Za dużo maili od wtyczki bezpieczeństwa? Jak wygląda alert, który warto czytać

Jeśli wtyczka bezpieczeństwa wysyła Ci kilka maili dziennie, pewnie już ich nie czytasz. Na tym polega prawdziwy koszt nadmiaru alertów: wiadomość o nowym koncie administratora przychodzi między dwudziestoma powiadomieniami o blokadach i trafia do kosza razem z nimi. Wtyczka powinna pisać rzadziej, a kiedy już pisze, mówić więcej. W dużej części to kwestia ustawień.

Skąd tyle maili

Większość wiadomości bierze się z kilku nawyków:

• Jeden mail na jedno zdarzenie. Każde zablokowane logowanie, każda blokada adresu, każda aktualizacja wtyczki i każdy zmieniony plik to osobna wiadomość. Każda strona w internecie codziennie dostaje próby logowania od botów, więc już samo to daje dziesiątki maili.
• Ten sam problem w kółko. Nieaktualna wtyczka, której w tym tygodniu nie możesz zaktualizować, wraca w mailu po każdym skanowaniu.
• Słaby sygnał traktowany jak znalezisko. Kod, który dekoduje base64 albo wywołuje eval, jest w wielu zwykłych wtyczkach. Skaner, który zgłasza każde takie miejsce, robi z normalnego kodu strony listę podejrzanych.
• Awaria zgłaszana jako problem. Gdy skaner nie może pobrać sum kontrolnych z WordPress.org, niektóre narzędzia zgłaszają każdy plik jako niesprawdzony, a następne skanowanie znowu wszystko „naprawia”.

Nieudane logowanie bota to żadna nowina. Blokady przypadkowych nazw użytkowników to szum, który ma każda strona w internecie, a sama blokada już zrobiła swoje.

Jak wygląda dobry alert

Weź kilka ostatnich alertów i sprawdź każdy według tej listy:

1. Dotyczy czegoś nowego albo czegoś, co się pogorszyło. O problemie, który już znasz, drugi mail nie jest potrzebny.
2. Mówi co, gdzie i jak poważne. Plik, wtyczkę albo konto oraz wagę, po której wiesz, czy to zadanie na dziś.
3. Mówi, co zrobić. Jeden albo dwa kroki albo to, komu przesłać wiadomość.
4. Mówi, na ile jest pewny. „W tym pliku jest złośliwy kod” i „ten plik jest nietypowy, niech zerknie ktoś, kto zna stronę” to dwie różne wiadomości i powinny różnie wyglądać.
5. Prowadzi do ekranu, na którym to załatwisz.
6. Przychodzi w jednej paczce. Jeden mail po skanowaniu z listą wszystkiego, co nowe, jest lepszy niż dziesięć maili z tego samego skanowania.

Jeśli minutę po otwarciu wiesz, co zrobić, alert działa. Jeśli musisz zalogować się do kokpitu, żeby sprawdzić, czy to w ogóle coś ważnego, to szum.

O czym pisać od razu

Kilka zdarzeń wymaga wiadomości w tej samej chwili, bo czekanie na następne skanowanie coś kosztuje:

• konto dostało uprawnienia administratora,
• nieudane logowania blokują konto administratora, czyli ktoś celuje właśnie w nie,
• skanowanie znalazło złośliwy kod albo zmienione pliki WordPressa i ma na to wyraźne dowody.

Reszta może poczekać na mail po zaplanowanym skanowaniu albo na tygodniowe podsumowanie: dostępne aktualizacje, drobne wskazówki, blokady nazw użytkowników, których na stronie nie ma.

Jak ustawić dowolną wtyczkę bezpieczeństwa

Te kroki działają niezależnie od tego, z której wtyczki korzystasz.

