Če nekdo vdre v tvojo spletno stran ali ta postane nedosegljiva, ali je za pomanjkljivo zaščito odgovoren ponudnik gostovanja ali ti? Zaščita na strežniku ni odvisna od enega samega stikala: zanjo je potrebno usklajeno delovanje več plasti in jasna delitev nalog. Vgrajena zaščita gostovanja je pomembna osnova, vendar ne zajema nujno vtičnikov, ki si jih namestil sam, gesel ali posodabljanja sistema, ki teče na VPS.

Ni vedno jasno, kaj upravlja ponudnik in kaj ostane naloga upravljavca strani. Na deljenem gostovanju in na VPS se lahko področje odgovornosti razlikuje, zato je to vredno razjasniti še pred izbiro. HTTPS, dvostopenjsko preverjanje pristnosti in varnostno kopiranje so prav tako koristni elementi zaščite, vendar je pomembno poznati okvire njihovega delovanja in redno preverjati njihove nastavitve.

V tem članku pregledamo glavne plasti zaščite na strežniku, naloge ponudnika in stranke ter zmanjševanje tveganja vdora, okužbe z zlonamerno kodo in izpada storitve. Dobiš praktične kontrolne točke za pregled gostovanja ali VPS, da boš tako v okolju cPanel kot pri upravljanju lastnega strežnika vedel, kaj je vredno preveriti.

Kaj pomeni zaščita na strežniku in kaj v resnici varuje?

Zaščita na strežniku je skupek tehničnih ukrepov in praks upravljanja, ki zmanjšujejo tveganje nepooblaščenega dostopa do podatkov, shranjenih na strežniku, in do storitev, ki tam tečejo, ter tveganje zlonamerne kode in izpadov. Ni en sam program ali nastavitev, temveč več plasti zaščite, ki se med seboj dopolnjujejo.

Obseg zaščite je odvisen od tega, kateri del sistema obravnavamo. Zaščita operacijskega sistema in omrežnih nastavitev strežnika spada v zaščito strežnika, zaščita kode in sestavnih delov spletne strani pa v varnost aplikacij. Zaščita uporabniških računov je odvisna od pravilnega upravljanja gesel in pravic, zaščita končnih točk, na primer računalnika, s katerim upravljaš spletno stran, pa je ločena naloga. Če nepooblaščena oseba pride do računa, druge plasti zaščite strežnika same po sebi ne preprečijo nujno zlorabe.

V praksi zaščita na strežniku med drugim zajema naslednja področja:

• Upravljanje dostopa: določa, kdo in s katerimi pravicami lahko dostopa do nadzorne plošče, datotek ali strežnika. Dvostopenjsko preverjanje pristnosti prijavi doda še en korak preverjanja.
• Posodobitve: posodabljanje operacijskega sistema, nadzorne plošče in aplikacij lahko pomaga odpraviti že znane napake.
• Nadzor omrežja: urejanje dostopnosti povezav in storitev lahko zmanjša tveganje po nepotrebnem odprtih dostopnih točk.
• Varnostno kopiranje: lahko pomaga obnoviti podatke po incidentu ali tehnični napaki. Preveri, ali so varnostne kopije res na voljo in ali jih je mogoče obnoviti.

Ti ukrepi zmanjšujejo tveganje, sistema pa ne naredijo neranljivega. Nastavitve, posodobitve in varnostne kopije je treba redno preverjati.

V čem se zaščita strežnika razlikuje od šifriranja SSL/TLS?

HTTPS s šifriranjem SSL/TLS varuje podatkovni promet med brskalnikom in spletno stranjo, zato je prenesene podatke težje prebrati na poti. Vendar ne odpravi napak v aplikaciji, ne ščiti pred šibkimi gesli in ne nadomesti posodobitev ali varnostnega kopiranja. SSL/TLS je en element širšega sistema zaščite. Podrobnosti si lahko ogledaš tudi na strani, ki predstavlja HTTPS in potrdila SSL.

S katerimi grožnjami mora računati upravljavec spletne strani?

