V posledních měsících se naše webové stránky staly terčem velkého počtu automatizovaných útoků prováděných tzv. „roboty“ nebo boty. Kromě kompletní rekonstrukce webu jsme zavedli několik bezpečnostních opatření, abychom lépe chránili naše systémy před těmito útoky.
Tento dokument poskytuje stručný přehled nejdůležitějších změn. Podrobnější technické zprávy jsou k dispozici v němčině i angličtině pro všechny zájemce.
Vylepšení zabezpečení – stručný přehled
1. Migrace na dedikovaný VPS
- Webové stránky nyní běží na našem vlastním virtuálním privátním serveru (VPS) místo sdíleného hostingu.
- Díky tomu máme dedikovaný procesor a RAM, takže výkon a stabilita jsou znatelně lepší.
- Máme pod kontrolou kompletní softwarový stack (webový server, PHP, databázi), což nám umožňuje mnohem rychleji aplikovat bezpečnostní aktualizace a optimalizace.
2. Ochrana sítě: Firewall (ufw)
- Na VPS jsme povolili vestavěný firewall ufw („Nekomplikovaný firewall“).
- Z internetu jsou dostupné pouze porty, které skutečně potřebujeme:
- SSH (zabezpečený vzdálený přístup pro administrátory)
- HTTP/HTTPS (přístup k veřejným webovým stránkám).
- Všechny ostatní porty jsou blokovány, což výrazně snižuje plochu serveru pro technický útok.
3. Automatické blokování útočníků: Fail2ban
- Nainstalovali jsme Fail2ban , službu, která automaticky blokuje IP adresy s podezřelým chováním.
- Fail2ban průběžně analyzuje existující logovací soubory (SSH a webové serverové logy).
- Pokud IP adresa způsobuje mnoho neúspěšných přihlášení nebo opakovaně cílí na administrátorskou sekci Joomly, je tato IP adresa automaticky zablokována firewallem na definovanou dobu.
- To efektivně omezuje útoky hrubou silou a automatizované skenování serveru a našich administrátorských přihlašovacích údajů.
4. Ochrana na úrovni aplikací v Joomle (nástroje pro správu a 2FA)
- Uvnitř Joomly používáme Admin Tools (Core) jako další vrstvu zabezpečení.
- Přidává základní firewall webových aplikací (WAF), nástroje pro opravu oprávnění k souborům a nouzové funkce pro rychlé uzamčení webu v případě potřeby.
- Účty správců jsou dále chráněny dvoufaktorovým ověřováním (2FA) , takže přihlášení vyžaduje heslo i jednorázový kód.
- Tato opatření společně výrazně ztěžují neoprávněný přístup k backendovým systémům a běžné webové útoky.
5. Výsledná úroveň zabezpečení
- Kombinace VPS , firewallu , Fail2ban , administrátorských nástrojů a 2FA poskytuje několik nezávislých vrstev ochrany.
- Běžní návštěvníci a editoři by si měli všimnout především rychlejšího a stabilnějšího webu, zatímco systém tiše zachycuje a blokuje většinu automatizovaných útoků na pozadí