Security

In der digitalen Welt sind regelmässige Aktualisierungen in Form von Software-Updates unverzichtbar. Jede neu detektierte Sicherheitslücke, birgt ein potenzielles Risiko. Software-Updates sind die Antwort der Entwickler auf diese Bedrohungen, und verhelfen Websites dazu deren Schutz aufrecht zu halten. Nachlässigkeit in diesem Bereich, öffnet Cyberkriminellen alle Pforten. Veraltete Installationen bedeuten für Angreiffer meist nur noch marginalen Aufwand um sich unerlaubt Zugriff zu verschaffenen und die Umgebung dann als Plattform für weitere bösartige Attacken zu missbrauchen. Oft sind solche Instanzen darüber hinaus auch noch sehr simpel aufzuspüren. Alles in Allem gesehen, bietet sich damit dem potentiellen Angreiffer ein leichtes, äussererst attraktives Ziel.

Egal ob eCommerce-Lösungen, wie Magento, Shopware, JTL, WooCommerce (WordPress), ..., oder Content Management Systemen (CMS), wie etwa WordPress, Typo3, Drupal, Joomla, ..., bei deren Verwendung ist immer sicher zu stellen, dass stets die neueste Version installiert ist. 

Bei WordPress etwa lässt sich dies für Sicheheitsupdates und PlugIns automatisieren. Grössere Versionssprünge erfordern allerdings meist dennoch ein manuelles Eingreiffen. Bei anderen CMS und basierend auf deren jeweiligen Zusammenstellung der Komponenten, ist dies von Fall zu Fall unterschiedlich. Nicht immer ist garantiert, dass alle eingestzten Themes, Erweiterung, Extensions, Plug-Ins, etc., in ihrem angedachten Zusammenspiel auch in neueren Version jeweils einwandfrei funktionieren. Auch die Kompatibilität aller einzelnen Komponenten zu der, auf dem Server eingesetzten, PHP-Version kann in diesem Kontext entscheidend sein. All diese, applikatorisch bedingten, Fragestellungen sind jeweils daher nur durch die jeweils verantwortliche Entwicklerperson zu beantworten. Deshalb liegt der Lead für diese Aktualisierungsarbeiten auch jeweils bei dieser zuständigen Stelle, repektive letztlich beim Betreiber/Inhaber. 

Zusätzlicher Hinweis

Die Aktualisierung einer produktiven Umgebung ist wie eine Operation am offenen Herzen. Gerade etwa im eCommerce-Beriech bedeutet ein Ausfall, auch das Ausbleiben des Umsatzes.Trotz regelmässiger BackUps, empfiehlt Trendhosting unmittelbar vor der jeder Aktualisierung immer durch Trendhosting (support@trendhosting.ch) ein AdHoc BackUp von File und/oder Datenbank ziehen zu lassen. Sollte das Update nicht zum erwarteten Erfolg führen, kann damit umgehend der vorherige Stand wieder hergestellt werden und die allfällige Ausfallzeit wird auf das Minimum reduziert. Dieser Service ist für Trandhostingkunden natürlich kostenlos.

Bei Custom-Made-Applikationen kann letztlich nur deren Entwickler dafür sorgen, dass keine Lücken bestehen. Es obliegt daher auch dieser Stelle für Bereitstellung, wie auch Implementierung allfällig notwendiger Patches zu sorgen. Bei Fragen oder erforderlichen serveradministrativen Eingriffen unterstützt Sie Trendhosting dabei natürlich sehr gerne. 

Ungenutzte Installation und Plugins sind nicht nur unnötiger Daten-Ballast für den schuftenden Webserver, sondern geraten auch schon schnell einmal in Vergessenheit. Damit stellen sie ein Sicherheitsrisiko dar. Grundsätzlich kann jedes File auf Ihrem Webserver eine potenzielle Sicherheitslücke beinhalten. Besonders veraltete Stageinstanzen, überflüssige Testumgebungen oder nicht (mehr) genutzte PlugIns sind geradezu Einladungen für böswillige Übeltäter. 

Durch eine entsprechende Bereinigung können solche, unnötige Risiken jedoch sehr einfach und effizient vermieden werden. Mit Bereinigung ist die vollständige Löschung dieser obsoleten Daten gemeint. Empfehelnswert ist hierfür dies durch die zuständige Entwicklerperson in regelmässigen, zeitlich angemessenen Abständen prüfen und ggf. ausführen zu lassen. 

Toller Nebeneffekt: Das Pay-Per-Use-Verrechnungsmodell des Trendhosting Enterprise Cloud Hostings belohnt seinen Kunden diese "Heldentat" mit einer tieferen Monatsrechnung der Kosten für den optimierten, sprich geringeren Speicherplatz.

Sind die eingesetzten Passwörter sicher? Starke Passworter stellen eine der simpelsten, aber effektivsten Schutzmassnahmen dar. Eine Kombination aus Buchstaben, Zahlen und Sonderzeichen, in angemessenen Länge, geheim gehalten (Zugangsdaten niemals als einfachen, unverschlüsselten Text oder etwa in einem PDF in einem E-Mail versenden, Herausgabe nur an berechtigte, verifizierte, Personen, ...) und regelmässig geändert. Jeder ist sich heute dessen bewusst, doch gerade etwa Letzterem wird meist zu wenig oder sogar gar keine Beachtung geschenkt. Doch es zahlt sich aus, JEDEM dieser Punkten nachzukommen.

Zur Erstellung & Verwaltung von Passwörtern, ist dies ja heutzzutage nicht immer übersichtlich, stehen verschiedenste Tools (z.B. Keeper, RoboForm, Passbolt, Google Passwordmanager, ...) zu Verfügung. Natürlich stellt die adäquate Evaluation und Implementierung jeweils einen kleinen Aufwand dar, wenn man jedoch den resultierenden Nutzen betrachtet, empfiehlt sich der initiale Effort. 

