Tijekom posljednjih mjeseci, naša web stranica bila je meta velikog broja automatiziranih napada koje su izveli takozvani "roboti" ili botovi. Osim što smo stranicu obnovili od nule, implementirali smo nekoliko sigurnosnih mjera kako bismo bolje zaštitili naše sustave od tih napada.

Ovaj dokument pruža kratak pregled najvažnijih promjena. Detaljnija tehnička izvješća dostupna su na njemačkom i engleskom jeziku za sve zainteresirane. 

Sigurnosna poboljšanja – kratki pregled

1. Migracija na namjenski VPS

• Web stranica sada radi na našem vlastitom virtualnom privatnom poslužitelju (VPS) umjesto dijeljenog hostinga.
• To nam daje namjenski CPU i RAM, pa su performanse i stabilnost znatno bolje.
• Kontroliramo cijeli softverski paket (web poslužitelj, PHP, baza podataka), što nam omogućuje puno bržu primjenu sigurnosnih ažuriranja i optimizacija.

2. Zaštita mreže: Vatrozid (ufw)

• Na VPS-u smo omogućili ugrađeni vatrozid ufw ("Nekomplicirani vatrozid").
• Samo su nam portovi koji su nam zapravo potrebni dostupni s interneta:
  • SSH (osigurani udaljeni pristup za administratore)
  • HTTP/HTTPS (pristup javnoj web stranici).
• Svi ostali portovi su blokirani, što značajno smanjuje površinu tehničkog napada na poslužitelj.

3. Automatsko blokiranje napadača: Fail2ban

• Instalirali smo Fail2ban , uslugu koja automatski blokira IP adrese koje se sumnjivo ponašaju.
• Fail2ban kontinuirano analizira postojeće log datoteke (SSH i web server logs).
• Ako IP adresa uzrokuje mnogo neuspješnih prijava ili opetovano cilja administratorsko područje Joomle, ta se IP adresa automatski blokira putem vatrozida na određeno vremensko razdoblje.
• To učinkovito ograničava napade grubom silom i automatizirana skeniranja poslužitelja i naše administratorske prijave.

4. Zaštita na razini aplikacije u Joomli (Administratorski alati i 2FA)

• Unutar Joomle koristimo Admin Tools (Core) kao dodatni sigurnosni sloj.
• Dodaje osnovni web-aplikacijski vatrozid (WAF), alate za ispravljanje dozvola datoteka i funkcije za hitne slučajeve za brzo zaključavanje web-mjesta ako je potrebno.
• Administratorski računi dodatno su zaštićeni dvofaktorskom autentifikacijom (2FA) , pa je za prijavu potrebna i lozinka i jednokratni kod.
• Zajedno, ove mjere znatno otežavaju neovlašteni pristup pozadinskim sustavima i uobičajene web napade.

5. Rezultirajuća razina sigurnosti

• Kombinacija VPS-a , firewalla , Fail2ban-a , administratorskih alata i 2FA pruža više neovisnih slojeva zaštite.
• Obični posjetitelji i urednici trebali bi uglavnom primijetiti bržu i stabilniju web stranicu, dok sustav tiho presreće i blokira većinu automatiziranih napada u pozadini