Cybersicherheit
5 min

Sicherheit von Webservern: Tipps zur Verbesserung der Sicherheit

October 12, 2021
Sicherheit von Webservern: Tipps zur Verbesserung der Sicherheit

MVP's
Business cases development

  • Onectus is a startup and mobile e-commerce technology provider.
  • We will help you to build and scale your awesome ideas following Agile values.
  • Our scope is to build products of perspective businesses as well as guarantee the best start and scaling strategy based on our knowledge achieved in years of activity.
Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus

MVP's
Business cases development

  • Onectus is a startup and mobile e-commerce technology provider.
  • We will help you to build and scale your awesome ideas following Agile values.
  • Our scope is to build products of perspective businesses as well as guarantee the best start and scaling strategy based on our knowledge achieved in years of activity.
Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus

MVP's
Business cases development

  • This is some text inside of a div block.
  • This is some text inside of a div block.
  • This is some text inside of a div block.
Logo mvp bock onectus
Main clouds hero section image

In diesem kurzen Beitrag werden die einfachsten und wichtigsten Ansätze und spezifischen Empfehlungen zum Schutz Ihrer Anwendung vor Hackerangriffen vorgestellt. Auf jedem gut konfigurierten Webserver sind viele der folgenden Methoden in unterschiedlichem Maße und auf verschiedene Weise implementiert.

Gesonderte Benutzerrechte für die Website

User Rights

Auf diese Weise ist es möglich, über den PHP-Code nur den Inhalt des Verzeichnisses mit der Website selbst zu lesen. Wenn eine Website kompromittiert wird, schützt dies die anderen vor einer Kompromittierung. Es schützt auch gegen den Missbrauch von Standardwerkzeugen, die von Webentwicklern verwendet werden können, so dass es unmöglich war, den gesamten Inhalt des Servers durch ein ungenau ausgefülltes php-Skript abzurufen. Mit anderen Worten: eine Site - ein Systembenutzer, der nur das Verzeichnis mit dem Projekt liest.

Es gibt eine zuverlässigere Umsetzung des beschriebenen Ansatzes: ein Standort - eine virtuelle Maschine. Dadurch werden die Umgebung und die Webserver-Software vollständig isoliert, die Standardbenutzer für das Web (in der Regel www-data) können nicht berührt werden und dies ist eindeutig ein sicherer Ansatz. Wenn es also möglich ist, eine Website in einer separaten virtuellen Maschine unterzubringen, ist es besser, dies zu tun. Es gibt inzwischen viele Möglichkeiten, dies zu tun.

Sperren von ausführbaren Dateien auf dem Webserver

An Introduction to Web Shells (Web Shells Part 1) | Acunetix

Ein typischer Weg, beliebte CMS zu hacken, besteht darin, Code als Inhalt einzuschleusen und ihn dann auszuführen. Durch das Verbot des Schreibens von Skripten wird der erste Teil eines solchen Angriffs weitgehend eliminiert. Daher ist es möglich, in der Konfiguration des Webservers die Möglichkeit der Aufzeichnung in allen Verzeichnissen auszuschalten, in denen dies nicht erlaubt ist, und Standardverzeichnisse für Uploads/Dateien/Bilder und ähnliches offen zu lassen - um den Inhalt zu füllen.

Es ist notwendig, den Nachteil dieser Methode im Voraus zu verstehen: viele CMS für die Bequemlichkeit der Nutzer, bieten die Möglichkeit, ihren Code zu überschreiben. Daher kann ein Verbot des Überschreibens die Arbeit mit dem CMS erheblich erschweren. Hier hilft die Verwendung unterschiedlicher Konten (Eigentümer:Gruppe) für den Webserver und für Webmaster sehr. Dieser Ansatz funktioniert auch hervorragend bei der Verwendung von Versionskontrollsystemen (git/svn).

