Если ваш сайт только начинает развиваться, а денег, чтобы нанять администратора нет, то ниже приведены несколько бесплатных инструментов для поддержания минимальной безопасности ресурса.
SITEGUARDING
Начнем именно с него, поскольку разработчик предлагает дополнения для множества CMS: Joomla, WordPress, OpenCart, Magento, phpBB, PrestaShop, Drupal. Причем, в свою очередь, для каждого движка существует по десятку и более расширений. Перечислю только для Joomla, для других движков набор примерно такой же.
- Antivirus Website Protection. Проверяет файлы сайта на наличие вредоносного кода, в бесплатной версии отсутствует запуск по расписанию, и проверку придется проводить только в ручном режиме.
- GEO Redirect. Позволяет перенаправлять посетителей на определённые страницы, в зависимости от их географического положения. Запрет адресов, с которых осуществляются попытки взлома, спам, брутофорс и так далее. В бесплатной версии установлено ограничение на 15 стран, но этого должно хватить для обычного сайта.
- GEO Website Protection. Выполняет практически все функции, что и GEO Redirect, но без переправления посетителей. На момент написания статьи расширение существует только в бесплатной версии без каких-либо ограничений.
- BadBot Protection .Блокируются попытки взлома, подмены и изменения файлов, распознаются некоторые виды атак. Для активации расширения нужно зарегистрироваться.
- Admin Bruteforce Protection. Защита админ-панели от подбора паролей (бртофорса), через установку рекапчи.
- Admin Protection. Позволяет изменить адрес админ-панели на собственный. Уведомления на почту об авторизации в панели управления, блокирование при попытках подбора пароля. На момент написания статьи расширение было полностью бесплатным и без каких-либо ограничений.
- Website Blacklist Monitor. Как следует из названия, отслеживается включения вашего сайта в Google blacklists, а также Google, McAfee, Norton, BitDefender, PhishTank, WebSecurityGuard, Yandex Safe Browsing и так далее.
Ссылка: https://www.siteguarding.com/
SUCURI
Один из авторитетных ресурсов по безопасности, специализирующийся на Wordpress, но из бесплатных расширений доступен только сканер, который, по сути, предоставляет информацию, схожую с информацией с других онлайн-сканеров. За установку защиты придется заплатить от 199 долларов в месяц.
Адрес сканера: https://sitecheck.sucuri.net/
VIRUSDIE
Сканирование происходит через файл, который нужно загрузить на сервер, поэтому CMS не имеет значения. Но в бесплатной версии доступно сканирование раз в месяц (!), недоступна фильтрация трафика, удаление вредоносных скриптов и так далее.
Я бы рассматривал этот сканер как дополнение к другим инструментам.
Ссылка: https://virusdie.com/
WORDFENCE
Один из популярных плагинов для Wordpress, имеет более миллиона установок, что говорит о многом. Несмотря на некоторые ограничения в бесплатной версии, например, блокирование адресов по георасположению, по возможностям, это, наверное, один из лучших плагинов из разряда бесплатных.
Список некоторых возможностей:
- Firewall. Фильтрация вредоносного трафика. В отличие от платной подписки, обновление базы происходит с 30-дневной задержкой. Встроенный сканер вредоносных запросов. Защита от брутфорса (попытки подбора паролей).
- Security Scanner. Сканер целостности файлов, включения вредоносных скриптов, перенаправлений и так далее. Обновление базы также просходит с 30-дневной задержкой.
- Login Security. Сокрытие адреса админ-панели сайта, капча, двухфакторная аутентификация и так далее.
- Wordfence Central. Отслеживание нескольких сайтов из одной панели.
- Security Tools. Отслеживание трафика и запросов в реальном времени с построением графика.
Ссылка: https://www.wordfence.com/
CERBER SECURITY
По функциональности плагин во многом схож с Wordfence, в бесплатной версии также присутствуют ограничения, например, запуск по расписанию и автоматическое удаление зараженных файлов. Также используется только в Wordpress.
Ссылка: https://wordpress.org/plugins/wp-cerber/
CDN (СЕТЬ ДОСТАВКИ СОДЕРЖИМОГО)
Из всех известных мне CDN на бесплатном тарифном плане только Cloudflare имеет возможность блокирования вредоносного трафика. Сам сервис тут довольно подробно описывался, кому интересно, можно почитать тут: «CloudFlare: управляем облаками».
AI-BOLIT
Этот сканер стоит особняком, он не встраивается в CMS, а запустить его на хостинге вряд ли получится, поскольку не хватит времени для работы скрипта. Вернее всего, вы получите ошибку 502 - превышено время ожидания. Придется скачивать архив сайта к себе и проверять на локальном сервере, поскольку поддержка продукта под Windows прекращена. Насколько часто обновляется база антивируса для бесплатного использования тоже не известно. Разработчик, возможно, прекратил поддержку сканера. На официальном сайте поддержка перестала отвечать пользователям, дата последнего релиза на сайте неизвестна. Обновить базу тоже не получится, вернее всего, Revisium полностью перешел на работу в коммерческом направлении.
Ссылка: https://revisium.com/ai/
ОНЛАЙН-СКАНЕРЫ
По сути, все онлайн-сканеры - это больше констатация факта, чем реальная помощь, как в случае с Боржоми, который уже поздно пить. Результат работы у всех онлайн-сканеров практически одинаков, поэтому просто выложу их списком.
БЕСПЛАТНОГО СЫРА БОЛЬШЕ НЕ БУДЕТ?
Как вы заметили, ни одно приложение в бесплатной версии не имеет на борту полного функционала. Если в каком-то плагине нашли уязвимость, а у вас стоит бесплатная версия плагина WORDFENCE, то обновление вы получите только через 30 дней после обнаружения.
То есть, если в течение 30 дней, после того, как будет обнародована уязвимость, злоумышленник зайдет на ваш сайт, то никакой firewall или антивирус вас не спасет.
Почему так происходит? А все очень просто. Где-то специалисты компаний изучают новые вредоносные скрипты, запросы, уязвимости для составления базы, и эти специалисты, как бы это странно ни звучало, получают зарплату. Работают сервера, арендуются каналы, площади. Наконец, просто оплачивается электричество.
Цель всех бесплатных версий одна - переманить клиента на платную поддержку, которая будет составлять примерно от 99 до 300 долларов в год. Кажется, это немного, но внимательно читайте соглашение. За эти деньги никто не гарантирует, что ваш сайт будет на 100% защищен от взлома.
Вы получаете своевременное обновление продукта и поддержку в объёме вашего тарифного плана. Никто не будет нести ответственность за безответственного владельца сайта, по вине которого происходит большинство взломов. Причин множество, и они миллион раз озвучивались: это и несвоевременное обновление, и установка «варезных» расширений, и установка на свой ПК сомнительного софта, и посещение сомнительных ресурсов.
ЗАКЛЮЧЕНИЕ
Конечно, все упирается в деньги, но если ваш сайт начинает приносить доход или по каким-то другим причинам имеет важное для вас значение, наймите администратора. Можно удаленно. У них обычно накоплен большой опыт, и работают они на совсем другом уровне. А пока ваш ресурс развивается, надеюсь, несколько простых инструментов помогут немного обезопасить ваш сайт.