسیبی جدی به یک کسب‌وکار وارد کنند به‌ویژه در صورتی که شناسایی نشده باشند و به مدت طولانی به فعالیت‌های خرابکارانه خود ادامه دهند.
در سال گذشته از هر ۵ کسب‌وکار کوچک، یک مورد با حمله بدافزاری مواجه شده است. دو نمونه از رایج‌ترین حملات بدافزاری بدین شرح هستند:
تغییر ظاهر وب‌سایت (Website Defacement): این نوع از بدافزارها ظاهر وب‌سایت را تغییر می‌دهند. در این مورد، معمولاً صفحه‌ی سایت پیامی را با نام هکر به نمایش می‌گذارد.
ریدایرکت به صفحات مخرب (Malicious redirect): در این وضعیت، وقتی کاربران به وب‌سایت شما مراجعه می‌کنند به سایت دیگری منتقل می‌شوند که حاوی محتویات مخرب یا غیراخلاقی است. این نوع از تهدیدات بدافزاری می‌تواند بعضی از صفحات یا تمامی وب‌سایت شما را برای کاربران و مشتریان غیرقابل دسترس نماید.
در این‌گونه موارد باید از امکانات و برنامه‌های خاص برای اسکن، حذف موارد مخرب و حمایت از وب‌سایت و داده‌های آن استفاده کرد که به کمک آنها می‌توان به‌سادگی و بدون نیاز به مهارت بالا از سایت خود در برابر حملات مخرب بدافزاری مراقبت نمود.
۲- تزریق SQL
آسیب‌پذیری امنیت یک وب‌سایت زمانی رخ می‌دهد که دارای نقاط ضعفی در کد نویسی خود باشد و در این شرایط به افراد با اهداف خرابکارانه این امکان را می‌دهد که به سایت حمله کرده یا کنترل آن را در دست بگیرند. این مورد معمولاً در نتیجه‌ی نصب پلاگین‌های وردپرس یا دیگر نرم‌افزارهای قدیمی بر روی وب‌سایت رخ می‌دهد. تزریق SQL یا SQL injection نوعی مخرب امنیت سایت است که شامل کدها یا دستورهای مخرب SQL بوده که به فیلدهای ورودی اطلاعات کاربر تزریق می‌شوند. این فرآیند به هکرها امکان می‌دهد که کنترل پایگاه داده مربوط به وب‌سایت را در اختیار گرفته یا اطلاعات محتوایی آن را تخریب کنند.
مقاله مرتبط: ۱۳ ابزار رایگان برای اسکن ویروس وب‌سایت
اگر این حمله موفقیت‌آمیز باشد، خرابکاران می‌توانند اطلاعات کاربران را به سرقت برده، داده‌ها را تغییر داده یا حذف کنند و یا کنترل کامل وب‌سایت را به دست بگیرند. این مورد یکی از آسیب‌پذیری‌های بسیار شایع وب‌سایت‌ها در سراسر جهان به شمار می‌آید. بر اساس گزارش‌ها در سال ۲۰۱۸، یک وب‌سایت آسیب‌پذیر به‌طور متوسط در بیش از ۱.۰۰۰ صفحه مورد تزریق SQL قرارگرفته است. یک برنامه فایروال تحت وب می‌تواند از وب‌سایت شما در برابر حملات تزریق SQL محافظت نماید. این ابزار حفاظتی یک سرویس فایروال مبتنی بر فضای ابری هست که ترافیک زمان واقعی وب‌سایت شما را رصد کرده و از آن در مقابل حملات تزریق SQL و هرزنامه‌ها حفاظت نموده و حملات DDoS را نیز دفع می‌کند.
