إن كنت تدير عملك الخاص، فأنت بحاجة إلى موقع إلكتروني. باستخدام التكنولوجيا المتوفرة حالياً بإمكانك البدء فوراً وبسهولة كبيرة. موقعك إلكتروني سيكون مسجل مع علامتك التجارية المملوكة (على غرار صفحات الفيسبوك، التى يمكن إغلاقها بأي وقت ولأي سبب) حيث يستطيع الجميع إيجاد أجوبة عن أسئلتهم الملحة - من ضمنها كيف نحصل على عنوانك -. وإن كان لديك موقع إلكتروني، فأنت بحاجة إلى المعرفة العملية المتعلقة ب ثغرات المواقع الإلكترونية وصيانة مستمرة لموقعك فإن الخطر الذي قد يتعرضه له موقعك ليس من البرمجيات الخبيثة وحسب.
صيانة المواقع الإلكترونية تتضمن كل النشاطات التى يجب عليك أن تقوم بها لتضمن بقاء موقعك محدث ويعمل بالشكل المطلوب. أحد النشاطات الرئيسية المهمة جداً بخصوص صيانة وتطوير المواقع التى لا يهتم بها الأغلبية هي حماية الموقع.
قام اتحاد الأمان الإلكتروني الوطني الأمريكي عام 2006 بتقديم تقرير، حيث ذكر في التقرير أن %60 من الشركات الصغيرة لا تستطيع أن تستمر بعملها لأكثر من ست أشهر بعد تعرضها لهجوم إلكتروني. ويعود السبب وراء ذلك هو تسرب البيانات، فإن تسريب بعض المعلومات الحساسة سيؤثر سلباً بشكل كبير على ثقة الزبائن بك - بالإضافة إلى المزيد من الأضرار السلبية الأخرى -.
أما الأخبار السارة فهي كالتالي: لست بحاجة لميزانية كبيرة لحماية موقعك من الثغرات التى سنذكرها، ولكنك بحاجة إلى خطة وقائية تتضمن تمكين التدابير الأمنية.
7 ثغرات أمنية بالمواقع:
أمان المواقع الإلكترونية هو مجال يغطي نطاق واسع من الهجمات والحلول، الشيء الذي يجعله مجال عملاق، ولكن النقاط السبع التالية هي الأهم والأكثر شيوعاً:
1- البرمجيات الخبيثة
2- حقن تعليمات الاستعلام البنيوية SQL
3- الهجوم عبر المواقع
4- تقاطع نقل البيانات
5- هجمات كلمات السر
6- هجمات حجب الخدمة الموزعة DDoS
7- سوء ضبط إعدادات الحماية
بالرغم من وجود المزيد من الثغرات، ولكن إن استطعت حماية موقعك من الثغرات المذكورة فسيساعدك هذا على البقاء آمناً.
1- البرمجيات الخبيثة
البرمجيات الخبيثة هي برمجيات ثم صنعها لأجل أهداف تخريبية وخبيثة، لتصيب جهاز وتدمر النظام. ثغرة البرمجيات الخبيثة هي ثغرة ذات مجال واسع، فهي تغطي الثغرات المتعلقة بالفيروسات والإعلانات الغير مرغوب بها والعديد أيضاً مما يلحق الضرر بجهازك أو موقعك أيضاً. أن تعرض موقع لهجمة من أحد البرمجيات الخبيثة فإن هذا سيتسبب بتسريب بعض البيانات الهامة منها بيانات الزبائن أو الزوار.
خلال الربع الأول من سنة 2018، %60 من الشركات التى تعرضت لهجوم إلكتروني كان بسبب البرمجيات الخبيثة. النوعين الأكثر انتشاراً من البرمجيات الخبيثة هما:
- التشويه: هذا النوع من البرمجيات الخبيثة يقوم بتغيير شكل ومظهر الموقع الإلكتروني. في العادة، يظهر اسم المخترق على الصفحة.
- إعادة التوجيه إلى صفحات ضارة: في هذه الحالة يقوم المستخدم بالتوجه إلى موقعك ولكن تقوم البرمجيات الخبيثة بإعادة توجيه المستخدم إلى صفحة أخرى تحتوي برمجيات ضارة. مما يجعل الوصول إلى موقعك غير ممكن.
أحد الخدمات التى يقدمها جودادي، هي خدمة أمن المواقع، التى تقدم لك عدة أدوات للحفاظ على موقعك آمن، ويشمل أيضاً الكشف ومسح البرمجيات الخبيثة. هذه الخدمة هي الأمثل لأصحاب الشركات الصغيرة التى لا تتطلب وقت لتحمي موقعك بشكل كافي ضد أي ثغرات أمنية.
