Les sites Web sont des outils puissants qui peuvent faire beaucoup de bien à votre organisation, mais ils peuvent également vous exposer, vous et vos visiteurs, à des risques de sécurité. Quatre sites Web sur cinq présentent des vulnérabilités ou ont déjà exposé leur entreprise et leurs visiteurs à des codes malveillants, des virus et d’autres activités cybercriminelles dans le passé. Et bien que tout le monde sur le Web doive toujours être prudent, les propriétaires d’entreprise ont la responsabilité supplémentaire d’assurer la sécurité des données. Protégez votre site (et vos clients) contre les sept piratages courants de cette infographie. Et alerte spoiler : il y a une version textuelle ci-dessous.
- Script intersite (XSS) Les attaques se produisent généralement lorsque des pirates injectent un code malveillant dans une application pour tenter de transmettre le script à des utilisateurs finaux peu méfiants. Les pirates construisent un fil-piège pour les visiteurs, en utilisant leur script malveillant pour récolter des informations d’identification et des informations personnelles afin de se faire passer pour des utilisateurs connus.
- Attaques DDOS perturber la capacité d’un serveur à fonctionner normalement. Ces attaques inondent le serveur de requêtes légitimes au-delà des capacités de mise à l’échelle jusqu’à ce que le site finisse par planter.
- Attaquants WordPress Exploitez les vulnérabilités du code ou les faiblesses des plugins. Les attaques par force brute – où les pirates accèdent en essayant des milliers de combinaisons de mots de passe jusqu’à ce qu’ils « devinent » la bonne combinaison pour accéder à votre site – sont un problème connu pour les sites Web WordPress. Une fois à l’intérieur, ils modifient les autorisations, injectent du code malveillant et perturbent les processus normaux.
- Cyberattaques qui visent à inciter les visiteurs à effectuer une certaine action, comme cliquer sur un bouton, saisir des informations spécifiques ou visiter des pages cibles pour y accéder afin d’injecter du contenu malveillant précisément là où il fera le plus de mal. Les attaques d’ingénierie sociale sont très difficiles à contrôler.
- Le détournement de clic, où les attaquants utilisent des couches invisibles ou opaques pour inciter les visiteurs d’un site Web à cliquer sur une couche sans le savoir, déclenche un script ou une chaîne de code malveillant.
- L’empoisonnement du cache DNS détourne le trafic des serveurs légitimes vers de faux sites Web (et serveurs) qui se répliquent d’un site à l’autre ou d’un serveur à l’autre.
- Symlinking Il s’agit d’un stratagème dans lequel des cybercriminels s’introduisent dans un site vulnérable pour obtenir un accès root à l’ensemble du serveur. Une fois qu’ils ont réussi à entrer, ils peuvent potentiellement fermer tous les sites Web du serveur.
Comment assurer la sécurité de votre site
Avec autant de types d’attaques différents, que pouvez-vous faire pour protéger vos actifs et votre réputation ?
Faire:
- Mettez à jour tous les logiciels et correctifs rapidement. Les mises à jour logicielles permettent d’éliminer les vulnérabilités connues.
- Tirez parti des fonctionnalités de sécurité du système d’exploitation qui prennent en charge un protocole d’authentification rigoureux.
- Mettez en œuvre des politiques de protection par mot de passe qui incluent l’authentification en deux étapes.
- Verrouillez les fichiers et dossiers privés pour limiter l’accès si un pirate informatique accède au réseau.
- Soyez très vigilant quant aux sites Web que vous visitez, en particulier lorsque vous surfez avec des identifiants de compte administratifs.
- Publiez une politique de confidentialité pour informer les consommateurs des données que vous collectez et de ce que vous avez l’intention d’en faire.
- Déployez des pare-feu de nouvelle génération, des techniques de sandboxing et d’autres protocoles de sécurité avancés pour protéger les périmètres externes et internes.
- Téléchargez des logiciels anti-espions et antivirus sur tous les appareils connectés à votre réseau.
- Sauvegardez fréquemment et envisagez un stockage hors site.
Ne pas:
- Faites confiance aux données de l’utilisateur. Supprimez tout le code HTML avant de transmettre les données de l’utilisateur.
- Cliquez sur les liens ou les pièces jointes inclus dans les e-mails provenant de sources inconnues.
- Cliquez sur les fenêtres contextuelles (y compris l’onglet de fermeture) provenant de sources suspectes. Juste de retour hors de la page.
- Utilisez des téléchargements gratuits (sauf si vous êtes sûr que la source est digne de confiance).
- Faites vos achats sur un site qui n’affiche pas de signaux SSL. Recherchez « https », le petit cadenas sur le côté gauche de l’URL et un fond vert dans la barre d’adresse.
- Fournissez des conseils qui pourraient aider les pirates à deviner les mots de passe et les noms d’utilisateur.
- Collecter des données inutiles qui peuvent être détournées pour mettre en œuvre un schéma XSS.
Gérer les conséquences d’une violation de la sécurité
Si vous découvrez que votre site web a été victime de pirates informatiques ou si un employé télécharge accidentellement un fichier infecté par un logiciel malveillant, vous devez immédiatement :
- Isolez le problème.
- Purgez les fichiers et dossiers infectés.
- Téléchargez des outils pour nettoyer vos fichiers – n’oubliez pas de ne télécharger qu’à partir d’un site en lequel vous faites entièrement confiance ou que des sources fiables ont recommandé.
- Reconnaissez la situation – sans trouver d’excuses – auprès de vos clients dès que possible. Expliquez-leur ce qui s’est passé, dites-leur quelles mesures ils peuvent prendre pour se protéger et dites-leur exactement ce que vous faites pour atténuer les dommages et prévenir des événements futurs.
La création d’un site Web WordPress axé sur la sécurité est un moyen de se forger une solide réputation auprès de vos clients et des visiteurs du site. Assurez-vous de choisir un partenaire d’hébergement Web qui prend votre sécurité aussi au sérieux que vous.