Nepooblaščen dostop, zlonamerna koda in izsiljevalska programska oprema lahko ogrozijo račune, datoteke ali delovanje storitve. Cilj napada za zavrnitev storitve je onemogočiti dosegljivost. Phishing oziroma lažno predstavljanje ni funkcija strežnika, temveč tveganje na strani uporabnika: z zavajajočimi sporočili poskušajo pridobiti podatke za prijavo. Zato poleg nastavitev strežnika pazi tudi na zaščito dostopov in naprav, s katerimi jih upravljaš.

Plasti zaščite na strežniku: dostop, posodobitve, omrežje in varnostne kopije

Zaščita na strežniku deluje dosledno, če se ne zanaša na eno samo orodje. Upravljanje dostopa, redne posodobitve, nadzor omrežja in obnova podatkov skupaj obvladujejo različna tveganja. Požarni zid lahko na primer omeji določene omrežne povezave, ne nadomesti pa varnih nastavitev računov ali varnostnega kopiranja podatkov.

Ukrepe je treba prilagoditi vrsti gostovanja in svojemu področju odgovornosti. Na deljenem gostovanju del strežniškega okolja upravlja ponudnik, na VPS pa je delitev nalog odvisna od modela storitve. Vnaprej razjasni, kdo posodablja operacijski sistem in kdo je odgovoren za vzdrževanje aplikacij.

Upravljanje dostopa in posodobitve programske opreme

Vsakemu, ki mora dostopati do vmesnika ali strežnika, dodeli ločen račun. Tako lahko pravice prilagodiš posameznim nalogam in po potrebi posamezen dostop tudi ločeno prekličeš. Kjer je na voljo, dvostopenjsko preverjanje pristnosti prijavo zaščiti z dodatnim korakom preverjanja, vendar ne nadomesti močnega gesla in ustreznega upravljanja pravic.

Posodobitve lahko odpravijo znane napake operacijskega sistema, nadzorne plošče in aplikacij spletne strani. Na VPS preveri, ali je posodabljanje sistema in nameščene programske opreme tvoja naloga. Pri deljenem gostovanju vprašaj, kaj spada med naloge ponudnika pri upravljanju strežnika in katere aplikacije moraš posodabljati sam.

Požarni zid, zaščita pred zlonamerno kodo in plast varnostnih kopij

Požarni zid na podlagi pravil dovoli ali omeji omrežne povezave. Njegov namen je zmanjšati nepotrebne dostope, ne pa zagotovljeno preprečiti vsakega napada. Zaznavanje zlonamerne kode lahko pomaga prepoznati sumljive datoteke ali dejavnosti, varnostna kopija pa služi obnovi podatkov. Nobena od teh rešitev ne nadomesti druge.

Vprašaj ponudnika, kako pogosto nastajajo varnostne kopije, koliko časa jih hrani in pod kakšnimi pogoji jih je mogoče obnoviti. Spoznaj tudi potek obnove, saj varnostna kopija praktično pomaga le, če jo je mogoče uporabiti, ko je treba. Kontrolni seznam CISA za varnost spletnih strani lahko ponudi dodatne vidike za pregled zaščite spletnega strežnika in aplikacij.

Če potrebuješ več svobode pri nastavitvah, preglej možnosti KVM VPS in prej razjasni, katere naloge upravljanja prevzame ponudnik in katere ostanejo tebi.

Deljeno gostovanje ali VPS: kako se spremenijo naloge zaščite?

Pri izbiri gostovanja ne tehtaj le virov in možnosti dostopa. Razjasni tudi, kako so naloge upravljanja in varnosti razdeljene med tabo in ponudnikom. Večji nadzor nad dostopom lahko pomeni tudi več samostojnih nastavitev in vzdrževanja. Noben model gostovanja ni varnejši v vseh primerih uporabe: prava izbira je odvisna od potreb, tehničnega znanja in pogojev storitve.

