Segurança

Segurança

Como lidar com uma conta hackeada

Se a sua conta foi comprometida, é importante saber que, certamente, a falha de segurança que proporcionou a violação está de seu lado.

Causas

Veja abaixo, uma lista com os motivos mais comuns para uma conta ser invadida e certifique-se de não estar incorrendo em nenhum deles:

1) Senhas fracas.

2) Dispositivos de acesso à conta, contaminados.

3) Scripts desatualizados.

4) Scripts inseguros.

5) Regras de segurança (ModSecurity) desativadas.

Prevenção

1) SENHAS: jamais use senhas fracas! Não importa o grau de importância do tipo de acesso a que ela se destina (para o Painel de Controle, FTP, contas de email, ou áreas administrativas do site, etc), ela SEMPRE deve ser uma senha SEGURA.

2) DISPOSITIVOS DE ACESSO: o meio de acesso à conta (computador desktop, notebook, tablet, celular, etc) deve SEMPRE ser SEGURO. Se por exemplo, você fizer um acesso à conta utilizando um computador contaminado, a segurança de sua conta estará vulnerável ou imediatamente comprometida (especialmente se houver algum malware de captura de senha instalado).

3) SCRIPTS DESATUALIZADOS: manter dentro de uma conta, um ou mais scripts desatualizados, é um risco gravíssimo de segurança, pois eles abrem diversas portas para que invasões aconteçam. Scripts desatualizados são facilmente "rastreáveis" pela Internet e uma vez encontrados, tornam-se imediatamente "populares" entre invasores que compartilham informações, ou seja, o seu endereço vulnerável será repassado infinitamente. É como deixar a porta da casa escancarada para todos os tipos de "convidados indesejados" entrarem e fazerem o que quiserem (na verdade, é ainda muito pior que isso).

4) SCRIPTS INSEGUROS: são aqueles scripts cujo código é mal escrito no sentido de não ser SEGURO. Possui vulnerabilidades que possibilitam sua utilização por terceiros, para outros propósitos. Por esta razão é recomendado que programadores (especialmente os iniciantes), dediquem especial atenção à parte de auditoria do código a fim de garantir que o mesmo não possua nenhuma brecha de segurança. Outro cuidado básico é não instalar todo e qualquer script que se encontra pela Internet, sendo imprescindível dar a preferência para scripts conhecidos e com uma comunidade atuante.

Aprofunde seu conhecimento

É altamente RECOMENDADO que você leia os documentos relacionados abaixo, uma vez que eles tratam com maior detalhamento, sobre os temas abordados acima:

1) Senhas - entenda a diferença entre senhas fracas e fortes, veja exemplos e aprenda a usar senhas corretas.

2) Timthumb - saiba como se defender dos tradicionais ataques a este script, inseguro por padrão.

-

ModSecurity

O que é o MODSECURITY?

É um módulo de segurança do webserver, que trabalha em conjunto com o Firewall, agindo pró-ativamente no servidor, monitorando em tempo real, tentativas de ataques a conta, através da exploração de vários tipos de vulnerabilidades.

Site oficial: http://www.modsecurity.org/

WEBHOST & MODSECURITY

Por padrão (e cortesia), nós oferecemos o ModSecurity em todos os nossos servidores.

Você, enquanto cliente, é livre para:

1) Solicitar a desativação de regras específicas (quantas desejar).

2) Solicitar a completa desativação do ModSecurity (seu total desligamento).

IMPORTANTE: ao solicitar o desligamento do ModSecurity, você deixa de contar com o auxílio de sua proteção, e expõe sua conta aos riscos e consequências desta decisão. Portanto, se optar por fazer esta escolha, esteja ciente de que a estará fazendo por sua conta e risco.

Como evitar ser bloqueado

Seguem abaixo algumas dicas para evitar ter o seu IP bloqueado pelo firewall:

1) Não acesse o seu domínio COM https, se você NÃO tiver um certificado SSL instalado. Isso vale inclusive para o acesso ao cPanel e Webmail.

Senhas

Introdução

Uma senha SEGURA é o ponto mais primordial da segurança de uma conta.

É o início por onde tudo começa, o fundamento da segurança que se planeja implementar.

