Rivalry2

HTML Diff

0 added 0 removed

Original 2026-01-01

Modified 2026-02-26

1 <p>Ранее мы разобрались в видах услуг хостинга и<a>рассказали</a>, как выбрать подходящую именно для вашего проекта. Наиболее популярной считается виртуальный хостинг (shared hosting) - когда на одном физическом сервере размещено множество услуг клиентов. Это позволяет оптимизировать мощности сервера и сохранить доступные цены для любого пользователя. Производительности shared-хостинга обычно достаточно небольшим сайтам, хотя диапазон тарифов рассчитан как на маленькие проекты, так и на серьёзные магазины на 1С-Битриксе.</p>

2 <p>При таком устройстве хостинга важен высокий уровень безопасности для каждого клиента: изоляция файлов друг от друга, антивирусная защита, резервное копирование. Сегодня узнаем, как всё устроено<a>на примере REG.RU</a>, и какие самые главные критерии надёжности для провайдера. Рассказывает специалист службы технической поддержки хостинга REG.RU Семён М.</p>

3 <h2>Содержание</h2>

4 <ul><li><a>Как устроена безопасность хостинга REG.RU</a></li>

5 <li><a>Почему этих инструментов может быть недостаточно для защиты сайтов</a></li>

6 <li><a>На что обратить внимание при выборе хостинг-провайдера?</a></li>

7 </ul><h2>Как устроена безопасность хостинга REG.RU</h2>

8 <h3>Дата-центры</h3>

9 <p>Любая информационная безопасность начинается с физической защиты. Серверы хостинга находятся в охраняемых дата-центрах. Физический доступ к ним есть только у сотрудников. Кроме того, ЦОДы защищены от отключения питания и отказа оборудования, имеют специальные системы вентиляции и пожаротушения. Все важные узлы резервируются: если вышел из строя один, его заменит дублёр.</p>

10 <h3>Изоляция услуг хостинга</h3>

11 <p>На одном сервере может быть расположено множество услуг хостинга, которые заказали разные клиенты. Но каждый из них имеет доступ только к своим файлам. Основа для этого - механизм распределения прав, который предоставляет операционная система Linux.</p>

12 <p>Каждый файл и директорию в Linux можно настроить на чтение и запись. Доступ отдельно настраивается для:</p>

13 <ul><li>владельца файла;</li>

14 <li>групп пользователей, в которые входит владелец;</li>

15 <li>всех остальных.</li>

16 </ul><p>Для каждого клиента на сервере создан отдельный пользователь операционной системы. Права доступа настроены так, что ни заглянуть в чужие файлы, ни записать туда ничего не получится.</p>

17 <p>Такой механизм распределения прав невероятно гибкий, он позволяет настроить доступ в системах любого масштаба.</p>

18 <p>Процессы пользователей, в том числе и обработчики PHP, изолированы - каждый может управлять только своими процессами. Использование memcached, который доступен на VIP-тарифах хостинга, безопасно - для каждого пользователя выделен свой экземпляр и используется отдельный порт.</p>

19 <h3>SSL</h3>

20 <p>SSL-сертификат (Secure Sockets Layer) необходим для работы протокола HTTPS. Благодаря сертификату обмен данными между клиентом и сервером шифруется. Также SSL подтверждает подлинность сайта, к которому подключается пользователь. И сегодня это обязательный элемент каждого современного ресурса.</p>

21 <p>Для любого сайта на хостинге REG.RU можно заказать и установить SSL-сертификат понравившегося удостоверяющего центра, в том числе бесплатный от Let’s Encrypt, или получить бесплатно на 1 год сертификат от GlobalSign вместе с доменом.</p>

22 <h3>Автоматически сгенерированные пароли</h3>

23 <p>На хостинге REG.RU пароли для прикладных служб генерируются автоматически. Автоматически созданные пароли содержат специальные символы, цифры и буквы разного регистра. Такой способ позволяет создать устойчивый к подбору пароль, не задумываясь о принципах криптографии.</p>