Vrsta gostovanja	Značilna meja odgovornosti	Kaj preveriti?
Deljeno spletno gostovanje	Ponudnik zagotavlja skupno strežniško okolje, stranka pa praviloma upravlja svojo spletno stran in račun.	Kdo posodablja operacijski sistem, nadzorno ploščo in aplikacije, ki si jih namestil?
VPS	Virtualni strežnik lahko da več samostojnosti, vendar je upravljanje operacijskega sistema in nameščene programske opreme lahko ločena naloga.	Katere sistemske in varnostne naloge točno vključuje storitev?
Namensko spletno gostovanje	Stranka lahko vire strežnika uporablja izključno sama, vendar to samo po sebi ne določa, kdo izvaja administracijo.	Kdo je odgovoren za posodobitve, dostope, omrežne nastavitve in varnostne kopije?

Področje odgovornosti je pri vsaki storitvi odvisno od paketa in pogodbe. Preglednica je splošno izhodišče in ne nadomesti preverjanja pogojev posamezne storitve.

Kaj lahko pri deljenem gostovanju upravlja ponudnik?

Pri deljenem gostovanju ponudnik zagotavlja skupno infrastrukturo, ti pa si lahko odgovoren za svojo spletno stran, račune in nastavitve vtičnikov, ki si jih namestil. Točna meja se lahko razlikuje od storitve do storitve, zato ne predpostavljaj, da gostovanje samodejno pokrije vse naloge na ravni spletne strani. Razpoložljive rešitve lahko spoznaš tudi v pregledu storitev spletnega gostovanja.

Kdaj je upravičen VPS ali namensko gostovanje?

Če potrebe aplikacije po virih ali potrebna svoboda pri nastavitvah presegajo možnosti deljenega gostovanja, je lahko VPS ali namensko gostovanje primernejše. Oceni tudi, ali imaš na voljo tehnično znanje in čas za redno administracijo. Na VPS je lahko na primer posodabljanje in varna konfiguracija operacijskega sistema tvoja naloga, odvisno od modela storitve. Za pregled tveganj aplikacij dajejo dodatno oporo varnostna tveganja spletnih aplikacij po OWASP.

Kontrolni seznam za zaščito strežnika: kaj narediti pred napadom ali napako?

K zaščiti na strežniku spada tudi vnaprejšnja priprava. Če veš, kje najdeš varnostne kopije, kako obvestiš ponudnika in katere dostope moraš pregledati, se lahko ob incidentu odzoveš hitreje in bolj urejeno. Pojdi skozi spodnji kontrolni seznam in si zapiši odgovore.

1. Preveri račune: preglej, kdo ima dostop do gostovanja, nadzorne plošče in administracije spletne strani. Prekliči dostope, ki niso več potrebni, in preveri, ali je na voljo dvostopenjsko preverjanje pristnosti.
2. Razjasni naloge posodabljanja: zapiši, kdo skrbi za posodabljanje operacijskega sistema, nadzorne plošče, spletne strani in vtičnikov. Pri VPS posebej vprašaj o upravljanju operacijskega sistema strežnika.
3. Spoznaj varnostne kopije: vprašaj, za katere podatke nastajajo varnostne kopije, kako pogosto in kako dolgo so kopije dostopne.
4. Preizkusi obnovo: potek in pogoje obnove razjasni, še preden pride do napake. Ne preveri le, ali varnostna kopija obstaja, temveč tudi, ali jo je mogoče uporabiti za obnovo spletne strani.
5. Vedi, kje so opozorila: preveri, v katerem vmesniku ali na kateri e-poštni naslov prejemaš obvestila o napakah storitve in kje lahko prijaviš napako.

Katera vprašanja zastaviti ponudniku gostovanja?

Vprašaj o pogostosti varnostnih kopij, času hrambe in postopku obnove. Razjasni, katere naloge zaščite infrastrukture in posodabljanja upravlja ponudnik in katere ostanejo tebi. Poišči varnostno dokumentacijo paketa ali vprašaj, kje je na voljo. Odgovore zabeleži na enem mestu, na primer v internih zapiskih o upravljanju.

Kaj naj bo prvi korak ob varnostnem incidentu?

Zapiši čas zaznave in simptome, na primer sporočilo o napaki, prizadete dele spletne strani ali nenavadno dejavnost računa. Nato uporabi uradni kanal ponudnika za prijavo napak in mu predaj zbrane informacije. Ne briši dnevnikov ali varnostnih kopij, dokler se vzroki razjasnjujejo. Menjavo gesel in preklic dostopov prilagodi prizadetim sistemom in preveri tudi račune spletne strani.

