Váš web môže byť kompromitovaný aj bez výpadku

Na firemnom webe môžu bežať skripty, ktoré Váš tím nevyvíja. Analytics, chat a ďalšie nástroje dostávajú prístup do prehliadača návštevníka. Ak sa niektorý z nich zmení alebo je kompromitovaný, dostupnosť webu Vám o tom nemusí nič povedať.

Ako vyzerá útok, o ktorom sa nedozviete

Pri útoku na dodávateľský reťazec môže byť napadnutý externý skript, ktorý web načítava. Útočník nekompromituje Váš web priamo. Stačí mu kompromitovať jednu z knižníc, na ktorej závisí niektorý z Vašich externých skriptov (chat widget, analytics, platobný formulár), a pridať do nej pár riadkov JavaScriptu, ktorý potichu kopíruje údaje z platobných formulárov a posiela ich na externý server.

Platba môže prejsť a stránka sa javí funkčná. Jediný rozdiel je, že číslo karty, CVV a meno, ktoré práve zadal, teraz pozná aj niekto ďalší.

A nie sú to len karty. Rovnaký princíp funguje na session tokeny (session hijacking) aj na prihlasovacie údaje. Inokedy útočník vybraných návštevníkov jednoducho presmeruje na phishingové stránky a niekedy neukradne nič, len Váš web ťaží kryptomeny v prehliadači návštevníkov. Web je pomalší, ale "funguje."

Vo všetkých týchto prípadoch web vyzerá normálne a dozviete sa to až z bankového reportu o podvodných transakciách. Alebo sa nedozviete vôbec.

Čo s tým robiť

Dve veci, ktoré by mal mať každý web s prihlasovaním alebo platbami: Content Security Policy (CSP) a Subresource Integrity (SRI).

CSP je HTTP hlavička, ktorá prehliadaču hovorí, odkiaľ smie načítavať skripty. Ak skript pochádza z neautorizovanej domény, prehliadač ho zablokuje.

Háčik je v tom, že väčšina webov CSP nemá vôbec. A tie, čo ho majú, často používajú unsafe-inline alebo unsafe-eval, čím môžu podľa konfigurácie oslabiť ochranu proti vloženému kódu.

Dobre nastavený CSP navyše nie je jednorazová vec. Mení ho každý nový widget.

SRI pridáva hash k externým skriptom, takže ak sa obsah skriptu zmení (napríklad po kompromitácii CDN), prehliadač ho odmietne spustiť. Jednoduché a účinné pre statické závislosti.

Ale aj s oboma potrebujete vedieť, čo sa na Vašom webe deje. Otvorte si v prehliadači Developer Tools a záložku Network a pozrite sa, koľko externých domén Váš web kontaktuje. Pri každej doméne zistite účel a človeka, ktorý za nástroj zodpovedá.

Monitoring potrebuje vlastníka a reakciu

Cloudflare sprístupňuje základné Client-Side Security na všetkých plánoch. Rozšírená detekcia škodlivých skriptov a podobné funkcie vyžadujú doplnok Client-Side Security Advanced.

Nastavte vlastníka upozornení a pravidlá eskalácie. Potom si overte, či detekcia na skriptoch Vášho webu naozaj zaberie. Detekcia potrebuje aj pravidelnú kontrolu a reakciu na hlásenia. Cloudflare Client-Side Security.

Po zavedení sledujte aj nesprávne upozornenia a upravte postup ich vyhodnocovania. Účinnosť nemožno odvodiť iba zo zapnutia služby.

Ak Vás téma kybernetickej bezpečnosti zaujíma hlbšie, písali sme o tom, ako AI mení phishing a deepfake útoky a aké phishingové kampane aktuálne cielia na slovenské firmy. Na strane infraštruktúry súvisí aj bezpečnosť CI/CD pipelines.

Ak Váš web používa skripty tretích strán, stojí za to vedieť, čo robia. Spravíme Vám bezpečnostný check a nastavíme CSP.