Verdieping

Beveiliging is een proces

Zero-days in CMS-extensies zijn geen zeldzaamheid — ze duiken geregeld op, in populaire page builders, template-frameworks, en zelfs in de core van veelgebruikte CMS'en. Het patroon is vrijwel altijd hetzelfde: kwetsbaarheid ontdekt, exploit-scripts binnen dagen actief, en een golf van geautomatiseerde aanvallen die het internet afzoekt naar sites die nog niet geüpdatet zijn.

De meeste gehackte sites zijn technisch prima. Wat er misging is meestal een kwestie van timing: het venster tussen "lek publiek bekend" en "site veilig geüpdatet" was te lang. Soms omdat de patch nog niet beschikbaar was, soms omdat er te lang gewacht werd met installeren. In beide gevallen is één ding zeker: een dag of een week is meer dan genoeg voor exploit-scripts om hun werk te doen.

De illusie van "site opgeleverd"

In de klassieke freelance-praktijk werk je in projecten: ontwerp, bouw, oplevering, factuur. Daarna gaat een site vaak een fase in waarin er niet meer structureel naar wordt gekeken. Ondertussen verandert de wereld eromheen. Extensies krijgen updates, kwetsbaarheden worden ontdekt, aanvalstechnieken evolueren. Dat verschil — tussen een website bouwen en een website jarenlang veilig houden — wordt gemakkelijk onderschat, zeker wanneer een site na oplevering maandenlang hetzelfde lijkt.

De site zelf verandert niet — wat verandert is dat de rest van het internet niet stilstaat.

Een update is niet alleen op "Update" klikken

Goed onderhoud betekent meer dan controleren of er een nieuwe versie beschikbaar is. Een belangrijke update begint bij het beoordelen van de update zelf: is het een gewone feature-update, een bugfix, een beveiligingspatch, of gaat het om een actief misbruikte kwetsbaarheid? Daarna volgt de uitvoering, en vervolgens de controle.

Na een belangrijke update moet de website zelf worden bekeken — een succesvolle update in de administrator betekent namelijk niet automatisch dat alles voor bezoekers nog precies hetzelfde werkt:

• ✓Werken de menu's nog?
• ✓Zijn formulieren intact?
• ✓Is de mobiele weergave correct?
• ✓Werken scripts en video's nog?

Beveiliging in lagen

Wat helpt tegen dit soort dreiging is geen enkele tool of enkele maatregel. Wat helpt is een reeks die samen werkt:

• 01
  Snel patchenHoe korter het venster tussen release en installatie, hoe kleiner het risico dat exploit-scripts jou vinden voordat jij ze voor bent. Niet iedere update heeft dezelfde urgentie — sommige vereisen direct actie, andere kunnen verantwoord worden gepland.
• 02
  Actieve monitoringEen scanner die regelmatig controleert of er iets is veranderd wat er niet hoort te zijn, signaleert een probleem vaak voordat een bezoeker het ontdekt. Monitoring vervangt onderhoud niet — het is een extra laag die afwijkingen sneller zichtbaar maakt.
• 03
  Basale hardeningEen tweede inlog voor het admin-paneel, sterke wachtwoorden die periodiek roteren, en uitvoering van code blokkeren op plekken waar dat niet hoort. Kleine ingrepen, groot effect.
• 04
  Backups die daadwerkelijk bruikbaar zijnEen backup is pas waardevol als je erop kunt vertrouwen dat je 'm ook kunt terugzetten. Niet alleen maken, maar ook weten waar hij staat, hoe recent hij is, en wat te doen wanneer herstel nodig is.
• 05
  Discipline in wat je installeertIedere extensie vergroot het technische oppervlak van een website. Wacht bij beveiligingsproblemen op officiële patches — noodoplossingen kunnen op termijn tegen je werken: bestanden die niemand onderhoudt blijven staan, conflicteren met latere updates, of ondermijnen juist de bescherming die ze ooit boden.
• 06
  Controle na iedere belangrijke wijzigingEen update is pas klaar wanneer gecontroleerd is of de website nog goed functioneert. Een site kan technisch succesvol zijn bijgewerkt en toch ergens een formulier, menu of responsive element hebben dat niet meer correct werkt.

Niet iedere update is hetzelfde

Een kleine extensie-update kan in enkele minuten klaar zijn. Een update van de CMS-core verdient meer aandacht, en een update van een template of framework dat de volledige frontend aanstuurt kan nog belangrijker zijn. Professioneel onderhoud bestaat daarom niet uit het blind installeren van iedere beschikbare update — het bestaat uit beoordelen, voorbereiden, uitvoeren en controleren. Dat kost soms vijf minuten, soms een half uur, en soms aanzienlijk langer wanneer een update onverwachte gevolgen heeft.

Waarom "veiligheid" geen product is

De verleiding is groot om te denken dat je met de juiste extensie of het juiste abonnement "veilig" bent. Zo werkt het niet. Een tool die je vandaag installeert en morgen vergeet, biedt over drie maanden dezelfde bescherming als een slot dat niet meer wordt onderhouden. Een firewall is geen onderhoudsplan. Een scanner is geen backup. Een backup is geen patch. En een actuele CMS-versie betekent niet dat alle geïnstalleerde extensies ook actueel zijn.

Wat werkt is een proces. Iemand die meekijkt. Iemand die weet welke versies er op welke site draaien. Iemand die reageert wanneer er iets verandert. Beveiliging is niet iets dat af is; het is iets dat je onderhoudt zoals je onderhoud pleegt aan alles wat waarde heeft.

Het werk dat je meestal niet ziet

Dat is misschien wel het meest onderschatte onderdeel van websiteonderhoud. Wanneer alles goed gaat, ziet een klant vaak helemaal niets: geen melding, omdat een beveiligingslek op tijd is gedicht. Geen storing, omdat een update eerst is getest. Een onbekende wijziging die verdwijnt voordat iemand hem ziet. Een verouderde extensie die is bijgewerkt voordat er een probleem ontstaat. Een backup die klaarstaat zonder ooit nodig te blijken. Dat onzichtbare werk is precies waar onderhoud zijn waarde bewijst.

Voor sitebeheerders én klanten