24 <h3>Антивирусная защита</h3>

25 <p>В коде сайта, как и в любом программном коде, могут быть уязвимости, через которые он может быть заражён вредоносным ПО. Важно вовремя заметить заражение и принять меры. Чтобы сделать это - нужен антивирус.</p>

26 <p>На хостинге REG.RU используется решение от Virusdie. Сканирование файлов пользователя проходит ежедневно, а если найдено вредоносное ПО - пользователь получит уведомление об этом с рекомендациями по дальнейшим действиям.</p>

27 <p>Кроме проверки и уведомления, антивирус может "‎лечить" заражённые файлы - удалять из них вредоносный код и восстанавливать повреждённые участки. Несмотря на возможности антивируса, возникают ситуации, когда файлы вылечить нельзя. В этом случае нужно восстановление сайта из резервной копии.</p>

28 <h3>Google Safe Browsing</h3>

29 <p>Дополнительно к антивирусной защите на хостинге REG.RU настроен мониторинг заблокированных сайтов в Google Safe Browsing. Принцип работы системы: находить вредоносные веб-ресурсы и показывать предупреждения в результатах поиска или в браузере, чтобы защитить пользователей.</p>

30 <p>Если сайт клиента попадет в список небезопасных сайтов Google Safe Browsing, на контактный email придёт сообщение с рекомендациями по устранению проблемы.</p>

31 <h3>Резервное копирование</h3>

32 <p>На shared-хостинге REG.RU работает автоматическое резервное копирование. Бэкапы хранятся на отдельных серверах, которые не зависят от серверов хостинга. В копии сохраняются все файлы сайтов и базы данных. Каждая резервная копия создаётся в начале суток по московскому времени. Таким образом, сохраняются все изменения за прошедший день.</p>

33 <p>Пользователь может восстановить сайт из бэкапа или скачать архив на свой компьютер. Каждая резервная копия хранится в течение 30 дней, затем безвозвратно удаляется.</p>

34 <h3>Защита от DDoS-атак</h3>

35 <p>DDoS-атака - распределённая атака на сервер, которая приводит к отказу в обслуживании. Как результат - неработающий или работающий с перебоями сайт. Самая распространённая причина DDoS-атак - конкуренция. Не попадая на желаемый сайт, клиент уходит на доступный сайт конкурента, а администратор пострадавшего ресурса теряет деньги.</p>

36 <p>Так как на одном физическом сервере хостинга находится множество сайтов, защита от DDoS крайне важна. Атака на один ресурс не должна влиять на все остальные.</p>

37 <p>DDoS-атака может происходить как на низком, так и на высоком уровне модели OSI. Низкоуровневая DDoS-атака проходит на сетевом и транспортном уровне (третьем и четвертом). Для этого вида атак злоумышленник использует несовершенства сетевых протоколов. На хостинге REG.RU защита от низкоуровневых атак работает постоянно.</p>

38 <p>Высокоуровневая DDoS-атака проходит на сеансовом и прикладном уровнях (пятом и седьмом). Чаще всего такие атаки похожи на большое количество обращений от пользователей, поэтому защиту необходимо подключать отдельно для каждого сайта. Если атака будет мощной и повлияет не только на доступности сайта, но и на производительности сервера, провайдер может ограничить доступ к сайту до завершения атаки или до момента, пока клиент не подключит защиту.</p>

39 <h3>Web Application Firewall</h3>

40 <p>В качестве Web Application Firewall на хостинге REG.RU используется ModSecurity c платными правилами от ведущих компаний в сфере кибербезопасности. Web Application Firewall фильтрует атаки на сайты пользователей, которые направлены на уязвимости популярных CMS (Joomla, Wordpress, Bitrix, OpenCart и так далее).</p>