Por isso, é essencial saber criar uma senha CORRETAMENTE e também gerenciá-la.

Senhas fracas

Uma senha fraca, é sempre e antes de mais nada, uma senha BURRA.

É aquele tipo de senha tão óbvia, tão previsível, que se pode adivinhá-la em poucas tentativas.

É também aquele tipo de senha que, apesar de não ser muito fácil para HUMANOS adivinhá-la, um programa especializado em "desvendar" senhas (sim, isso existe!) pode fazer o trabalho em poucos segundos.

Uma senha fraca é sempre uma porta aberta para invasões!

Veja alguns exemplos de senhas que jamais devem ser utilizadas:

1) Mesma coisa que o login. Por exemplo, o login é fabrica, e a senha é fabrica.

2) Sequências numéricas previsíveis: 123, 456, 102030, 100200300, 112233, etc. Vale lembrar que NENHUMA senha composta APENAS de números é segura!

3) Combinações INGÊNUAS como por exemplo, o login + uma sequência numérica qualquer, como joao123

4) Nomes próprios: nome de pessoas envolvidas com a conta (o dono, o desenvolvedor, o designer, etc), nome da empresa, nome do gato, nome do cachorro, nome da esposa, nome da amante, nome do marido, nome do filho, nome do neto, nome do professor, etc. Naturalmente que o mesmo vale para os apelidos.

5) Datas significativas: datas de nascimento e/ou falecimento, data do casamento e/ou divórcio, datas nacionais (descobrimento do Brasil, etc), etc.

Certamente que existem muitos mais exemplos de senhas fracas, além destes que citamos, portanto, todo cuidado é pouco na hora de escolher uma senha. É preciso ter raciocínio e bom senso.

Senhas FORTES

Usar uma senha SEGURA pode significar a diferença entre ter ou não uma conta invadida, já que a maiorias dos métodos de invasão exploram essa possibilidade com seriedade.

O mais interessante é que, criar uma senha FORTE, é mais fácil do que criar uma senha fraca.

Acima nós listamos vários exemplos de qual tipo de senha NÃO utilizar, mas para se fazer uso da senha CORRETA, basta apenas seguir o seguinte critério:

A senha deve conter, no mínimo, 12 caracteres, compostos de letras maiúsculas e minúsculas, números e símbolos, e ambos devem formar uma sequência aleatória, ou seja, não pode haver nenhum sentido lógico.

Veja alguns exemplos de senhas fortes:

Atenção: não use nenhum destes exemplos como senha!

Timthumb

O script Timthumb, utilizado para gerar miniaturas de imagens, é largamente utilizado entre desenvolvedores, especialmente em temas do Wordpress, e possui uma vulnerabilidade crítica, que expõe a conta à invasões.

Saiba como deixar o seu script Timthumb mais seguro:

1) Delete o arquivo "timthumb.php" existente em sua conta e no lugar, coloque a última versão disponível, que você deve baixar no seguinte endereço oficial:

http://timthumb.googlecode.com/svn/trunk/timthumb.php

2) Depois de ter baixado o arquivo "timthumb.php" mais recente, abra-o e edite-o do seguinte modo:

2.1) Localize a parte:

define ('ALLOW_EXTERNAL', TRUE);

2.2) E altere-a para:

define ('ALLOW_EXTERNAL', FALSE);

2.3) Localize a parte:

$ALLOWED_SITES = array (
               'flickr.com',
               'staticflickr.com',
               'picasa.com',
               'img.youtube.com',
               'upload.wikimedia.org',
               'photobucket.com',
               'imgur.com',
               'imageshack.us',
               'tinypic.com',
       );

2.4) E altere-a para:

$allowedSites = array();

Note que, TODOS os endereços que estiverem ali precisam ser apagados.

3) Uma vez editado, salve e envie o arquivo para a sua conta.

Certifique-se de efetuar estas modificações em TODOS os arquivos "timthumb.php" que existirem dentro de sua conta, portanto, faça uma busca criteriosa.

IMPORTANTE: as vezes, o Timthumb também pode se chamar "thumb.php". Assim, procure sempre pelos dois nomes do arquivo: "timthumb.php" e "thumb.php"