1. Policz przez tydzień. Załóż w poczcie folder albo etykietę na maile od wtyczki i zobacz, co przychodzi i jak często. Zanotuj, po których mailach naprawdę trzeba było coś zrobić.
2. Podnieś próg. Większość wtyczek ma ustawienie najniższej wagi, od której wysyła maila. Zacznij od samych poważnych problemów i obniż próg, gdy lista otwartych spraw się skróci.
3. Wyłącz maile o zwykłych blokadach. Blokada zostaje, mail znika. Zostaw alerty o kontach administratorów, jeśli wtyczka traktuje je osobno.
4. Wysyłaj alerty do kogoś, kto na nie zareaguje. Jeśli problemy naprawia programista, dopisz jego adres. Sprawdź, czy na liście nie ma adresu osoby, która już z Tobą nie pracuje.
5. Ignoruj pojedynczo to, co zmieniono celowo. Plik, który ktoś świadomie poprawił, możesz oznaczyć jako znany. Upewnij się, że wtyczka zgłosi go znowu, jeśli później się zmieni, bo inaczej każde „ignoruj” staje się martwym polem.
6. Wyślij testowy mail i zajrzyj do spamu. Alert w spamie jest tak samo bezużyteczny jak alert, którego nikt nie czyta. Jeśli Twoje tam trafiają, poproś osobę, która zarządza pocztą, o sprawdzenie, jak strona wysyła maile. Rekordy, o które chodzi, opisuje tekst SPF, DKIM i DMARC po ludzku.
7. Nie przekierowuj alertów do folderu, którego nie otwierasz. Jeśli wolisz czytać je raz w tygodniu, włącz podsumowanie.

Cisza też wymaga sprawdzenia. Jeśli od miesięcy nie przyszedł żaden mail, wyślij testowy i zobacz w panelu wtyczki, kiedy było ostatnie skanowanie. Skanowanie, które przestało działać, też niczego nie wysyła.

Gdy alert się myli

Fałszywy alarm to zgłoszenie o czymś, co jest w porządku. Zanim je zignorujesz:

• otwórz zgłoszenie i przeczytaj, który plik albo które ustawienie wskazuje,
• jeśli to plik WordPressa, wtyczki albo motywu, porównaj go ze świeżą kopią tej samej wersji,
• zapytaj osobę, która robiła stronę, czy go zmieniała,
• zgłoś sprawę na forum wsparcia wtyczki w WordPress.org, z nazwą sprawdzenia i opisem tego, co widzisz.

Nie wyłączaj całego sprawdzenia przez jedno błędne zgłoszenie. Następne prawdziwe przeszłoby bez echa.

Jak alerty działają w Ensomedia Security

Kod wtyczki Ensomedia Security i jej opis w katalogu tak przedstawiają alerty:

• Jeden mail po skanowaniu, tylko o problemach nowych albo poważniejszych niż wcześniej, od progu, który ustawisz, i najwyżej cztery maile dziennie. To, co przekroczy limit, czeka na następny mail. Skanowanie uruchomione przyciskiem Skanuj teraz nie wysyła maila, bo i tak patrzysz na wynik.
• Trzy progi w Ustawieniach, w sekcji Powiadomienia e-mail: Tylko krytyczne, Poważne (domyślnie) i Także drobne. W polu Odbiorcy wpiszesz do pięciu adresów, a Wyślij testowy e-mail pokaże, czy wiadomości dochodzą.
• Od razu, gdy konto zostaje administratorem i gdy nieudane logowania blokują nazwę użytkownika administratora. Maile o blokadach przychodzą najwyżej trzy razy dziennie na stronę.
• Cotygodniowe podsumowanie w każdy poniedziałek, wyłączone, dopóki go nie włączysz.
• Sprawdzenie, które nie mogło się wykonać, nigdy nie wysyła maila i niczego nie oznacza jako naprawionego, więc awaria po stronie WordPress.org mija po cichu.
• Niepewne znaleziska nie wysyłają maili. Trafiają do grupy Poproś programistę o sprawdzenie. Jeden słaby sygnał, na przykład base64 w pliku, nigdy nie jest znaleziskiem, a mail przychodzi tylko o znaleziskach o wysokiej pewności.
• Ignoruj wyłącza znalezisko z wyniku i z alertów, a zignorowany plik wraca, jeśli znowu się zmieni.

Wszystkie sprawdzenia, codzienne skanowanie (domyślnie o 03:00 czasu strony) i powiadomienia e-mail są darmowe i działają bez konta. Szczegóły są na stronie wtyczki.

Sprawdź swoją stronę z zewnątrz. Wpisz adres na shieldwave.io. Test trwa około 90 sekund i nie wymaga hasła ani wtyczki.