Лечение нужно, когда беда уже случилась. Аудит безопасности нужен, чтобы её не случилось: это проверка сайта и сервера на слабые места до того, как их найдут злоумышленники. Разберём, что входит в аудит, чем он отличается от проверки на вирусы и как выглядит результат.
Чем аудит отличается от проверки на вирусы
Проверка на вирусы ищет то, что уже попало на сайт. Сканер сравнивает файлы с базой известных вирусов и говорит «чисто» или «заражено». Это полезно, но ничего не говорит о том, насколько легко сайт взломать завтра.
Аудит ищет не вирусы, а дыры: ошибки в коде, неудачные настройки, лишние доступы, забытые копии сайта. Большую часть работы делает человек, потому что автоматика не понимает, как устроен ваш сайт и что в нём важно.
Что проверяют
- Код сайта. Формы, вход, загрузку файлов, личный кабинет и всё, куда посетитель может что-то ввести. Именно там чаще всего находятся ошибки, через которые взламывают сайты или достают данные из базы.
- Движок и плагины. Версии, известные уязвимости, лишние и заброшенные модули.
- Сервер. Обновления, открытые входы, способ подключения, права на файлы, настройки веб-сервера.
- Доступы. У кого есть пароли и ключи, нет ли старых аккаунтов бывших сотрудников и подрядчиков, включена ли двухфакторная защита.
- Резервные копии. Есть ли они, где хранятся и восстанавливается ли из них сайт на самом деле.
- Что видно постороннему. Забытые поддомены, старые версии сайта, открытые папки, копии базы данных, файлы настроек в открытом доступе.
- Почта домена. Можно ли отправить письмо от вашего имени и попадают ли ваши письма в спам.
Когда аудит действительно нужен
- Перед запуском проекта. Дешевле найти уязвимость до релиза, чем лечить сайт и репутацию после. Для студий и стартапов у нас есть отдельная проверка перед запуском.
- После взлома и лечения. Чтобы убедиться, что закрыта не только найденная лазейка.
- При смене подрядчика. Новой команде полезно знать, что она принимает, а вам что оставил прежний подрядчик.
- Если сайт принимает оплату или хранит персональные данные. Утечка данных клиентов бьёт и по репутации, и по кошельку.
- Раз в год для работающего сайта, который приносит деньги.
Напишите адрес сайта. Оценим объём проверки бесплатно и назовём цену до начала работ.
Как выглядит отчёт
Отчёт пишется для владельца, а не только для программиста. В нём:
- Общая картина: насколько сайт защищён и что требует внимания в первую очередь.
- Список проблем по приоритетам: критично, важно, желательно. Срочное видно сразу.
- Что каждая проблема значит для бизнеса: утечка данных, остановка сайта, потеря заявок.
- Как исправить: понятные шаги для вашего разработчика или для нас.
После исправлений мы проверяем всё ещё раз. Сайт получает заключение и может разместить значок «Проверено VECTRA» со ссылкой на страницу статуса проверки. Как это выглядит, показано на главной странице.
Сколько длится и сколько стоит
Срок зависит от размера сайта: лендинг проверяется быстрее, чем интернет-магазин с личным кабинетом. Аудит безопасности кода и сервера стоит от 15 000 ₽. Объём и цену фиксируем после бесплатной оценки, без скрытых доплат по ходу работы.
Как подготовиться к аудиту
- соберите список адресов: основной сайт, поддомены, админка, тестовые копии;
- подготовьте доступы к хостингу и сайту и передайте их безопасным способом;
- расскажите, что для вас важнее всего: оплата, данные клиентов, заявки;
- предупредите, если есть время, когда сайт трогать нельзя, например распродажа.
Если сайт уже ведёт себя странно, начните со статьи о признаках заражения: возможно, нужен не аудит, а лечение.
Частые вопросы
Может ли аудит сломать сайт?
Мы проверяем аккуратно и заранее согласуем, что и когда будем делать. Проверки, которые могут нагрузить сайт, проводим в спокойное время или на копии сайта. Ваши данные мы не меняем.
Чем аудит отличается от пентеста?
Пентест это имитация настоящей атаки: специалист пытается проникнуть в систему так, как это сделал бы злоумышленник. Аудит шире и спокойнее: кроме поиска уязвимостей, мы смотрим код, настройки, доступы и резервные копии, то есть всё, что влияет на безопасность.
Как часто нужен аудит?
Раз в год для работающего сайта и после крупных изменений: редизайна, переезда, подключения оплаты, смены подрядчика. И обязательно перед запуском нового проекта.
Что будет после аудита?
Вы получите отчёт с проблемами по приоритетам и понятными шагами исправления. Исправить можете сами, силами своего подрядчика или поручить нам. После исправлений проверяем ещё раз, и сайт может получить значок «Проверено VECTRA».