Verhindern, dass Skripte aus Upload-Verzeichnissen gestartet werden

laravel New project - getting Index of /name instead of welcome page -  Stack Overflow

Durch die Blockierung des Zugriffs auf Upload-Verzeichnisse wird der zweite Teil des im vorigen Absatz beschriebenen Angriffs teilweise beseitigt. Natürlich kann das Skript, das als Inhalt hochgeladen wurde, immer noch von der Shell aus gestartet werden (und auch auf andere Weise als über das Internet), aber es wird unmöglich, es aus dem Internet zu holen. Dies macht das Leben für verschiedene hochgeladene Malware sehr schwierig.

Zugriff auf versteckte Dateien sperren

How to Show Hidden Files and Folders in Windows 10

Dieser elementare Schutz gilt nicht nur für WordPress, sondern auch für fast alle anderen Seiten im Web. Leider wird er oft vernachlässigt und so werden Dinge geöffnet, die nicht geöffnet werden sollten, wie z.B. Git-Repositories und svn.

Beschränkung des Zugriffs auf das Admin-Panel

How to limit access to the WordPress admin dashboard - WP Absolute

Jede offene Verwaltungskonsole oder andere Verwaltungsressource wird geknackt. Im typischsten Fall werden die Passwörter geknackt. Wenn Sie sich die Protokolle eines Webservers ansehen, ist ein großer Teil davon ein Versuch, das CMS zu erkennen, die typischen Schwachstellen zu finden und Passwörter zu knacken.

Selbst wenn Sie sich sicher sind, dass Ihr Passwort sicher ist, haben Sie das gleiche Vertrauen, dass Webmaster, Inhaltsverantwortliche und andere Personen mit Zugriff auf die Website ein sicheres Passwort haben? Oder, dass es nicht kompromittiert ist? Es ist also besser, den Zugang zum administrativen Teil nach IP-Adressen zu beschränken oder als Mindestmaßnahme die Anzahl der Anmeldeversuche zu begrenzen

Wenn wir von Kompromittierung sprechen, meinen wir alle Formulare, in denen wertvolle Daten und Passwörter enthalten sind - dies sollte nur über HTTPS geschehen.

Software-Aktualisierungen

Aktualisieren Sie die gesamte Software auf dem Server, vom Betriebssystem über das CMS bis hin zu dessen Plugins. Und tun Sie dies rechtzeitig. Dies hilft gegen viele mögliche Schwachstellen, die Angreifer versuchen, in der Software zu finden, wenn Ihr Plugin / App etc. veraltet ist, sowohl in den Code CMS (in erster Linie), und in der Web-Server-Software (zB openssl, und Heartbeat-Attacken). Bei kritischen Anlässen raten wir zu automatischen Aktualisierungen.

Dieser Punkt sollte ein Teil der Routine sein. Aber Schwachstellen in beliebten CMS werden immer wieder gefunden, und nicht immer kommt der Patch rechtzeitig. Daher gibt es auch bei allen installierten Updates keine Garantie für Sicherheit.

Diese Lösungen erfordern ein gewisses Maß an technischem Geschick. Lassen Sie es uns wissen, wenn Sie Sicherheitssysteme für Ihre Anwendungen einführen wollen, wir helfen Ihnen gerne! Kontaktieren Sie uns auf unserer Seite für ein Angebot.

Schlussfolgerung

Natürlich schöpfen die oben genannten Ansätze nicht alle Möglichkeiten für die Sicherheit einer Website aus, insbesondere bei einem beliebten CMS, aber sie verringern die Möglichkeit einer Infektion und des Hackens von Websites und Apps erheblich. Wenn wir die Infektionsstatistiken analysieren, können wir mit Sicherheit sagen, dass die korrekte Umsetzung der oben genannten Empfehlungen die typische Website in mehr als 95 % der möglichen Fälle retten wird.

Lassen Sie uns gemeinsam etwas Großartiges aufbauen!

In unserem Blog vorgestellt

Fallstudien

Unser Angebot

Technologie-Know-how

vuejs logoreact logo
laravel logodjango logosymfony logo
aws partners logo docker logo kafka logo
kubernetes logoatlassian logo