Az utóbbi hónapokban érezhetően megszaporodtak a weboldalak elleni támadások. Aki weboldalakat üzemeltet, ilyenkor egy szélmalomharc kellős közepén találja magát: takarítunk, frissítünk, jelszót cserélünk, tűzfalat állítunk, bővítményeket válogatunk – és mégis mindig lesz egy új módszer, egy új rés, egy új trükk. A mesterséges intelligencia elterjedésével ráadásul a támadók is gyorsabban, olcsóbban és tömegesebben dolgoznak, mint valaha.
A védekezést nem lehet abbahagyni, de van egy másik fegyver is, ami legalább ennyit ér: a gyors észlelés. Erről szól ez a poszt – és arról, mit tettünk ezzel kapcsolatban.
Honnan jön a baj?
A visszatérő fertőzések
Vannak fertőzések, amelyek „meggyógyítják” önmagukat. Kitakarítod az oldalt, minden rendben látszik, aztán pár nap múlva visszatér. Ilyenkor valahol maradt egy elrejtett kódrészlet, egy idegen adminfiók vagy egy adatbázisba írt bejegyzés, ami újra és újra visszaépíti a kártevőt. Ezeknél nem elég a tünetet eltüntetni, a forrást is meg kell találni.
A szomszéd fertőzése
A megosztott tárhely olyan, mint egy társasház. Egy szerveren sokszor több tucat, egymástól független weboldal fut. Ha a tárhely nincs megfelelően beállítva, egy másik, fertőzött oldal kártevője át tud pofátlankodni az általunk kezelt oldalakra is – hiába tartjuk naprakészen és tisztán a sajátunkat. Ilyenkor az oldal nem a saját hibája miatt lesz fertőzött, és a megoldás kulcsa sincs teljesen a mi kezünkben.
Mit akarnak a támadók?
A leggyakoribb fertőzéstípus a defacement, vagyis az oldal tartalmának meghamisítása. A cél általában kétféle:
- Forgalomeltérítés: a látogatót átirányítják egy olyan oldalra, amely a hirdetési platformokon nem hirdethető – online kaszinó, kriptós „befektetés”, tiltott gyógyszer-webshop és társaik. A te forgalmad lesz az ő ingyenes hirdetésük.
- SEO-linképítés: rejtett linkeket és szövegeket helyeznek el az oldaladon, hogy a Google a te oldalad hitelét az ő oldalukra ruházza át.
Látható és láthatatlan fertőzések
Amikor látszik
Egy fertőzésnek vagy vannak látható elemei, vagy nincsenek. Ha vannak, az jellemzően egy furcsán megjelenő elem az oldalon – egy oda nem illő link, egy idegen nyelvű szövegblokk -, ami egy külső oldalra mutat, vagy az oldal egyszerűen kapásból átirányítja a látogatót a célzott oldalra.
Amikor nem látszik
A rosszabbik eset az, amikor a látogató semmit sem lát. Ilyenkor a kártevő csak a Google robotjának mutat mást, és annyit üzen neki: „ami fontos, azt nem itt, hanem ott találod”. Nemrég kezeltünk egy ilyen esetet: az oldal a látogatóknak hibátlanul működött, a Google robotja viszont több mint két hétig szerencsejáték-spamet kapott helyette. Ezt a trükköt cloakingnak hívják, és pont azért veszélyes, mert a tulajdonos maga sosem találkozik vele – egészen addig, amíg a keresési találatokban furcsa szövegek nem jelennek meg az oldala neve alatt, vagy be nem zuhan a forgalom.
Miért nem vesszük észre azonnal?
Mert sem a fejlesztő, sem a tulajdonos nem a webshop leggyakoribb látogatója. A tulajdonos jellemzően az admin felületen dolgozik: rendeléseket kezel, termékeket tölt fel. A fejlesztő a kódban és a tesztkörnyezetben él. A nyitóoldalt, a kategóriákat és a termékoldalakat a vásárlók nézik a legtöbbet – ők pedig nem szólnak, csak egyszerűen elmennek. Egy fertőzés így napokig, akár hetekig is észrevétlen maradhat.