Pri izbiri gostovanja upoštevaj tudi delitev nalog. Pregled rešitev spletnega gostovanja aWh ti lahko pomaga primerjati razpoložljive vrste gostovanja.

Kako je gostovanje aWh povezano z zaščito na strežniku?

Pri izbiri ustreznega gostovanja poleg potreb po virih upoštevaj tudi, koliko administracije želiš opravljati sam in katere zaščitne funkcije potrebuješ. V ponudbi aWh so spletno gostovanje, gostovanje cPanel, VPS in namensko gostovanje. Ponujajo različne možnosti upravljanja, vendar raven varnosti ni določena zgolj z vrsto gostovanja. Pomembni so tako pogoji storitve kot vzdrževanje, ki ga opravljaš sam.

Katero vrsto gostovanja aWh je vredno preučiti?

Če želiš spletno stran upravljati v grafičnem vmesniku, je gostovanje cPanel lahko dobro izhodišče. cPanel naredi upravljanje nastavitev gostovanja preglednejše, ne prevzame pa samodejno vseh nalog vzdrževanja spletne strani. Podrobnosti storitve si lahko ogledaš v predstavitvi gostovanja cPanel pri aWh.

Pri večjih potrebah po virih ali več svobode pri nastavitvah je vredno razmisliti o VPS. Večji nadzor pa lahko prinese več skrbniških nalog, na primer posodabljanje operacijskega sistema in aplikacij. Namensko gostovanje je prav tako mogoča izbira, vendar ločenost strežniških virov sama po sebi ne pomeni, da ponudnik opravi vse administrativne ali varnostne naloge. Pred odločitvijo razjasni, kaj točno spada k posamezni storitvi.

Katere varnostne funkcije preveriti pred izbiro?

Pri pregledu zaščite na strežniku ne išči le imen funkcij. Vprašaj tudi, ali so v posamezni storitvi na voljo in pod kakšnimi pogoji jih lahko uporabljaš:

• Varnostno kopiranje in samodejne varnostne kopije: za katere podatke nastaja kopija, kako pogosto in kako lahko zahtevaš obnovo?
• HTTPS: ali je del izbrane rešitve in ali moraš kaj nastaviti sam?
• Dvostopenjsko preverjanje pristnosti: v katerih vmesnikih ga lahko vklopiš?
• Varnostni sistem z umetno inteligenco: kaj točno preverja, katere grožnje zajema in v katerih paketih je na voljo?

Razpoložljivost in pogoji uporabe teh funkcij se lahko razlikujejo od paketa do paketa, zato jih preveri v opisu storitve ali vprašaj ponudnika. Oglej si rešitve spletnega gostovanja aWh in izberi možnost, ki ustreza tvojim potrebam in nalogam upravljanja, ki jih lahko prevzameš.

Okrepi zaščito spletne strani s premišljeno izbiro

Zaščita na strežniku je sestavljena iz več plasti, ki se med seboj dopolnjujejo: iz upravljanja dostopa, rednih posodobitev, nadzora omrežja in varnostnih kopij, ki jih je mogoče obnoviti. Noben ukrep ne nadomesti drugih. Učinkovitost zaščite je odvisna tudi od tega, katere naloge točno upravljata ti in ponudnik gostovanja.

Pri deljenem gostovanju, gostovanju cPanel, VPS in namenskem gostovanju se lahko svoboda administracije in delitev nalog razlikujeta. Pred izbiro preveri, kdo je odgovoren za posodobitve, katere možnosti varnostnega kopiranja in obnove so na voljo in ali so funkcije, ki so ti pomembne, na primer HTTPS in dvostopenjsko preverjanje pristnosti, vključene v izbrani paket.

aWh z ekipo, ki ima več kot 10 let izkušenj v panogi spletnega gostovanja, ponuja različne rešitve gostovanja. Razpoložljivost varnostnega kopiranja, HTTPS in dvostopenjskega preverjanja pristnosti se lahko razlikuje od paketa do paketa, zato jih je vredno preveriti vnaprej. Oglej si rešitve spletnega gostovanja aWh in izbiraj glede na potrebe po virih, tehnično znanje in naloge upravljanja, ki jih lahko prevzameš.