41 <p>К таким атакам относятся, например, SQL-инъекции. Этот метод атаки позволяет выполнить произвольный SQL-запрос к базе данных сайта. Последствия могут быть серьёзными - от кражи данных и взлома админки сайта до полного удаления всех данных из базы.</p>

42 <p>ModSecurity отслеживает HTTP-трафик и анализирует события в реальном времени. Используемые на уровне HTTP-сервера фильтры справляются с различными угрозами, такими как: межсайтовый скриптинг, подстановка SQL-запросов, CSRF, подстановка JavaScript-блоков на страницы и другие.</p>

43 <h3>Fail2Ban</h3>

44 <p>Это программное средство для предотвращения атак методом полного перебора (brute force). Часто используется для защиты SSH и FTP, может быть настроено и для защиты других служб. Принцип работы Fail2Ban прост - он сканирует логи, и если обнаруживает несколько попыток входа с неправильными логином и паролем, временно блокирует доступ с IP-адреса атакующего.</p>

45 <p>Несмотря на простоту, такой метод защиты очень эффективен - подобрать пароль становится намного сложнее. У Fail2Ban есть побочный эффект - если пользователь просто забыл пароль и пытается его вспомнить, перебирая возможные варианты, ему также будет временно закрыт доступ.</p>

46 <h2>Почему этих инструментов может быть недостаточно для защиты сайтов</h2>

47 <p>Мы перечислили инструменты, которые используем для безопасности сайтов наших клиентов. Но если пользователь сам не соблюдает базовые правила безопасности, эффективность защиты снижается. Это как пристегнуть ремни в машине: без этого просто не получится обезопасить себя во время поездки. Поэтому можно выделить несколько простых правил, соблюдая которые вы максимально обезопасите свой сайт от взлома, а себя от потери данных.</p>

48 <h3>Простые правила безопасности для вашего сайта</h3>

49 <p>Используйте корректные права на директории и файлы сайтов: стандартные права "‎644"‎ для файлов и "‎755"‎ для директорий. Их достаточно для корректной работы скриптов сайта. Не используйте права "777"‎. Такие атрибуты - потенциальная уязвимость, они дают широкие возможности для вредоносного ПО.</p>

50 <p>Всегда используйте последнюю версию CMS, темы и плагинов. Своевременно устанавливайте обновления - в них разработчики закрывают уязвимости, что увеличивает безопасность сайта.</p>

51 <p>Плагины и темы нужно устанавливать только из официальных источников. Часто во "взломанных" версиях встречаются вредоносные вставки.</p>

52 <p>Используйте SSL-сертификат для сайта и настройте перенаправление всех HTTP-запросов на HTTPS.</p>

53 <p>Регулярно проверяйте пароли в базе скомпрометированных. Если ваш пароль есть в базе, срочно смените его.</p>

54 <p>Пользуйтесь антивирусным программным обеспечением на локальном компьютере и регулярно обновляйте антивирусные базы.</p>

55 <p>Используйте только актуальные версии браузеров.</p>

56 <p>По возможности, вместо FTP используйте протокол SFTP. Постарайтесь полностью отказаться от FTP в будущем.</p>

57 <p>Не храните пароли в FTP-клиентах. Очень часто вирусы берут информацию из FTP-клиента. Эта информация потом может быть использована для взлома сайта.</p>

58 <h2>На что обратить внимание при выборе хостинг-провайдера?</h2>

59 <p>Обращайте внимание на несколько компонентов защиты, которые должны быть обязательными:</p>

60 <ul><li>надёжный дата-центр (ограниченный доступ, резервирование критических систем и т.п.);</li>

61 <li>изоляция услуг;</li>

62 <li>антивирусная защита;</li>

63 <li>защита от DDoS;</li>

64 <li>автоматическое резервное копирование (важный инструмент, который может стать последним бастионом при проблемах с сайтом).</li>

65 </ul><p>Остальные средства будут приятным бонусом и дополнительной защитой. Но всё это в совокупности с соблюдением базовых правил безопасности надёжно защитит ваш сайт.</p>