GlobalSign 博客

6个小技巧给小企业保护他们的网站免受攻击

大多数小型企业认为攻击者只针对大型品牌，因此没有考虑在网站安全方面进行投资。

事实上，SBEs的网站受到攻击的风险是相同的。他们特别容易受到攻击，因为他们没有及时解决此类问题的资源。

事实上，一些新闻报道证实，小企业网站遭受网络攻击的比率正在上升。攻击者正在窃取和滥用敏感用户数据和商业财务信息。这可能会损害一个品牌的声誉，影响其利润。

那么，品牌如何保证网站的完整安全呢?他们需要采取什么安全措施来保护他们的网站免受此类攻击?

在这篇文章中，我们将分享SBEs保护他们的网站免受攻击的6个可行建议。

1. 保护你的商业网站免受SQL注入 

SQL注入(SQL Injection, SQLi)是一种基于恶意代码的漏洞，攻击者可以通过它访问、读取和操作数据库中的敏感数据。

成功的SQLi攻击可能导致未授权查看客户列表和删除信息。在某些情况下，攻击者可能会获得对数据库的管理权限。

使用SQL数据库的小企业网站，如Oracle、MySQL、SQL Server等，面临严重的SQL注入攻击风险。

这是最近的一个SQLi攻击案例。 

2021年7月，一个名为REvil的组织攻击了IT软件提供商Kaseya管理的大约1500家企业。黑客通过执行一个部署恶意更新的命令，利用了他们服务器的SQL漏洞。

以下是一些防止网站遭受SQLi攻击的技巧: 

  • 频繁扫描:始终如一地扫描您的网站，以识别、评估和解决漏洞。依赖自动化漏洞扫描工具，如 OpenVAS和OpenSCAP，来执行扫描。

  • 限制权限:限制用户权限和对数据库及其组件的访问。这使得攻击者很难访问你的敏感数据。

  • 包含参数化查询:这允许企业在SQL查询中放置参数，而不是常量值。  

请看下面的查询。

下面是参数化表单中的查询。

实现参数化查询可以让你的网站免受SQL注入攻击。

2. 屏蔽XSS攻击

XSS攻击也称为跨站脚本攻击，当网络罪犯向可信网站注入恶意脚本时，就会发生。攻击者通常使用web应用程序注入恶意代码(浏览器端脚本形式)。

当数据通过未经验证的不可信web请求进入web应用程序时，就会发生成功的XSS攻击。 

网站cookie、搜索字段、论坛和评论是最容易遭受XSS攻击的地方。例如，通过注入恶意代码，网络犯罪分子可以收集您网站的cookie数据并窃取用户信息，如登录信息、借记卡/信用卡号、会话ID等。

这里有一些保护你的网站免受XSS攻击的技巧:

  • 验证用户输入:将来自外部来源的数据视为不可信的，并每次都进行验证。

  • 清理数据:消除不需要的数据，例如HTML标签，它们可能对网站不安全。 

  • 要求用户输入密码:在访问商业网站的关键页面之前，要求用户重新输入密码(尽管cookie中有信息)。

专家提示: 使用高级安全开发生命周期来限制网站应用程序开发期间的编码错误。这有助于保护你的商业网站免受XSS攻击。

3. 记录文件上传 

允许用户上传未经验证的文件会使你的网站容易受到威胁。

即使是一个简单的图像上传许可，如果没有适当的验证，如文件名、内容、类型或大小，也会使您的数据库处于被黑客攻击的高风险中。

该文件可以由允许攻击者执行远程代码并破坏整个数据库的服务器端脚本文件组成。

你可以这样做:

  • 如果你的网站有一个允许文件上传的表单，请验证每个文件以防止恶意代码。
    最好的办法就是停止对上传文件的直接访问。这将确保上传的文件存储在单独的文件夹中。在将这些文件交付给浏览器之前，创建一个脚本来识别和验证这些文件。

  • 如果您的网站允许上传文件，请使用安全传输方法，如SFTP (secure File Transfer Protocol，安全文件传输协议)，以确保完全的数据安全。 

  • 如果你使用云托管，你可以基于用户位置(IP地址)允许或拒绝文件上传。例如，你可以阻止来自美国和中国等国家的上传，同时允许其他地理位置的上传。

4. 加强网络安全 

你团队中的员工可能会为网站创造不安全的环境。例如，他们可能无意中通过恶意链接更新软件，允许未经授权访问网站服务器。

因此，分析和加强网络安全至关重要。 

这里有一些建议可以考虑:

  • 安装一个web应用程序防火墙(WAF)来保护您的团队免受针对网站应用程序的攻击。

  • 锁定IP (internet protocol)地址以防止攻击者攻击你的网络。 

  • 默认情况下，大多数小型企业的路由器使用动态主机配置协议(DHCP)，它自动为网络中的系统提供IP地址。但是，如果网络被利用，攻击者可能会访问您的系统。在这种情况下，锁定IP地址可以有所帮助。

  • 每次你的团队使用插入网络的设备时，都要扫描它们是否有恶意软件。

  • 让电脑登录在一两个小时内失效。此外，确保你的团队系统每隔几个月就会通知他们更改密码。 

专家提示: 教育你的团队关于网络安全和它的重要性。培训他们了解维护网站数据安全的必要措施。

5. 为你的网站创建备份 

定期备份可以帮助你在发生严重的安全事故后恢复网站信息。备份应该包含所有文件、电子邮件、客户信息和整个数据库。

请记住，备份数据失败将导致您从头开始重建网站。这可能需要几个月的时间，并影响您的品牌、搜索引擎优化排名(SEO)和销售。

但是，避免将备份存储在网站服务器上，因为攻击者可能再次破坏它。

最好的解决方案是什么?

将数据存储在云端，提供强大的密码保护。它将允许您在任何时候以安全的方式恢复和访问重要信息。

专业提示:依靠像Handy Backup和Comodo这样的工具来简化和安排你的网站备份过程。这些软件解决方案具有强大和可靠的数据恢复系统，可以帮助您在任何时间恢复关键文件。

6. 注意邮件传输端口 

攻击者通常以商业电子邮件为目标，以获取敏感的网站信息。

一份报告显示，企业邮件是网络攻击的头号威胁载体。2022年，94%的美国公司经历了假冒或鱼叉式网络钓鱼攻击。

因此，确保所有的电子邮件传输都是安全的，以防止您的商业网站。

这里有一个简单的方法来识别它-

访问您的商务电子邮件设置，并检查通信端口。 

  • 通过以下端口的电子邮件通信是加密的。 

  • IMAP Port 993 

  • POP3 Port 995 

  • SMTP Port 465 

  • 以下端口不安全。

  • POP3 Port 110 

  • IMAP Port 143 

  • SMTP Port 25 ports 

切换安全的通信端口，避免数据泄露。

总结 

网络安全攻击可能是有害的，从长远来看会影响您企业的声誉和收入。如果你因为预算紧张而没有在网站安全措施上投资，你可能需要重建网站并进行SEO、设计等工作。这可能会超过最初的投资，并减慢您的发展速度。  

帖子中分享的策略可以在很大程度上帮助减少漏洞。因此，请遵循上述安全措施并保护您的业务数据。

 

注:这篇博客文章是由一名客座撰稿人撰写的，目的是为我们的读者提供更广泛的内容。在这篇客座作者文章中所表达的观点仅代表作者本人的观点，并不一定代表GlobalSign的观点。

近期博客