Pogosta vprašanja o zaščiti na strežniku

Kaj pomeni zaščita na strežniku?

Zaščita na strežniku je skupek ukrepov za varnost sistema, ki teče na strežniku, podatkov, shranjenih na njem, in streženja spletne strani. Sem lahko spadajo urejanje dostopov, posodabljanje programske opreme, nadzor omrežnega prometa in varnostno kopiranje. Naloge so razdeljene med ponudnika gostovanja in upravljavca, odvisno od vrste in pogojev storitve.

Ali za varnost spletne strani zadostuje HTTPS?

Ne, HTTPS sam po sebi ne zadostuje. S šifriranjem SSL/TLS varuje podatkovni promet med brskalnikom in spletno stranjo, ne odpravi pa napak aplikacije in ne prepreči prijave s šibkim geslom. Za celovitejšo zaščito so potrebni tudi posodabljanje programske opreme, zaščita dostopov in preverjanje varnostnih kopij. HTTPS zato obravnavaj kot del širšega varnostnega sistema.

Ali je zaščita na strežniku potrebna tudi na deljenem gostovanju?

Da, zaščita na strežniku je pomembna tudi na deljenem gostovanju. Ponudnik upravlja določene dele skupne infrastrukture, varnost tvoje spletne strani in računov pa lahko zahteva posebno pozornost. Aplikacije in vtičnike spletne strani posodabljaj, uporabljaj močno preverjanje pristnosti in preverjaj dostope. Vprašaj tudi, katere naloge opravlja ponudnik in kaj ostane tebi.

Kako se lahko zaščitim pred napadi DDoS?

Pred napadi DDoS lahko pomaga usklajenost več omrežnih in upravljavskih ukrepov, popolne zaščite pa ne zagotavlja nobena nastavitev. Vprašaj ponudnika gostovanja, katero filtriranje omrežnega prometa in kateri postopek obravnave incidentov veljata za tvojo storitev. Pri aplikaciji spletne strani razmisli o omejevanju zahtev in spremljaj nenavadna povečanja prometa. Ob sumu napada zabeleži čas in simptome ter jih sporoči ponudniku.

Kako pogosto je treba narediti varnostno kopijo strežnika?

Pogostost varnostnih kopij je odvisna od tega, koliko izgube podatkov lahko sprejmeš in kako pogosto se spreminja vsebina spletne strani. Pri spletni trgovini, ki se pogosto posodablja, je lahko upravičen drugačen razpored kot pri predstavitveni strani, ki se redko spreminja. Pri ponudniku preveri pogostost varnostnih kopij, čas hrambe in pogoje obnove. Občasno preveri tudi, ali je spletno stran iz varnostne kopije res mogoče obnoviti.

Kdaj je vredno namesto deljenega gostovanja izbrati VPS?

O prehodu na VPS je vredno razmisliti, če potrebe tvoje spletne strani po virih ali nastavitvah presegajo možnosti deljenega gostovanja. VPS lahko da večji nadzor, vendar lahko njegovo upravljanje pomeni tudi več tehničnih nalog. Odvisno od modela storitve boš morda moral sam skrbeti za posodabljanje operacijskega sistema in nameščenih aplikacij. Pred odločitvijo oceni potrebe po virih in strokovno znanje, ki ga imaš na voljo za upravljanje.

Ali dvostopenjsko preverjanje pristnosti zaščiti strežnik pred napadi?

Dvostopenjsko preverjanje pristnosti z dodatnim korakom preverjanja varuje prijavo v račun, samo po sebi pa strežnika ne zaščiti pred vsemi napadi. Ne nadomesti močnega gesla, dostopa, omejenega na potrebne pravice, posodobitev ali varnostnih kopij. Vklopi ga v zadevnih vmesnikih, kjer je na voljo, in redno preverjaj, kdo ima dostop do gostovanja in administracije spletne strani.

• varnost spletne strani
• spletno gostovanje
• cpanel
• varnostne kopije
• upravljanje strežnikov
• preverjanje pristnosti