Wo immer möglich sollten auch erweiterte Authentifizierungsmethoden genutzt werden. So bietet Trendhosting etwa für seine Enterprise Cloud Nutzer eine Zweifaktor-Authentifizierung für das Benutzerinterface oder etwa auch die Authentifizierungen mittels Schlüsselpaar für SFTP und SSH an.

Verschlüsselungen von Datenübertragungen gelten heute als Standard. Dennoch ist es erstaunlich, wie viele Menschen auch heute noch ungeschützt und unverschlüsselt, in reinem Text E-mails übertragen und somit sorgenlos, selbst sensible Daten, quasi "in einem Schaufenster an der frequentiertesten Fussgängerzone, beim Hauptbahnhof zur Schau stellen". Die Integrität solch empfangener Daten ist äusserst fraglich, könnten diese doch mitgelesen, aber auch abgefangen und/oder verändert werden. Es empfiehlt sich also, überall wo es geht eine angemessene Verschlüsselung einzusetzen.

Trendhosting setzt hierbei auf verschiedenste modernste Krypto-Technologien. Mehr dazu erfahren…

Für die verschlüsselte Übertragung von Dokumenten und/oder sensiblen Daten, mit seiner Kundschaft empfiehlt Trendhosting die Nutzung des TrendhostingBins. Diesen Service finden Sie hier. Er ist sehr einfach in der Nutzung, Text erstellen, ggf. Datei anhängen, Optionen (Ablaufzeit, unmittelbare Löschung nach lesen, Format) festlegen und mit Senden bestätigen. Der generierte Link kann danach mittels E-Mail versendet werden.

Praktisch jedem sind sie bekannt, doch konsequente Umsetzung: Fehlanzeige: Regelmässige Backups - Erst nach einem Vorfall wird klar, wie wichtig eine konsequent umgesetzte regelmässige Datensicherung ist.

Trendhostingkunden stehen diesbezüglich auf der sorgenfreien Sonnenseite - Jede Nacht wird bei sämtliche Umgebungen ein FullBackUp (DB und Files) gemacht und retundant in dreifacher Ausführung, an zwei verschiedenen Orten verschlüsselt gespeichert. Die Retentionszeit (Dauer der Aufbewahrung) beträgt 20 Tage. Mehr erfahren….

Grundsätzlich bietet Trendhosting seinen Kunden stets serverseitig stabile und sichere Plattformen, mit allen entsprechend erforderlichen Features an. Nicht desto trotz gibt es aber macnchmal auch Gründe eine Applikation darüber hinaus noch erwitert, also zusätzlich zu schützen. Der Markt bietet hierfür eine riesige Angebotspalette an kommerziellen, aber auch kostenfreien Varianten, automatisierte oder teil automatisiert, Malware- & Vulnerability-Scanner, -Solutions, -Enigines, und, und, und ... . Jede dieser Softwaren hat sicher seine Berechtigung, resp. Vor- und Nachteile. Wichtig ist es jedoch, wie bei allen wirtschaftlichen Überlegungen, vor deren Anschaffung den effektiven Mehrwert und die Bedienbarkeit zu prüfen, bevor man entsprechende Ausgaben tätigt.

Auch eine regelmässige Prüfung durch externe spezialisierte Experten würde natürlich zusätzlich fundierte Ergebnisse und ggf. Ansatzpunkte zur allfälligen Verbesserung des Schutzes, zur Härtung der Systeme usw. liefern. Solche Services gehen meist jedoch mit höheren Kosten einher und somit gilt es auch hierbei, vorab immer die wirtschaftlichen Überlegungen hinsichtlich des Verhältnis von Aufwand & Nutzen, z.B. anhand einer Risikoanalyse (Szenario, Eintrittswahrscheinlichkeit, Schadenausmass, ...) und basierend auf der grundsätzlichen Erfordernis (z.B. Compliance) zu prüfen.

Eine weitere, sehr zu emfehlende Massnahme, ist jedoch die Einbindung einer security.txt Datei auf Ihrer Webseite. Diese definiert einen Standard, der Organisationen dabei hilft, den Prozess für Sicherheitsforscher zu definieren, um Sicherheitslücken sicher offenzulegen und die Kontaktaufnahme zur zuständigen Person, zu vereinfachen. Damit stellt sie sicher, dass im Falle durch ethical Hacker gefundene Schwachstellen, so schnell wie möglich geschlossen werden können. Um dies umzusetzen, müssen Sie vorab die erforderlichen Daten zusammenstellen, respektive am besten eine kleine Richtlinie definieren, wie Sie dies in ihrem Unternehmen handahben möchten. Die erfordrlichen Daten sind meist: Verlinkung, Kontaktangaben, gewünschte Sprache, Verschlüsselung, Verdankung/Belohnung, Richtlinie.  Um die Attraktivität für die Ethical Hackers zu erhöhen, kann zusätzlich zur Verdankung (einfache Seite mit der Aufführung der helfenden Inputgeber), auch eine BugBounty Programm initiert werden. 

Die Empfehlungen des Schweizerischen Bundesamtes BACS, hinsichtlich security.txt, weiterführende Informationen, sowie eine Anleitung finden Sie unter: www.ncsc.admin.ch/ncsc/de/home/infos-fuer/infos-unternehmen/aktuelle-themen/security-txt.html. Trendhosting unterstützt Sie natürlich bei der entsprechenden Einrichtung im richtigen Verzeichnis Ihrer Webinstanz.