۳- تزریق کد از طریق وب‌سایت
تزریق کد از طریق وب‌سایت (XSS) یا Cross-site scripting نوع رایج دیگری از آسیب‌پذیری‌های امنیتی وب‌سایت هست. برخلاف تزریق SQL، این مورد زمانی رخ می‌دهد که خطوط کدهای خرابکارانه جاوا اسکریپت به درون وب‌سایت تزریق می‌شوند تا کاربران را هدف قرار دهند و بدین ترتیب دستورهای سمت کاربر را دست‌کاری می‌کنند. این کدهای مخرب اطلاعات و تاریخچه بازدید کاربران را از طریق نوار جستجوی وب‌سایت یا کامنت‌ها به سرقت می‌برند. با این کار می‌توان ظاهر وب‌سایت را تغییر داده و کاربران را به دیگر وب‌سایت‌های مخرب یا نامناسب منتقل می‌کنند که البته ممکن است ظاهر آن صفحات بسیار عادی باشد اما برای به سرقت بردن اطلاعات کاربران طراحی شده باشند. با استفاده از سیاست‌های امنیتی محتوایی می‌توان از حملات تزریق کد از طریق وب‌سایت جلوگیری کرد.
۴- استراق سمع و ردیابی اطلاعات
این امر زمانی رخ می‌دهد که یک هکر تمام اطلاعات ورودی یک کاربر در وب‌سایتی را در اختیار می‌گیرد و در ادامه از آن در جهت اهداف خود استفاده می‌کند. این داده‌ها می‌توانند به شکل اطلاعات ساده تماس و یا اطلاعات حساس مربوط به کارت‌های اعتباری یا حساب‌های بانکی کاربران باشند. تبهکاران سایبری این داده‌ها را در فضای مجازی و برای مقاصد مالی، خرید و فروش می‌کنند. تنها در یک مورد در سال ۲۰۱۵، یک گروه تبهکار سایبری در بلژیک وب‌سایت چندین شرکت متوسط و بزرگ اروپایی را هک کرده و اطلاعات تجاری و مالی حساس آنها را به سرقت بردند. آنها در نتیجه این کار توانستند بیش از ۶ میلیون یورو از حساب این شرکت‌ها خارج کرده و به حساب‌های متعلق به خود انتقال دهند.
مقاله مرتبط: برچسب گذاری کروم روی سایت های نا امن؛ ضرورت دریافت گواهینامه SSL
از این رو بسیار مهم هست که وب‌سایتتان را با استفاده از یک گواهینامه SSL به‌منظور مراقبت از داده‌های حساس، ایمن نمایید. گواهینامه SSL یک ارتباط ایمن و رمزگذاری شده بین مرورگر بازدید‌کننده و سرور وب ایجاد خواهد کرد تا کاربر با امنیت کامل عملیات خود را در وب‌سایت شما به انجام برساند. این امر، خریداران را از حملات سایبری این‌چنینی در امان نگه می‌دارد.
۵- حملات مربوط به رمز عبور
برخی از هکرها رمز عبور افراد را حدس می‌زنند یا از ابزارها و برنامه‌هایی خاص برای امتحان ترکیب‌های متفاوت از کلمات و اعداد استفاده می‌کنند تا بتوانند رمز عبور کاربران را به دست آورده و به‌حساب کاربری آنها دسترسی پیدا کنند. در برخی از موارد از روش‌های پیشرفته کی لاگینگ (keylogging) نیز برای دسترسی به حساب‌های کاربری افراد استفاده می‌گردد. کی لاگینگ هرگونه ضربه‌ای را که کاربر روی کیبورد وارد می‌کند به ثبت می‌رساند. سپس این اطلاعات در اختیار هکرهایی قرار می‌گیرد که این برنامه‌ها را روی سیستم‌ها نصب کرده‌اند. بسیاری از وب‌سایت‌ها فاقد امنیت قوی در زمینه رمز عبور هستند که تنها با کمی تلاش از جانب هکرها می‌توان رمز عبور آنها را به دست آورده و کنترل وب‌سایت را به دست گرفت.
چندین روش برای محافظت از وب‌سایت در برابر این آسیب‌پذیری:
- از کاربران و مشتریان خود بخواهید که به‌طور مداوم رمزهای عبور خود را تغییر دهند.
- برای تائید دسترسی کاربران، قابلیت تائید دو مرحله‌ای را فعال کنید.
و در آخر اینکه نام کاربری ادمین وردپرس خود را واژه معمول « admin» قرار ندهید.
