COME PROTEGGERE IL TUO NEGOZIO MAGENTO DA UN HACKER

Magento è una delle più grandi piattaforme di e-commerce open source al mondo, diventando un piacere per gli occhi degli hacker con intenzioni dannose. Indipendentemente dalla quantità di lavoro dedicata alla protezione di questa piattaforma, gli hacker continueranno a cercare di trovare nuovi modi per eludere le misure di sicurezza.

Nonostante Magento abbia le sue funzionalità di sicurezza (e sono una delle migliori), devi comunque essere proattivo e intraprendere azioni preventive come audit e test di sicurezza per valutare tutte le vulnerabilità.

In qualità di esperti Magento, riceviamo molte richieste dai proprietari di e-commerce Magento che devono impedire ai loro negozi di futuri attacchi di hacking che mettono a rischio i dati dei loro utenti.

Quindi, ecco la situazione: i problemi di sicurezza saranno sempre presenti, motivo per cui vogliamo condividere con te una serie di controlli e passaggi importanti che puoi intraprendere per proteggere il tuo negozio online dall'hacking.

Questo articolo illustra i modi in cui i proprietari di negozi, i responsabili del marketing, i gestori dell'e-commerce, ecc. possono implementare le misure di sicurezza Magento essenziali.

SCEGLI UN'INFRASTRUTTURA HOSTING SICURA

Quando si sceglie un provider di hosting, assicurarsi che disponga di un ciclo di vita di sviluppo software sicuro e che funzionino secondo gli standard del settore (ad es. le migliori pratiche di sicurezza OWASP).

Se stai costruendo un nuovo sito Web, avvia il sito tramite HTTPS. Questo crittograferà in modo sicuro il tuo sito e lo aiuterà a ottenere classifiche di Google più elevate. Per un sito Web esistente, ti consigliamo di aggiornare il sito per l'esecuzione su HTTPS.

AMBIENTE SICURO

Mantieni aggiornato tutto il software e applica TUTTE le patch di sicurezza consigliate. Magento rilascia regolarmente correzioni sotto forma di patch, quindi si consiglia di verificare se tutte le patch più recenti sono installate sul sistema.

Disabilita FTP e utilizza solo comunicazioni sicure (SSH/SFTP/HTTPS) per gestire i file. Il motivo per cui è consigliabile farlo è perché l'FTP semplice trasmette i dati in chiaro, il che significa che è possibile ottenere facilmente informazioni sensibili come nomi utente e password degli utenti.

Se stai utilizzando un server diverso dal server Web Apache, assicurati che tutti i file e le directory di sistema siano protetti .

Consenti solo agli indirizzi IP inseriti nella whitelist di accedere al pannello di amministrazione. Se non sei sicuro su come gestire queste autorizzazioni, leggi questo.

Implementa l'autenticazione a due fattori per gli accessi di amministratore. Ciò fornirà una sicurezza aggiuntiva che richiede un passcode aggiuntivo che viene generato sul telefono.

Aggiorna regolarmente il tuo software antivirus e usa uno scanner di malware per proteggere il computer che usi per accedere alla dashboard di amministrazione di Magento.

Inoltre, per garantire un sistema operativo del server sicuro, assicurarsi che non vi sia software non necessario in esecuzione sul server.

SICURO MAGENTO

Per ridurre l'esposizione agli script che potrebbero tentare di entrare attraverso il tuo URL di amministrazione, utilizza un URL di amministrazione univoco che non può essere facilmente indovinato.

Usa una password complessa per l'account amministratore Magento. Non dovresti MAI usare password semplici per l'amministratore di Magento (date di nascita, nomi, cognomi, ecc.) e circa una volta al mese, cambia le tue password. Inoltre, non condividere la tua password con terze parti. Se è necessario fornire l'accesso agli sviluppatori, creare un utente separato per loro ed eliminarlo al termine del lavoro.

Controlla regolarmente gli utenti amministratori per assicurarti che solo le persone giuste abbiano accesso al pannello di amministrazione del negozio. Questo può essere un buon momento per rimuovere/eliminare vecchi utenti.

È fondamentale controllare il livello di autorizzazione appropriato per prevenire ulteriori accessi non richiesti al tuo e-commerce Magento. Questo controllo garantisce che a tutti i gruppi di utenti vengano concessi solo i diritti di accesso previsti.

Aderire alle impostazioni di configurazione relative alla sicurezza di Magento per Sicurezza amministratore, Opzioni password e CAPTCHA.

Usa l' ultima versione di Magento per goderti i più recenti miglioramenti della sicurezza. Altrimenti, installa tutte le patch di sicurezza come raccomandato da Magento.

Alla fine, alcune estensioni di Magento non sono necessarie o non sono più mantenute dai loro creatori e quindi presentano delle vulnerabilità. È importante rivedere l'elenco dei componenti aggiuntivi e verificare se sono aggiornati. Questo aiuta a rimuovere le estensioni abbandonate e disinstallarle.

MONITOR PER SEGNI O SINTOMI DI UN SITO MAGENTO HACKED

Indisponibilità del negozio web : se il tuo negozio è costantemente non disponibile o bloccato dal servizio di hosting, potresti essere stato vittima di un attacco Denial-of-Service. Questo tipo di attacco disturberà la tua presenza online ma non minaccia la sicurezza dei tuoi dati.

Problemi con il pannello di amministrazione e i contenuti : se scopri che c'è un nuovo utente con diritti di amministratore che non hai creato, noti le modifiche apportate al contenuto del tuo negozio o forse non sei nemmeno in grado di accedere, potresti soffrire di un grave problema attacco pericoloso al tuo sito web e alla tua attività (irruzione nel pannello di amministrazione)

Scarse prestazioni : l'attacco Hacked Redirect mira a catturare il traffico del tuo negozio ed esporre i tuoi clienti a malware, attacchi di phishing o spam pubblicitario. Se noti che il tuo negozio non compare sui motori di ricerca o viene reindirizzato a pagine non richieste, agisci, potresti essere stato hackerato.

Furto di dati segnalato : hai subito questo attacco se i tuoi clienti segnalano attività sospette con i loro account o se le credenziali della loro carta di credito sono state rubate. Si tratta di attacchi basati su e-mail con l'intento di accedere ai dati e furto di identità.

Non c'è bisogno di sottolineare quanto questo possa influire negativamente sul tuo sito di e-commerce.

• Esaminare periodicamente i registri del server per eventuali attività sospette.
• Controlla se sono stati creati utenti amministratori non autorizzati. È possibile monitorare il registro delle azioni dell'amministratore.
• Verificare l'integrità dei dati dei file sul server per evitare potenziali installazioni di malware.
• Monitora tutti gli accessi di sistema (FTP, SFTP, SSH) per attività, caricamenti o comandi imprevisti

SVILUPPARE UN PIANO DI RECUPERO

Anche se hai applicato misure di sicurezza rigorose, crea un piano di ripristino/continuità operativa per lo scenario peggiore. è essenziale eseguire il backup dei dati dell'intero negozio web. Ciò ti aiuterà a ripristinare il tuo negozio web in caso di perdita di dati.

Assicurati che siano presenti backup dei file di database e server in una posizione esterna. Assicurati che questi backup vengano eseguiti correttamente e possano essere ripristinati.

In caso di attacco, non importa quanto piccolo, reimposta tutte le credenziali comprese quelle del database, l'accesso ai file, le chiavi di crittografia del gateway di pagamento, i servizi web e il login dell'amministratore Magento, FTP, SSH ecc.