Funkcje od A do Z
Co dokładnie sprawdza DevaGuard
Poniżej są wszystkie kontrole. Przy każdej podajemy też, czego nie widzi, żeby było jasne, gdzie kończą się jej możliwości.
| Co sprawdzamy | Jak często | Skąd dane | Czego nie widać |
|---|---|---|---|
| Z zewnątrz, dla każdej strony | |||
| Dostępność strony. Ponawiamy próbę po 5 sekundach, zanim wyślemy alarm. Wykrywamy też stronę, która odpowiada, choć jest zepsuta. Pokazuje błąd bazy, krytyczny błąd WordPressa, informację o zawieszonym koncie u hostingu albo jest pusta. Opcjonalnie pilnujemy frazy, która musi być na stronie. Historia z ostatnich 24 godzin. | Co 5 minut | Zapytanie do strony z naszego serwera | Sprawdzamy tylko stronę główną. Awaria podstrony może przejść niezauważona. |
| Kłódka SSL (certyfikat strony) | Co 12 godzin | Połączenie ze stroną | Nie ocenia, czy certyfikat jest odpowiedni dla Twojej branży. |
| Domena i termin jej ważności | Raz na dobę | Publiczny rejestr domen (RDAP) | Nie wszystkie końcówki domen udostępniają dane w rejestrze. |
| Przekierowania i cloaking. Sprawdzamy, co widzi komputer, telefon, Googlebot i osoba wchodząca z Google. Szukamy też złośliwego kodu w stronie i w skryptach: znane kampanie, ClickFix, ładunki ukryte w blockchainie, zaciemniony kod. | Co 6 godzin | Pobranie strony jako różni odwiedzający i analiza kodu | Nie widzi przekierowań, które uruchamiają się dopiero w przeglądarce, na przykład po czasie lub po kliknięciu. |
| Ujawnione pliki (.env, .git, kopie wp-config, zrzuty bazy, archiwa, debug.log, phpinfo, pliki testowe, phpMyAdmin i Adminer) oraz listowanie katalogów | Raz na dobę | Próba otwarcia typowych adresów z zewnątrz | Znajdzie tylko pliki pod znanymi nazwami. Plik o nietypowej nazwie może zostać pominięty. |
| Co WordPress zdradza na zewnątrz, czyli loginy pod /?author=1 i w REST, XML-RPC oraz wersję systemu | Raz na dobę | Publiczne adresy strony | Nie widzi nic, co WordPress ukrywa przed odwiedzającym. |
| HTTPS i nagłówki bezpieczeństwa (HSTS, ochrona przed osadzeniem w ramce, nosniff, wersje w nagłówkach, łańcuch certyfikatów) | Raz na dobę | Odpowiedź serwera | Nagłówki ustawione tylko na wybranych podstronach mogą nie być widoczne. |
| Rekordy poczty domeny SPF, DMARC i CAA | Raz na dobę | Rekordy DNS domeny | Nie sprawdza, czy Twoje maile faktycznie trafiają do odbiorców. |
| Z wtyczki lub pliku agenta | |||
| Wersje WordPressa, PHP i bazy danych. Wtyczki i motywy z dostępnymi aktualizacjami. | Raz na dobę i po każdej aktualizacji | Wtyczka na Twoim serwerze | Bez wtyczki nie mamy tych danych. |
| Znane luki w wtyczkach, motywach i WordPressie | Raz na dobę i po każdej aktualizacji | Bazy luk Wordfence Intelligence i WPVulnerability | Nie znajdzie luk, które nie zostały jeszcze publicznie opisane. |
| Wtyczki wycofane z WordPress.org albo nieznane w katalogu | Raz na dobę i po każdej aktualizacji | Katalog WordPress.org | Wtyczki płatne spoza katalogu pokażemy jako nieznane. To nie zawsze problem. |
| Integralność plików rdzenia i wtyczek. Porównujemy je z oficjalnymi wersjami. | Raz na dobę i po każdej aktualizacji | WordPress.org i wtyczka | Nie sprawdza wtyczek spoza WordPress.org ani Twoich własnych zmian w motywie. |
| Pliki PHP w katalogu uploads i pliki zmienione w ostatnich 7 dniach | Raz na dobę i po każdej aktualizacji | Wtyczka na Twoim serwerze | Pokazuje, że plik się zmienił, ale nie zawsze potrafi ocenić, czy zmiana jest złośliwa. |
| Podejrzane reguły i zmiany w plikach .htaccess, .user.ini i wp-config.php | Raz na dobę i po każdej aktualizacji | Wtyczka na Twoim serwerze | Treść wp-config.php nie opuszcza serwera, więc oceniamy tylko cechy pliku. |
| Kod wstrzyknięty do bazy danych: wpisy, opcje, pola | Raz na dobę i po każdej aktualizacji | Wtyczka na Twoim serwerze | Mocno zaciemniony lub nietypowy kod może zostać pominięty. |
| Dziennik logowań: nowy administrator, zmiana e-maila lub hasła, logowanie z nowej sieci, zgadywanie haseł | Raz na dobę i po każdej aktualizacji | Wtyczka na Twoim serwerze | Zapisuje tylko zdarzenia od chwili włączenia wtyczki. Nie przekazujemy adresów IP. |
| Kopia zapasowa (UpdraftPlus i inne wtyczki) | Raz na dobę i po każdej aktualizacji | Wtyczka na Twoim serwerze | Kopia robiona przez hosting poza WordPressem może być niewidoczna. |
| Edycja plików z panelu WordPressa i tryb debug | Raz na dobę i po każdej aktualizacji | Ustawienia WordPressa | Nie zmienia tych ustawień. Tylko o nich informuje. |
Ocena i plan
Plan napraw
Z wyników kontroli powstaje plan napraw z kolejnością i podziałem zadań.
Ocena ryzyka
Przy lukach pokazujemy EPSS (FIRST.org), czyli szacowaną szansę ataku w ciągu 30 dni. Pokazujemy też listę CISA KEV, czyli luk, które są wykorzystywane w prawdziwych atakach. Na tej podstawie ustalamy, które sprawy są pilne.
Priorytety i podział zadań
Zadania mają priorytet: Pilne, Ważne albo Niskie. Przy każdym jest informacja, kto ma je zrobić: administrator strony, hosting czy właściciel domeny.
Instrukcja dla programisty
Do każdego problemu dostajesz gotowy opis, który możesz wkleić do wiadomości dla programisty lub hostingu.
Alerty i konta
Kiedy i do kogo trafia informacja
Alerty
- O awarii i możliwym włamaniu wysyłamy e-mail natychmiast.
- Pozostałe sprawy trafiają do raportu, który przychodzi co 7, 5 lub 3 dni albo codziennie.
- Okno serwisowe wycisza alerty o awarii na czas prac na stronie.
Konta i zespół
- Logowanie z obowiązkowym logowaniem dwuetapowym (2FA).
- Kody zapasowe, gdyby telefon był niedostępny.
- Zespół i klienci widzą tylko swoje strony.
Ważne
Granice narzędzia
DevaGuard wskazuje, co warto sprawdzić. Ostateczną ocenę zostawiamy osobie odpowiedzialnej za stronę, a w ważnych sprawach warto zamówić audyt. Pusta lista ostrzeżeń nie gwarantuje, że strona jest bezpieczna.