۶- حمله DDoS
حمله DDOS معمولاً زمانی رخ می‌دهد که سرور یک وب‌سایت مقادیر زیادی ترافیک یا درخواست دریافت می‌کند که باعث بارگیری بیش از حد و عدم توان پاسخگویی سیستم می‌شود. این حملات در واقع ترافیک‌های غیرواقعی از سمت کامپیوترهای کنترل شده توسط هکرها رخ می‌دهند که اغلب بات نت (botnet) نامیده می‌شوند. بات نت تعدادی وسیله متصل به اینترنت است که هرکدام یک یا چند بات را راه‌اندازی می‌کنند. وقتی که سرور وب‌سایت در احاطه مقدار زیادی ترافیک و درخواست قرار می‌گیرد، بارگیری آن به کندی انجام می‌شود. وقتی‌که قدرت کافی پشت این حملات وجود داشته باشد می‌تواند باعث از کار افتادن سرور سایت نیز بشود که البته آفلاین شدن کامل وب‌سایت را در پی خواهد داشت.
در سال ۲۰۱۷، کمپانی Kaspersky گزارش داد که ۳۳ درصد از کسب‌وکارهای کوچک تا متوسط به‌وسیله‌ی حملات DDOS مورد حمله قرار گرفته و ۲۰ درصد از کسب‌وکارهای بسیار کوچک و ۴۱ درصد از مؤسسات بزرگ نیز تحت تأثیر این حملات بوده‌اند. برای کسب‌وکارهای کوچک این عدد از سال ۲۰۱۶ تا ۲۰۱۷ دو برابر شده است. خوشبختانه جلوگیری از حملات دیداس فرآیند پیچیده‌ای نیست و با استفاده از سیستم‌های فایروال وب محور می‌توان از این حملات امنیتی سایبری جلوگیری کرد.
۷- تنظیمات نادرست امنیتی
این امر زمانی رخ می‌دهد که تنظیمات امنیتی وب‌سایت دارای حفره یا نقاط ضعفی باشد که می‌توانند به آسیب‌پذیری‌های امنیتی متعدد منجر شوند. این مشکل معمولاً در اثر مدیریت نامناسب وب‌سایت یا تنظیمات نادرست برنامه‌ها رخ می‌دهد. این ضعف سایت، به هکرها امکان دسترسی به داده‌های شخصی و حساس یا ابزارهایی از وب‌سایت را دهد که می‌توانند توسط آنها سیستم را به‌طور کامل از کار بیندازند یا کنترل آن را به شخص دیگری انتقال دهند. در این شرایط، هکرها می‌توانند اطلاعات و داده‌های حساس وب‌سایت شما را به سرقت برده یا آنها را تغییر دهند.
به‌صورت کلی، آسیب‌پذیری امنیتی وب‌سایت زمانی رخ می‌دهد که تنظیمات پیش‌فرض و البته غیرمطمئن سیستم تغییر داده نشوند. قرار دادن این تنظیمات در حالت پیش‌فرض، دسترسی هکرها به پایگاه اطلاعاتی وب‌سایت شما را بسیار آسان خواهد کرد. بدین ترتیب بهتر هست که هیچ‌گاه تنظیمات امنیتی وب‌سایت خود را در حالت پیش‌فرض رها نکرده، تغییراتی در آنها ایجاد کنید و بنا بر نیازهای خاص خود به شیوه‌ای مناسب آنها را تنظیم کنید.
اختصاص دادن زمانی برای اطلاع یافتن از رایج‌ترین آسیب‌پذیری‌های امنیتی وب‌سایت‌ها گام اول و البته بسیار مهم در دفاع از وب‌سایت متعلق به کسب‌وکارهای کوچک است. گام دوم، وارد عمل شدن و تغییر دادن این تنظیمات امنیتی و نصب برنامه‌هایی برای محافظت از داده‌های خود و مشتریان خواهد بود. با توجه به موارد گفته شده در این مقاله شما نیز می‌توانید اقدامات لازم برای ایمن‌سازی سایت خود را آغاز کنید.
