Co sprawdza skaner bezpieczeństwa strony online, czego nie widzi i jak czytać wynik?

Skaner bezpieczeństwa strony online sprawdza Twoją witrynę tak, jak widzi ją każdy w internecie. Wpisujesz adres, skaner wysyła do strony zapytania, czyta odpowiedzi i porównuje je z listą znanych problemów. Nie potrzebuje hasła, wtyczki ani dostępu do serwera.

Ma to dobrą i złą stronę. Dobra: wynik dostajesz w kilka minut i nikogo nie prosisz o dostęp. Zła: skaner widzi tylko to, co strona pokazuje na zewnątrz. Poniżej opisuję, co mieści się w tym widoku, czego w nim brakuje i jak czytać raport, żeby wiedzieć, co zrobić dalej.

Co widzi skaner z zewnątrz

Skaner zaczyna tam, gdzie zaczyna włamywacz. Boty, które codziennie przeczesują internet w poszukiwaniu łatwych celów, też nie mają Twoich haseł. Czytają to, co da się odczytać bez logowania. Dobry skaner online patrzy na te same miejsca:

• Certyfikat i szyfrowanie. Czy certyfikat SSL jest ważny i kiedy wygasa, czy serwer nie przyjmuje przestarzałych wersji szyfrowania i czy każdy wariant adresu prowadzi na https://.
• Wersje oprogramowania. Kod strony często zdradza wersję WordPressa, motywu, wtyczek i bibliotek JavaScript. Skaner porównuje je z bazami znanych luk.
• Pliki na widoku. Kopie zapasowe w stylu backup.zip, pliki .env, katalog .git, logi i zrzuty bazy. Jeśli serwer odda je każdemu, skaner to zobaczy.
• Nagłówki bezpieczeństwa i ciasteczka. Czy przeglądarka dostaje instrukcje, które utrudniają osadzenie strony w cudzej ramce albo wstrzyknięcie skryptu, i czy ciasteczka sesji mają właściwe flagi.
• Poczta. Rekordy SPF, DKIM i DMARC, czyli odpowiedź na pytanie, czy ktoś obcy może wysłać maila, który wygląda, jakby przyszedł z Twojej domeny.
• Złośliwy kod i reputacja. Czy domena trafiła na listy zagrożeń, takie jak Google Safe Browsing, i czy kod strony głównej zawiera ukryte ramki albo podejrzane przekierowania.
• Otwarte porty i zapomniane subdomeny. Panel bazy danych wystawiony do internetu albo stara wersja testowa pod adresem w rodzaju test.twojadomena.pl.

ShieldWave robi ponad 20 takich testów w jednym przebiegu, w około 90 sekund. Testy, które wysyłają dane testowe do formularzy, uruchamia dopiero po potwierdzeniu, że strona jest Twoja. Bez potwierdzenia tylko czyta to, co strona pokazuje każdemu odwiedzającemu.

Czego skaner online nie sprawdzi

Wszystko, co leży za logowaniem albo w plikach na serwerze, jest poza zasięgiem skanu z zewnątrz:

• Pliki PHP. Skaner nie zajrzy do plików na serwerze, więc nie znajdzie tylnej furtki, która nie zostawia śladu w kodzie strony. Przy WordPressie robi to wtyczka działająca od środka albo skaner w panelu hostingu.
• Konta i hasła. Skaner nie wie, ilu masz administratorów, czy ktoś loguje się hasłem „admin123” i czy włączone jest logowanie dwuetapowe.
• Wtyczki bez śladu w kodzie. Jeśli wtyczka nie dokłada nic do kodu strony, skaner nie pozna jej wersji.
• Treść bazy danych. Spam dopisany do starych wpisów, który pojawia się tylko na kilku podstronach.
• Logika sklepu albo aplikacji. Czy klient może zobaczyć cudze zamówienie, zmieniając numer w adresie. To sprawdza człowiek w pentescie: specjalista przez kilka dni ręcznie próbuje się włamać i zna przy tym sposób działania Twojej firmy.

