Proč je váš web terčem útoků, i když „ho nikdo nepotřebuje“
Námitka
Dříve či později se každý rozhovor s klientem o bezpečnosti dostane ke stejné větě: „Jsme malá firma. Kdo by se namáhal nás hacknout?“
Je to oprávněná otázka, vycházející z rozumného mentálního modelu kriminality. Útočník si vybere cíl, zhodnotí ho a rozhodne se, zda mu to stojí za námahu. Podle tohoto modelu webové stránky místní firmy skutečně nestojí nikomu za čas. Problém je v tom, že tento model popisuje bankovní loupež, zatímco masové útoky na webové stránky fungují úplně jinak než bankovní loupež.
Nikdo si vás nevybral
U drtivé většiny útoků na weby WordPress se nejedná o to, že by si někdo něco vybíral. Armády botů nepřetržitě prohledávají dostupný internet a na každý web, který odpoví, vrhají seznamy známých zranitelností a běžných hesel. Váš web je napaden ze stejného důvodu, z jakého je indexován: existuje a reaguje na HTTP požadavky.
WordPress z toho dělá ziskové podnikání ve velkém měřítku, protože na něm běží přes 43 % webu. Napište jeden exploit pro jeden populární plugin a máte klíč, který pasuje do milionů dveří; v tu chvíli je racionálním krokem vyzkoušet všechny dveře na planetě. Kontrola je zdarma. Zda dané dveře patří bance nebo pekárně, je informace, kterou bot neshromažďuje.
Kontrola se také zrychlila. Mediánový časový odstup mezi zveřejněním kritické chyby a jejím masovým zneužitím se nyní zkrátil na přibližně pět hodin. Tak rychle se pohybují pouze plně automatizované procesy, což samo o sobě potvrzuje, že seznam cílů nekontroluje žádný člověk.
Co si ve skutečnosti odnášejí
Druhá polovina nedorozumění se týká kořisti. Předpoklad, že „neuchováváme nic cenného“, vychází z toho, že útočník chce to, co je na webu. Někdy je to pravda, ale napadený web má peněžní hodnotu i způsoby, které s jeho obsahem vůbec nesouvisí.
Váš server je především počítač, který nyní někdo jiný ovládá zdarma. Rozesílá spam. Těžce, ale výnosně těží kryptoměny. Hostuje phishingové sady a útočí na jiné weby, a existují kriminální tržiště, kde se právě tato kapacita pronajímá po hodinách, dotovaná z vaší faktury za hosting.
Vaši návštěvníci představují provoz. Operace přesměrování zpeněžují publikum tím, že směrují skutečné lidi do podvodných obchodů a na falešné přihlašovací stránky, přičemž vám i Googlu často zobrazují nedotčený web, jak jsme popsali v případu Parrot TDS.
Vaše doména má reputaci a tu lze zneužít. Díky dlouholeté legitimní e-mailové komunikaci a slušnému umístění ve vyhledávačích se phishingová stránka hostovaná na vaší doméně dostane přes filtry, které by stránku starou jen týden okamžitě označily.
A někdy je web jen odrazovým můstkem. Místem, kde se schovávají nástroje, pozicí, ze které se lze přesunout k zajímavějšímu sousedovi na stejném serveru, místem, kde se čeká.
Podívejte se, co mají všechny čtyři společného: žádnému z nich nezáleží na tom, zda je vaše společnost důležitá. Záleží jim na tom, aby stránka měla procesor, nějaké návštěvníky, doménu s historií a platný certifikát. To má každá stránka, a proto je každá stránka na seznamu.
Změna myšlení
Jakmile přestanete představovat si zloděje a začnete si představovat počasí – konstantní, nerozlišující, nezajímající se o vás osobně – změní se i užitečná otázka. Na otázku „Stojí za to nás napadnout?“ neexistuje odpověď, podle které byste mohli jednat. Na otázku „Jak dlouho bychom zůstali v provozu, kdyby se zítra dostala na veřejnost informace o pluginu, který používáme?“ však odpověď existuje a je měřitelná: počet hodin do vydání aktualizace, zda něco filtruje provoz předtím, než se dostane k PHP, a jak daleko do minulosti sahá čistá záloha. Velikost společnosti v tom nehraje roli. Kolik stojí první den, když jsou tyto odpovědi špatné, jsme podrobně popsali, hodinu po hodině, v samostatném příspěvku.
Kdo by se tedy obtěžoval vás hacknout? Nikdo konkrétní, a o to právě jde. Skenování probíhá bez ohledu na to, zda někdo někdy o vaší společnosti přemýšlel.
