Ve WEDOS Global Protection (WGP) neustále pracujeme na tom, aby byly chráněné weby našich zákazníků bezpečnější a dostupnější. Tento týden se nám podařilo posunout ochranu zase o kus dál. Zaměřili jsme se na tři důležité oblasti: aby byl váš web vidět ve vyhledávačích i během útoku, aby výpadek jedné části naší infrastruktury neznamenal výpadek vašeho webu a aby běžné útoky na PHP a WordPress narazily dřív, než se dostanou k vašemu serveru. Máme radost, že všechny tyto novinky můžeme nabídnout automaticky všem chráněným doménám. Nemusíte nic nastavovat.
Vyhledávače projdou i během útoku
Když na web míří útok, WGP přepne do přísnějšího režimu a podezřelým návštěvníkům předkládá ověřovací výzvu. Člověk ji v prohlížeči projde, robot vyhledávače ale ne. Pokud útok trval delší dobu (což v některých případech mohou být i dny), vyhledávač by místo obsahu webu opakovaně narážel na ověření a mohlo by se to projevit na pozicích ve výsledcích vyhledávání.
Ověření roboti například Googlu, Seznamu a Perplexity proto nově ověřovací výzvu nedostanou ani v přísném režimu. Web mohou procházet bez přerušení a minimalizujeme tak riziko, že se útok negativně projeví na jeho viditelnosti ve vyhledávání.
Za ověřeného robota považujeme jen takového, který přichází z oficiálních adres daného vyhledávače. Samotné označení „Googlebot“ v hlavičce požadavku nestačí, to si může napsat kdokoli. Seznam ověřených adres Googlu jsme zároveň rozšířili o všechny jeho oficiální služby.
Vyšší odolnost při výpadku
Požadavek na váš web prochází v naší síti několika stupni zpracování. Když některý z nich na uzlu přestane odpovídat, provoz se nově automaticky přesměruje na záložní cestu.
Díky tomu dokážeme lépe zvládat i problémy v naší vlastní infrastruktuře, aniž by se musely projevit výpadkem chráněného webu.
Silnější ochrana webů v PHP a WordPress
Automatizované skenery denně procházejí internet a zkoušejí na webech najít soubory, které tam veřejně být nemají. Rozšířili jsme ochranu proti nim. WGP nově zachytí pokusy o přístup k:
- konfiguračním souborům
.enva jejich zálohám, kde bývají hesla k databázi a klíče k API - repozitářům Git, ze kterých lze stáhnout zdrojový kód webu
- klíčům SSH
- přístupovým údajům ke cloudovým službám
Zachytíme i pokusy, které se snaží filtr obejít různým zápisem adresy. Toto není jen prevence. I když na webu tyto soubory nemáte, stejně to roboti zkouší a jsou schopní za velmi krátkou dobu vyprodukovat tisíce požadavků.
Dále jsme přidali:
- Ochranu proti zneužití PHP-CGI. Blokujeme požadavky, které se snaží zneužít způsob, jakým server předává parametry interpretu PHP.
- Blokování PHP skriptů v adresáři pro nahrávané soubory. Když se útočníkovi podaří nahrát na web vlastní skript, často skončí v adresáři pro nahrávané soubory, u WordPress typicky
wp-content/uploads. Spuštění PHP skriptu z tohoto adresáře WGP nově zablokuje. Obrázky a další soubory se z něj načítají dál normálně.
Certifikát HTTPS i ve složitějších situacích
Certifikáty pro chráněné domény vystavujeme přes Let’s Encrypt. Ten před vystavením ověřuje, že doménu skutečně ovládáte, pomocí kontrolního požadavku na web. Pokud web takový požadavek sám přesměruje jinam nebo ho nezpracuje, obnova certifikátu může selhat.
Nově v takové situaci dokážeme vystavit platný certifikát náhradní cestou.
A to zdaleka není všechno
Tohle jsou jen nejviditelnější změny, které jsme za uplynulý týden nasadili. Ve skutečnosti je jich mnohem více. Velká část se týká interní infrastruktury, optimalizací a bezpečnostních mechanismů, které zákazník přímo nevidí, ale díky nimž je celá ochrana rychlejší, spolehlivější a odolnější. Další úpravy vznikají na základě specifických požadavků našich VIP a Enterprise zákazníků.
Na tom, co se nám daří budovat, jsme hrdí. WEDOS Global Protection neustále vyvíjíme a každý týden posouváme zase o něco dál. Ne všechno je na první pohled vidět, ale právě tyto průběžné změny dělají z WGP stále lepší ochranu pro všechny naše zákazníky.
Všechny výše popsané novinky jsou automaticky dostupné pro domény chráněné WEDOS Global Protection.