پکیج امنیتی سایت نام یک استاندارد ثابت یا محصول یکسان نیست. ممکن است یک ارائه‌دهنده با این نام بررسی اولیه، تنظیمات محافظتی، پاک‌سازی یا پایش دوره‌ای عرضه کند. پیش از سفارش باید روشن شود کدام خدمت، برای کدام بخش سایت و با چه خروجی انجام می‌شود.
این راهنما معیار ارزیابی خدمات است. برای دامنه و شرایط فعلی خدمات هاست نگار، صفحهٔ پکیج‌های امنیتی و توضیح مکتوب پشتیبانی را مبنا قرار دهید؛ موارد زیر به معنی وجود همهٔ آن‌ها در هر بسته نیست.
دامنهٔ پکیج امنیتی سایت را مشخص کنید
نام دامنه، سیستم مدیریت محتوا، پنل، سرور و حساب‌های مشمول بررسی را بنویسید. امنیت برنامه با امنیت سیستم‌عامل یا حساب میزبانی یکسان نیست. برای سایت وردپرسی، بررسی افزونه‌ها و دسترسی مدیر با به‌روزرسانی سیستم‌عامل سرور دو مسئولیت جدا هستند.
هدف را هم روشن کنید: پیشگیری در سایت سالم، بررسی نشانهٔ مشکوک یا پاک‌سازی نفوذ تأییدشده. قیمت و زمان یک بازبینی معمولی را نمی‌توان بدون بررسی به رسیدگی کامل به حادثه تعمیم داد.
اسکن، رفع ضعف و پاک‌سازی چه تفاوتی دارند؟
| خدمت | خروجی مورد انتظار |
|---|---|
| بررسی آسیب‌پذیری | مؤلفه و نسخهٔ درگیر، اهمیت و پیشنهاد اقدام. |
| سخت‌سازی | تنظیمات اصلاح‌شده و دلیل هر تغییر. |
| جست‌وجوی بدافزار | موارد مشکوک و محدودهٔ بررسی، همراه با محدودیت تشخیص. |
| پاک‌سازی | رسیدگی به آثار نفوذ و مسیر ورود، با توضیح موارد باقی‌مانده. |
| پایش | نوع هشدار، زمان بررسی و مسئول پاسخ‌گویی. |
پیدانشدن بدافزار در یک اسکن، نبود هر نوع ضعف را ثابت نمی‌کند. حذف فایل مشکوک هم اگر راه ورود باز مانده باشد پایان رسیدگی نیست. برای سایت آلوده، گزارش باید نشان دهد چه شواهدی بررسی و چه بخش‌هایی خارج از دامنهٔ کار بوده‌اند.
WAF و SSL جای نگهداری برنامه را نمی‌گیرند
دیوارهٔ آتش وب می‌تواند بعضی درخواست‌های مخرب را محدود کند، اما همهٔ خطاهای برنامه را اصلاح نمی‌کند. گواهی و HTTPS نیز از ارتباط محافظت می‌کنند و تضمین سالم‌بودن کد، رمزها یا محتوای سرور نیستند.
بسته‌ای را ارزیابی کنید که نقش به‌روزرسانی، کنترل دسترسی و بررسی هشدار را روشن می‌کند. وعدهٔ «امنیت صددرصد» معیار فنی قابل‌اتکایی نیست. راهنمای امنیت وردپرس نیز امنیت را مجموعه‌ای از لایه‌ها و اقدامات می‌داند.
تحویل کار باید قابل‌بررسی باشد
- چه بخش‌هایی بررسی شده و چه بخش‌هایی نشده است؟
- چه تغییری اعمال شده و اثر آن روی ورود، فرم یا فروش چیست؟
- کدام موارد به اقدام مالک سایت یا توسعه‌دهنده نیاز دارند؟
- پایش یک‌باره است یا ادامه‌دار و هشدار به چه کسی می‌رسد؟
- اگر تغییر اختلال ایجاد کرد، مسئول رفع و مسیر بازگشت چیست؟
نام ابزار به‌تنهایی گزارش کار نیست. خروجی باید مسئله، اقدام و نتیجه را به زبان قابل‌فهم توضیح دهد. اطلاعات حساس، کلیدها و دادهٔ مشتری نباید برای نشان‌دادن انجام کار در گزارش عمومی منتشر شوند.
دسترسی و نگهداری بعد از تحویل
دسترسی ارائه‌شده باید محدود به نیاز کار باشد و پس از پایان، موارد موقت تعیین تکلیف شوند. مسئول به‌روزرسانی و پاسخ به هشدار را از ابتدا مشخص کنید؛ یک بررسی اولیه جای نگهداری مستمر را نمی‌گیرد.
برای دریافت پیشنهاد، نوع سایت، سرویس میزبانی و هدف بررسی را در سامانهٔ پشتیبانی توضیح دهید. در صورت مشاهدهٔ نفوذ، زمان و نشانه‌ها را هم ثبت کنید تا درخواست به‌عنوان بررسی معمولی سایت سالم ارزیابی نشود.
مطالعهٔ مرتبط
بازبینی فنی: ۱۳ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