Mostantól óránként ránézünk
Ennek a jelenségnek az ügyfeleinknél mostantól vége. Létrehoztunk egy monitorozó rendszert, amely óránként ellenőrzi a felügyelt oldalak állapotát. Minden figyelt címet háromféleképpen tölt le: hétköznapi böngészőként, a Google robotjaként, és úgy, mintha a látogató a Google találati listájáról érkezne – hiszen a ravaszabb fertőzések pont ezeknek a látogatóknak mutatnak mást.
Ilyenkor a következőket nézi:
- Elérhető-e az oldal? Válaszol-e egyáltalán, és rendben lévő választ ad-e, nem pedig hibaoldalt.
- Mennyi idő alatt tölt be? Ha két egymást követő ellenőrzésnél is 5 másodpercnél tovább tart, az gyanús: terheléses támadásra, végtelenített botos oldallekérésekre vagy egy elszabadult folyamatra utalhat. (A lassú oldal egyéb okairól egy korábbi posztban részletesen írtunk.)
- Átirányít-e máshova? Ha az oldal egy idegen domainre küldi a látogatót, vagy nem oda érkezik, ahova normál esetben szokott, az azonnal riasztás.
- Megváltozott-e az oldal neve? A böngészőfülön és a keresési találatokban megjelenő cím meghamisítása a defacement egyik legárulkodóbb jele.
- Megváltozott-e jelentősen az oldal mérete? Ha a nyitóoldal hirtelen a töredékére zsugorodik vagy a többszörösére hízik, valami kicserélte vagy teletömte a tartalmát.
- Megjelentek-e gyanús szavak? Kaszinó, szerencsejáték, gyógyszerreklám, „hacked by” és a többi tipikus spamkifejezés – csak azok számítanak, amelyek korábban nem voltak az oldalon.
- Megjelentek-e furcsa karakterek? Japán vagy kínai szövegblokkok, akár a linkekbe kódolva is: ez a SEO-spam egyik legjellemzőbb mintája.
- Ugyanazt látja-e mindenki? Ha a Google robotja vagy a Google-ből érkező látogató más nevet, más tartalmat vagy más átirányítást kap, mint a hétköznapi látogató, az cloaking – vagyis pont az a láthatatlan fertőzés, amiről fentebb írtunk.
Mindezt egy tiszta kiinduló állapothoz méri. Az első hibátlan ellenőrzéskor a rendszer rögzíti, milyen az oldal „normális” állapota, és minden későbbi ellenőrzést ehhez hasonlít. Ha az oldal szándékosan változik – új dizájn, új cím -, az új állapotot egy kattintással elfogadjuk.
Ha baj van, azonnal szól
Bármilyen eltérést tapasztal, azonnal e-mailt küld nekünk arról, melyik oldalon mi változott – átirányításnál a teljes útvonallal együtt. A riasztás után mi vesszük kézbe a helyzetet: kivizsgáljuk, megkeressük a forrást, és kitakarítjuk az oldalt.
Mit jelent ez neked, ha az ügyfelünk vagy?
Egy időben elkapott fertőzés sok esetben teljesen simán kezelhető, még mielőtt bármilyen kárt okozna: mielőtt a Google megjelölné az oldalt, mielőtt kaszinóreklám jelenne meg a neve alatt a keresőben, és mielőtt egyetlen vásárlód is egy gyanús oldalon találná magát. Minél később derül ki, annál drágább: a takarítás mellett a keresőben elvesztett helyezéseket és a vásárlók bizalmát is vissza kell építeni.
A szolgáltatás mától él, és ügyfeleink számára teljesen díjmentes. Nem kell hozzá semmit telepítened, és nem lassítja az oldaladat: a rendszer kívülről, egy látogató szemével nézi. A megelőzést persze nem váltja ki – a naprakész rendszer, a jól megválasztott biztonsági bővítmények és a rendszeres mentés továbbra is alap. A monitor arra való, hogy ha mégis baj van, órákon belül tudjunk róla, ne heteken belül.
Szeretnéd tudni, a te oldalad is a figyelt oldalak között van-e, vagy még nem dolgozunk együtt, de jólesne egy plusz szempár az oldaladon? Írj nekünk, és megnézzük!