2- حقن تعليمات الاستعلام البنيوية SQL
ثغرات المواقع الإلكترونية تحدث عندما يكون هناك نقطة ضعيفة في برمجة الموقع مما يعطي المجال للأشخاص ذو النوايا الخبيثة للهجوم. يحدث هذا غالباً بسبب عدم التحديث المستمر للملحقات والمكونات الإضافية لـ WordPress أو أي أدوات أخرى تستخدمها لموقعك.
حقن تعليمات الاستعلام البنيوية SQL هي أحد أنواع ثغرات المواقع الإلكترونية الذي يحتوي على سطر من التعليمات ( سطر برمجة ) ذو هدف ضار يتم حقنه مع البيانات التى يدخلها المستخدمون إلى موقعك. وبهذه الطريقة يصبح المخترق قادر على الوصول إلى قاعدة البيانات.
وإن نجح الهجوم، فسيكون المخترق قادر على سرقة معلومات وبيانات الزبائن والزوار، تعديل ومسح البينات، أو حتى السيطرة الكاملة على موقعك.
هذا النوع هو أكثر أنواع ثغرات المواقع انتشاراً
في عام 2018، أشارت التقارير إلى أن معدل عدد الصفحات التي تحتوي على ثغرات حقن تعليمات الاستعلام البنيوية هو 1000 صفحة في المواقع المصابة بالثغرات. وإن هذه الثغرة مذكورة أيضاً ضمن قائمة أخطر 10 تهديدات لأمان المواقع الإلكترونية، القائمة من إعداد OWASP.
يستطيع جدار حماية تطبيقات الويب – هو أحد الأدوات المقدمة من GoDaddy مع حزمة خدمة المواقع المذكورة سابقاً – حماية موقعك من هجمات حقن تعليمات الاستعلام البنيوية. جدار الحماية المذكور هو خدمة سحابية تقوم بمراقبة وحماية موقعك الإلكتروني دون انقطاع من هجمات الحقن والتعليقات الضارة، وتقوم أيضاً بإيقاف هجمات حجب الخدمة.
3- الهجوم عبر المواقع
الهجوم عبر المواقع هو نوع آخر منتشر من ثغرات المواقع الإلكترونية. على غرار حقن تعليمات الاستعلام البنيوية، فإن الهجزم عبر ثغرات المواقع يحدث كالتالي، يتم حقن بعض الأوامر من صيغة JavaScript في الموقع مباشرة لاستهداف مستخدمي الموقع، للتلاعب بمدخلات المستخدمين.
تستطيع هذه الأوامر السيطرة على الاتصال الذي تم إنشاؤه بين المستخدم والموقع. وبهذه الطريقة يمكن تشويه الموقع أو إعادة توجيه المستخدمين إلى صفحات خبيثة أخرى تبدو صفحات عادية هدفها سرقة البيانات التى سيدخلها المستخدم.
4- تقاطع نقل البيانات
تقاطع نقل البيانات تحدث عندما يقوم أحد المخترقين بالتقاط أي نوع من البيانات التى يقوم المستخدم بإرسالها إلى الموقع، ومن ثم يقوم باستخدامها للاستفادة منها. هذه البيانات قد تكون معلومات تواصل بسيطة كـ عنوان سكن أو رقم هاتف، وقد تكون معلومات مهمة وحساسة جداً كـ معلومات بطاقة ائتمانية. المخترقون أو المجرمون الإلكترونيين يستطيعون بيع المعلومات هذه أو القيام باستخدامها للشراء لهم أيضاً.
مثال واحد من بين العديد، مجموعة من المجرمون الإلكترونيين في بلجيكا سنة 2015 قاموا باختراق عدد من الشركات الأوروبية مستوسطة وكبيرة الحجم لهدف الوصول لبيانات مالية مهمة، وقاموا بسرقة 6 مليون يورو عبر هذا النشاط الإجرامي.
تقوم شهادات SSL ببناء اتصال آمن ومشفر بين المستخدم والخادم Server الخاص بالموقع، هذا الاتصال الآمن يحمي المستخدمين من الهجمات الإلكترونية كـ مقاطعة نقل البيانات.
إذاً فهل يحتاج موقعك إلى شهادة SSL؟ حتى وإن كنت لا تدير موقع للتجارة الإلكترونية، فالجواب هو نعم.
5- هجمات كلمات السر
بعض المخترقين يقومون بتخمين كلمات السر أو استخدام بعض الأدوات التى تقوم بشكل أوتوماتيكي بتوليد أنماط وأشكال مختلفة لكلمات السر حتى يحصلوا على الكلمة الصحيحة.
