Verdieping

Beveiliging is een proces

Zero-days in CMS-extensies zijn geen zeldzaamheid — ze duiken geregeld op, in populaire page builders, template-frameworks, en zelfs in de core van veelgebruikte CMS'en. Het patroon is vrijwel altijd hetzelfde: kwetsbaarheid ontdekt, exploit-scripts binnen dagen actief, en een golf van geautomatiseerde aanvallen die het internet afzoekt naar sites die nog niet geüpdatet zijn.

De meeste gehackte sites zijn technisch prima. Wat er misging is meestal een kwestie van timing: het venster tussen "lek publiek bekend" en "site veilig geüpdatet" was te lang. Soms omdat de patch nog niet beschikbaar was, soms omdat er te lang gewacht werd met installeren. In beide gevallen is één ding zeker: een dag of een week is meer dan genoeg voor exploit-scripts om hun werk te doen.

De illusie van "site opgeleverd"

In de klassieke freelance-praktijk werk je in projecten: ontwerp, bouw, oplevering, factuur. Daarna gaat een site vaak een fase in waarin er niet meer structureel naar wordt gekeken. Ondertussen verandert de wereld eromheen. Extensies krijgen updates, kwetsbaarheden worden ontdekt, aanvalstechnieken evolueren.

De site zelf verandert niet — wat verandert is dat de rest van het internet niet stilstaat.

Beveiliging in lagen

Wat helpt tegen dit soort dreiging is geen enkele tool of enkele maatregel. Wat helpt is een reeks die samen werkt:

• 01
  Snel patchenHoe korter het venster tussen release en installatie, hoe kleiner het risico dat exploit-scripts jou vinden voordat jij ze voor bent.
• 02
  Actieve monitoringEen scanner die dagelijks controleert of er iets is veranderd wat er niet hoort te zijn, en die alarm slaat voordat er schade ontstaat.
• 03
  Basale hardeningEen tweede inlog voor het admin-paneel, sterke wachtwoorden die periodiek roteren, en uitvoering van code blokkeren op plekken waar dat niet hoort. Kleine ingrepen, groot effect.
• 04
  Discipline in wat je installeertWacht op de officiële patches. Noodoplossingen kunnen op termijn tegen je werken: bestanden die niemand meer onderhoudt blijven op je server staan, conflicteren met latere updates, of ondermijnen juist de bescherming die ze ooit boden.

Waarom "veiligheid" geen product is

De verleiding is groot om te denken dat je met de juiste extensie of het juiste abonnement "veilig" bent. Zo werkt het niet. Een tool die je vandaag installeert en morgen vergeet, biedt over drie maanden dezelfde bescherming als een slot dat niet meer wordt onderhouden.

Wat werkt is een proces. Iemand die meekijkt. Iemand die weet welke versies er op welke site draaien. Iemand die reageert wanneer er iets verandert. Beveiliging is niet iets dat af is; het is iets dat je onderhoudt zoals je onderhoud pleegt aan alles wat waarde heeft.

Voor sitebeheerders én klanten