Undanfarna mánuði hefur vefsíða okkar orðið fyrir fjölda sjálfvirkra árása sem framkvæmdar eru af svokölluðum „vélmennum“ eða bottum. Auk þess að endurbyggja síðuna frá grunni höfum við innleitt nokkrar öryggisráðstafanir til að vernda kerfin okkar betur gegn þessum árásum.

Þetta skjal veitir stutta yfirsýn yfir mikilvægustu breytingarnar. Ítarlegri tæknilegar skýrslur eru tiltækar bæði á þýsku og ensku fyrir alla sem hafa áhuga. 

Öryggisbætur – Stutt yfirlit

1. Flutningur yfir í sérstakt VPS

• Vefsíðan keyrir nú á okkar eigin sýndarþjóni (VPS) í stað sameiginlegrar hýsingar.
• Þetta gefur okkur sérstakan örgjörva og vinnsluminni, þannig að afköst og stöðugleiki eru mun betri.
• Við höfum stjórn á öllum hugbúnaðarpakkanum (vefþjóni, PHP, gagnagrunni), sem gerir okkur kleift að innleiða öryggisuppfærslur og hagræðingar mun hraðar.

2. Netvernd: Eldveggur (ufw)

• Á VPS kerfinu virkjuðum við innbyggða eldvegginn ufw ("Uncomplicated Firewall").
• Aðeins þær tengi sem við þurfum í raun og veru eru aðgengileg frá internetinu:
  • SSH (öruggur fjarlægur aðgangur fyrir stjórnendur)
  • HTTP/HTTPS (aðgangur að vefsíðum almennings).
• Allar aðrar tengi eru lokaðar, sem dregur verulega úr tæknilegum árásarmöguleikum netþjónsins.

3. Sjálfvirk lokun árásarmanna: Fail2ban

• Við settum upp Fail2ban , þjónustu sem lokar sjálfkrafa fyrir IP-tölur sem haga sér grunsamlega.
• Fail2ban greinir stöðugt núverandi skráningarskrár (SSH og vefþjónsskrár).
• Ef IP-tala veldur mörgum misheppnuðum innskráningum eða beinist ítrekað að stjórnandasvæði Joomla, þá er þessi IP-tala sjálfkrafa lokuð af eldveggnum í ákveðinn tíma.
• Þetta takmarkar í raun brute-force árásir og sjálfvirkar skannanir gegn netþjóninum og innskráningu stjórnanda okkar.

4. Vernd á forritastigi í Joomla (stjórnendatól og 2FA)

• Inni í Joomla notum við stjórnunartól (kjarna) sem viðbótaröryggislag.
• Það bætir við grunn vefforritaeldvegg (WAF), verkfærum til að laga skráarheimildir og neyðaraðgerðum til að læsa síðunni fljótt ef þörf krefur.
• Aðgangur stjórnenda er enn frekar varinn með tvíþátta auðkenningu (2FA) , þannig að innskráning krefst bæði lykilorðs og einnota kóða.
• Samanlagt gera þessar ráðstafanir óheimilan aðgang að bakenda og algengar vefárásir verulega erfiðari.

5. Öryggisstig sem af því hlýst

• Samsetningin af VPS , eldvegg , Fail2ban , stjórnunartólum og 2FA býður upp á mörg sjálfstæð verndarlög.
• Venjulegir gestir og ritstjórar ættu aðallega að taka eftir hraðari og stöðugri vefsíðu, á meðan kerfið hlerar og lokar hljóðlega fyrir flestar sjálfvirkar árásir í bakgrunni