Skan z zewnątrz nie zastępuje więc wtyczki ani pentestu. Odpowiada na inne pytanie: co widzi każdy, kto trafi na Twoją stronę, łącznie z botami. Dwa najczęstsze tematy z tej listy opisałem osobno: nieaktualne wtyczki i nagłówki bezpieczeństwa.

Jak czytać wynik 0-100

ShieldWave podsumowuje skan jedną liczbą od 0 do 100. Im wyżej, tym mniej problemów znalazły testy i tym są one mniej groźne. Liczba przydaje się do dwóch rzeczy: do porównania strony z nią samą po poprawkach i do szybkiej odpowiedzi, czy coś trzeba zrobić w tym tygodniu.

Trzy zasady:

1. Czytaj listę problemów, a liczbę traktuj jako skrót. Strona z wynikiem 70 i jednym krytycznym problemem wymaga szybszej reakcji niż strona z wynikiem 60 i kilkunastoma drobnymi uwagami.
2. Wysoki wynik nie oznacza, że strona jest bezpieczna. Oznacza, że testy z zewnątrz znalazły niewiele. Rzeczy z poprzedniej sekcji nadal mogą być w złym stanie.
3. Porównuj daty. Ten sam skan za miesiąc pokaże, czy poprawki zadziałały i czy nie doszło coś nowego, na przykład luka we wtyczce opublikowana w międzyczasie.

Trzy najpoważniejsze problemy w darmowym planie

Darmowy plan pokazuje wynik i trzy najpoważniejsze problemy. Lista jest krótka celowo: jeśli coś trzeba naprawić w tym tygodniu, znajdzie się na niej.

Przy każdym problemie widzisz, co jest nie tak i co to znaczy dla firmy, bez żargonu. Na górze listy zwykle lądują rzeczy w rodzaju kopii zapasowej, którą może pobrać każdy, wtyczki ze znaną luką albo certyfikatu, który zaraz wygaśnie.

Pełny raport rozpisuje wszystkie znalezione problemy na trzy terminy: ten tydzień, ten miesiąc i później. Dochodzi do niego zlecenie dla programisty z technicznymi szczegółami, które da się od razu wycenić. Jeśli nie wiesz, jak przekazać je osobie, która opiekuje się stroną, przeczytaj jak rozmawiać z programistą o bezpieczeństwie.

Kiedy skorzystać z moje.cert.pl

Jeśli prowadzisz firmę albo instytucję w Polsce, załóż konto w moje.cert.pl. To bezpłatny serwis CERT Polska, zespołu działającego w NASK, który zajmuje się incydentami w polskiej sieci. Zamawiasz w nim skanowanie swoich domen, a serwis informuje o znanych podatnościach w używanym oprogramowaniu, błędach konfiguracji domen i subdomen oraz o wyciekach danych z kont w Twojej domenie.

Polecam go każdemu właścicielowi strony w Polsce, niezależnie od innych narzędzi. Zakładasz konto raz, a powiadomienia przychodzą same.

ShieldWave przydaje się obok, gdy chcesz mieć odpowiedź od razu, prostym językiem, z kolejnością napraw i gotowym zleceniem do przekazania dalej. Oba narzędzia patrzą z zewnątrz, więc wyniki częściowo się pokryją.

Jak często skanować

Większości małych firm wystarczy raz w miesiącu. Częściej, gdy:

• ktoś zmienia coś na stronie: nowa wtyczka, nowy motyw, przenosiny na inny hosting,
• odchodzi osoba albo agencja, która miała dostęp do panelu,
• dostajesz sygnały, że coś jest nie tak: ostrzeżenie w Google, wiadomość od klienta o dziwnym przekierowaniu, spam wysyłany z Twojej domeny. Wtedy przeczytaj też, jak rozpoznać zhakowaną stronę.

Sprawdź swoją stronę. Wpisz adres na shieldwave.io. Test trwa około 90 sekund i nie wymaga hasła ani zakładania konta.