في بعض الأحيان، يتم استخدام برنامج keylogging، يستخدم البرنامج للدخول إلى الحسابات. يقوم برنامج keylogging بتسجيل وتخزين كل ضغطة وكل ما تطبعه باستخدام لوحة المفاتيح. ويقوم البرنامج بإرسال التسجيلات إلى الشخص الذي قام بتثبيت البرنامج، المخترق.
ما هو الدرس المهم جداً لتتعلمه هنا ؟ كن حذراً جداً عندما تستخدم شبكات الواي فاي الموجودة بالأماكن العامة والحواسيب والأجهزة العامة أيضاً.
العديد من المواقع تفتقر إلى آلية قوية لحماية كلمات السر، مما يجعل محاولة دخول حسابك أمر سهل. إليك بعض الطرق لحماية كلمات السر لمستخدمي موقعك:
- اطلب اختيار كلمة سر قوية وأن تكون تشكيل مختلف من الحروف، الأرقام والرموز.
- اطلب من المستخدمين تغيير كلمات السر الخاصة بهم بشكل دوري.
- اطلب عملية تسجيل دخول ذات عملية مصادقة مكونة من خطوتين.
- ورجاءاً غير اسم المستخدم الخاص بك على WordPress ولا تتركه كـ admin.
6- هجمات حجب الخدمة الموزعة DDoS
تحدث هجمات حجب الخدمة الموزعة عندما يكون هناك حجم كبير جداً من البيانات والطلبات تحاول المرور عبر خادم الموقع Server، طلبات وضغط أكثر من قدرة الخادم يتعرض لحمل وجهد زائد.
تحدث هذه الثغرة عندما يتم توجيه هذه البيانات والطلبات الكبيرة إلى الخادم، وهي بيانات وطلبات مزيفة، هدفها فقط إرهاق الخادم، عادةً ما تسمى بـ botnets. الـ botnets هي مجموعة من الأجهزة المتصلة بالانترنت هدفها إرسال هذه الطلبات والبيانات المزيفة لإرهاق الخادم.
وعندما يصل الخادم إلى مرحلة الإرهاق بسبب هذه البيانات والطلبات الهائلة، سيصبح تحميل وعمل الموقع بطيء. ومع المزيد من الضغط سيتعطل الخادم ويقف عن العمل وسيصبح خارج الخدمة ولن يكون من الممكن دخول الموقع.
أشار تقرير أعده مكافح الفيروسات الشهير Kaspersky Lab عام 2017 أن %33 من الشركات الصغيرة ومتوسطة الحجم تلقت هجمات حجب الخدمة الموزعة، بالإضافة إلى %20 من الشركات الصغيرة جداً و%41 من الشركات الأكبر تأثرت بالهجمات أيضاً. في عام 2016 كان عدد الشركات الصغيرة التى تعرضت للهجمات نصف عدد الشركات التى تعرضت سنة 2017.
لحسن الحظ، فإن مقاومة وحجب هجمات حجب الخدمة الموزعة ليس بالشيء المعقد. يستطيع كلاً من حزمة خدمة حماية المواقع المقدمة من جودادي وجدار حماية تطبيقات الويب من حجب ومنع هذا النوع من الهجمات الإلكترونية.
7- سوء ضبط إعدادات الحماية
سوء ضبط إعدادات الحماية يحدث عندما يكون هناك ضعف في إعدادات الحماية التى قد تؤدي إلى صنع ثغرات في الموقع. يحدث هذا غالباً بسبب عدم توفر الصيانة المناسبة لموقعك أو سوء ضبط إعدادات تطبيقات الويب.
سوء ضبط إعدادات الأمان تتيح للمخترقين الوصول إلى البيانات الخاصة أو بعض أدوات موقعك التى من الممكن أن تهدد النظام بأكمله. في هذه الحالات، البيانات من الممكن أيضاً أن تسرق أو يتم تعديلها.
ثغرات أمان المواقع الإلكترونية تظهر عندما تكون الإعدادات غير آمنة أو بشكلها الافتراضي. سيكون من السهل جداً للمخترقين اختراقك والوصول إلى ما يريدونه إن تركت إعدادات النظام بوضعها الافتراضي من دون تغيير.
لا تترك أبداً إعدادات الأمان الخاصة بموقعك الإلكتروني بشكلها الافتراضي، اقضِ بعض الوقت لتحسينها.
أفكار أخيرة حول البرمجيات الخبيثة وثغرات المواقع الإلكترونية
قضاء بعض الوقت لتتعرف أكثر حول أهم ثغرات المواقع الإلكترونية هي خطوة أولى مهمة جداً لتعرف كيف تحمي موقع شركتك الصغيرة. الخطوة الثانية هي بدأ اتخاذ القرارات والتنفيذ، بدأ عمل تغييرات وتثبيت برامج لحماية بياناتك وبيانات المستخدمين.
