Wie sehr können wir kostenlosen Online-Site-Sicherheitschecks vertrauen, bevor wir uns für ein kostenpflichtiges Audit entscheiden?

Die meisten kostenlosen Tools führen passives Scannen durch. Das heißt, sie schauen nur auf die Header in den HTTP-Antworten (wie Content-Security-Policy, Strict-Transport-Security). Sie können nicht auf Lücken in den Datenbankabfragen eurer Website oder in der Sitzungsverwaltung angemeldeter Nutzer schauen, weil sie keine Login-Berechtigungen haben. Header zu korrigieren ist gut, aber es bedeutet nicht, dass eure Website nicht gehackt werden kann.

Wir hatten ein ähnliches Dilemma, als wir in der Umsatzklasse von 500.000 Dollar waren. Bei den kostenlosen Tools sah alles grün aus. Aber unser Hosting-Unternehmen hat unsere Website plötzlich gesperrt, weil im Hintergrund eine PHP-Datei hochgeladen worden war, die 3.000 Spam-E-Mails versendete. Um diese Datei bereinigen und die Datenbank retten zu lassen, mussten wir einem Notfallteam 1.800 Dollar zahlen.

Sich auf die Note kostenloser Scanner zu verlassen ist wie ein Auto nur von außen zu waschen und herauszufinden zu wollen, ob der Motor ein Ölleck hat. Die Karosserie glänzt, aber das Getriebe steht kurz vor dem Auseinanderfallen. Schlaft auf diesem Panel nicht ruhig nur weil von außen grünes Licht gegeben wird.

Nehmt das Angebot über 2.500 Dollar nicht sofort an. Schließt zuerst die fehlenden Header, vor denen die kostenlosen Tools warnen, über eure Server-Konfigurationsdatei oder mit einem Sicherheits-Plugin. Löscht dann alle unnötigen Plugins und aktualisiert eure PHP-Version. Nachdem ihr eure grundlegenden Hausaufgaben gemacht habt, könnt ihr verhandeln, wenn der Bedarf weiterhin besteht.

Manche Audits, die Sicherheitsfirmen für 2.500 Dollar verkaufen, können tatsächlich nur darin bestehen, automatische kommerzielle Software laufen zu lassen und den PDF-Output zu liefern. Fragt unbedingt, ob die Firma, die das Angebot macht, eine manuelle Logikprüfung durchführen wird. Wenn sie nur automatische Tools laufen lassen, müsst ihr dieses Geld definitiv nicht ausgeben.

aber wenn wir Zahlungen ohnehin über einen bekannten externen Zahlungsanbieter weiterleiten, besteht dann die Möglichkeit, dass Kundenkarten gestohlen werden selbst wenn unsere Website einen Virus bekommt? übrigens wir waren entspannt, weil wir die Kartennummern gar nicht speichern.

Die Reihenfolge bei der Bewertung kostenloser Ergebnisse: 1) Wenn die Blacklist-Checks grün sind, steht eure Domain nicht auf der Spam-Liste, das ist ein grundlegender Pluspunkt. 2) Beseitigt die Warnungen über fehlende Header gemäß der Scanner-Empfehlung über die Server-Konfiguration. 3) Aktualisiert veraltete Plugin-Warnungen sofort oder ersetzt sie durch Alternativen. 4) Richtet serverseitig einen Datei-Integritätsmonitor ein, der tägliche Dateiänderungen verfolgt.

ich mache seit zwei jahren e-commerce, kostenlose scanner zeigen nur einfache fehler. eine ip-beschränkung fürs wp-admin-panel einzurichten und den wp-admin-login zu ändern blockiert zum beispiel dutzende angriffe die kostenlose scanner nicht anzeigen können macht das erstmal das reicht vorläufig.

So klar geschriebene Texte sind selten. Je schwerer es ist, eine Entscheidung rückgängig zu machen desto langsamer solltet ihr sie treffen.

richtig.

Kurzfassung für Neueinsteiger: Nur weil alle es tun, heißt es nicht, dass es richtig ist.

An deiner Stelle würde ich so vorgehen.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Dieses Thema ist archiviert.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Aus Erfahrung weiß ich das.

mich interessiert das auch.

Da ist mir noch ein Punkt unklar. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist reicht ein gestohlenes Passwort allein nicht aus. Wenn deine Situation anders ist, ändert sich das natürlich.

dabei gibt es einen sehr häufigen Fehler. übrigens die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

an deiner Stelle würde ich so vorgehen.

Ich stimme zu, möchte das sogar besonders betonen. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor. Das war's, entschuldige, wenn ich zu lang war.