Безопасность хостинга TopHost: Imunify360, файрвол, бэкапы и Ваша роль
ПечатьСайт на хостинге TopHost не остаётся без защиты. На серверах виртуального хостинга постоянно работают несколько систем безопасности, которые дополняют друг друга, и настраивать их Вам не нужно. Но часть безопасности сайта зависит от того, как Вы его ведёте. Ниже описаны обе стороны.
Коротко: сервер защищают Anti-DDoS, файрвол, Imunify360 (антивирусная проверка, фильтр запросов WAF и проактивная защита) и CloudLinux, а данные ежедневно копируются через JetBackup 5. За обновление сайта, надёжные пароли и собственную копию отвечаете Вы. Если пришло уведомление о заражённых файлах, у Вас есть 24 часа, чтобы очистить аккаунт и сообщить нам.
Что работает на сервере
- Защита от DDoS, DoS и Flood-атак. Отсекает поток мусорных запросов, которым пытаются перегрузить сервер, чтобы сайты оставались доступными для обычных посетителей.
- Файрвол сервера. Блокирует IP-адреса, с которых слишком много раз вводят неверный пароль к FTP, SSH, почте (SMTP, POP3) или cPanel, а также адреса, которые раз за разом срабатывают на правила безопасности. Подробнее в статье о причинах блокировки IP-адреса файрволом.
- Imunify360. Сканирует аккаунты хостинга в поисках вредоносных файлов и подозрительной активности, фильтрует веб-запросы и останавливает опасные скрипты. Подробности в следующем разделе.
- Правила ModSecurity (файрвол веб-приложений). Проверяют запросы к сайту и останавливают те, что похожи на атаку: попытки SQL-инъекций, внедрения скриптов в страницы и подобное.
- CloudLinux. У каждого аккаунта свои лимиты процессора и памяти. Перегруженный или взломанный сайт не может забрать ресурсы соседей по серверу. См. CloudLinux: как сервер выделяет ресурсы Вашему сайту.
- Резервные копии JetBackup 5. Копии создаются ежедневно, хранятся в двух разных местах и доступны по ротации 30 дней. Восстановить их можно самостоятельно из cPanel по инструкции для JetBackup 5.
- Бесплатный SSL-сертификат. Выпускается автоматически для доменов аккаунта и шифрует данные между посетителем и сайтом.
- Двухфакторная аутентификация в личном кабинете. Включается через приложение для одноразовых кодов (TOTP), и одного пароля для входа уже недостаточно.
Imunify360: что проверяется и как Вы это заметите
Большую часть времени Вы Imunify360 не замечаете. Он даёт о себе знать, только когда находит что-то подозрительное или блокирует соединение.
| Часть системы | Что делает | Что видите Вы |
|---|---|---|
| Антивирусный сканер | Ищет вредоносные файлы и подозрительное поведение в аккаунте | Уведомление о заражённых файлах; список и история проверок также есть в cPanel, раздел Security, затем Imunify360 |
| Файрвол | Блокирует IP-адреса, с которых подбирают пароли или атакуют сервер | С определённого подключения не открывается сайт, cPanel, FTP или почта |
| Фильтр веб-запросов (WAF) | Отклоняет запросы, похожие на атаки на приложения | Ошибка 403 при каком-то действии на сайте, например при отправке формы |
| Проактивная защита PHP и проверка ботов | Останавливает опасные скрипты и подозрительный автоматический трафик | Редко: страница проверки в браузере перед открытием сайта |
Если фильтр запросов выдаёт ошибку 403, см. статью Ошибка 403 из-за ModSecurity: почему она появляется и как запросить исключение.
Если пришло уведомление о вредоносных файлах
По Условиям TopHost, если в аккаунте найдены вредоносные файлы, опасные для сервера или других клиентов, Вы сразу получаете уведомление. С этого момента у Вас есть 24 часа, чтобы очистить аккаунт, разобраться в причине и сообщить нам о принятых мерах. При серьёзной угрозе аккаунт может быть заблокирован сразу, и мы свяжемся с Вами, чтобы всё объяснить. Пошагово: Уведомление Imunify о заражённых файлах.
Ваша часть работы
По Условиям предоставления услуг клиент сам отвечает за выбор и обновление CMS, тем и плагинов. На практике большинство взломов происходит через устаревший плагин или слабый пароль, а не через сервер.
| Что делать | Зачем |
|---|---|
| Обновлять WordPress, темы и плагины, удобнее всего в cPanel через WP Toolkit (или, как альтернатива, в админке WordPress) | Уязвимости старых версий известны, и боты ищут их автоматически |
| Удалять отключённые плагины и темы | Выключенный, но оставленный на сервере плагин так же уязвим, как и включённый |
| Использовать разные пароли для cPanel, FTP, почты и админки сайта | Пароль, утёкший с другого сервиса, не откроет доступ к хостингу |
| Хранить свою копию сайта на компьютере или в другом хранилище | Копии на сервере страхуют, но не заменяют собственный бэкап |
| Проверять антивирусом компьютеры, с которых Вы заходите в cPanel и по FTP | Вирус на компьютере может украсть даже только что изменённые пароли |
Чего серверная защита не может
- Не обновляет Ваш сайт. Устаревший плагин остаётся открытой дверью, даже если заражённые файлы находятся быстро. Уязвимость в коде самого сайта защита не исправит.
- Не защищает Ваш компьютер. Если пароль от FTP или cPanel украден с заражённого ПК, злоумышленник входит с правильными данными, и сервер не может отличить его от Вас. См. также На моём сайте вирусы, что делать?
- Не заменяет собственные резервные копии. JetBackup делает копии автоматически, но мы советуем хранить и свои копии вне хостинга.
Частые вопросы
Нужно ли что-то включать?
Нет. Все перечисленные меры работают на виртуальном хостинге по умолчанию. Самостоятельно включается только двухфакторная аутентификация в личном кабинете.
Значит, сайт теперь невозможно взломать?
Нет. Защита сильно снижает риск и отражает большинство автоматических атак, но обновления и надёжные пароли по-прежнему важны.
Imunify360 заблокировал что-то нормальное
Защита работает на уровне сервера, и отключить её для одного аккаунта нельзя. Если она мешает обычной работе сайта или заблокировала Ваш IP, откройте тикет, опишите, что Вы делали, и, если знаете, укажите свой IP-адрес. Мы проверим и при необходимости добавим исключение.
Чистый файл помечен как заражённый
Такое бывает, особенно с самописным или обфусцированным кодом от разработчика. Не возвращайте файл самостоятельно поверх предупреждения: пришлите в тикете полный путь к нему, и мы его проверим.
Что делать, если есть подозрения?
Посмотрите историю проверок в cPanel, раздел Security, затем Imunify360, и откройте тикет с описанием того, что Вы заметили.
У меня VPS. Это относится и к нему?
Всё описанное здесь относится к виртуальному хостингу. На VPS Pro (с администрированием) настройка безопасности входит в услугу. На VPS без администрирования за безопасность сервера отвечаете Вы.
