LightKeeper PRO / Ochrana webů
Ochrana webůÚtok na web zákazníka neprojde bez povšimnutí
Každý web na serveru je za webovým firewallem, běží ve vlastním izolovaném procesu a opakovaného útočníka zablokuje firewall serveru. Vy přitom vidíte, kdo útočí, na který web a čím.
ModSecurity s pravidly OWASP pro všechny weby
Webový firewall kontroluje každý požadavek dřív, než dorazí k PHP. Používá OWASP Core Rule Set, nejrozšířenější sadu pravidel proti útokům na webové aplikace.
- Blokuje podle skóre. Každé pravidlo přičte body a požadavek nad prahem se zastaví. Jeden podezřelý znak tak legitimní návštěvu nezablokuje.
- Zapíná se postupně. Web, kterému pravidla vadí, můžete nechat jen v režimu detekce, než ho doladíte. Ostatní weby mezitím blokují.
- Aktualizuje se sám. Nová verze pravidel se po ověření konfigurace automaticky načte.
- Hesla se nelogují. Do záznamu útoku se neukládá tělo požadavku, takže se do něj nedostanou hesla z přihlašovacích formulářů.
Od souhrnu ke konkrétnímu požadavku na pár kliknutí
Podle webu
Které weby jsou nejčastějším cílem a kolik útoků na ně firewall zastavil. Proklikem se dostanete ke všem událostem jednoho webu.
Podle IP adresy a země
Nejaktivnější útočníci se zemí původu podle databáze DB-IP. Graf zemí ukáže, odkud útoky přicházejí, kliknutím se podle země filtruje.
Podle pravidla
Která pravidla se spouštějí nejčastěji: SQL injection, XSS, přístup k systémovým souborům a další. U každé události je vidět, proč byla zablokovaná.
Opakovaný útočník skončí na firewallu
Na WAF navazuje fail2ban. IP adresa, kterou firewall opakovaně zablokuje, dostane ban na úrovni serveru a další požadavky už vůbec nedorazí na webový server.
- 10 blokací za 10 minut znamená ban na hodinu. Kdo se vrací, dostane jako recidivista ban na týden.
- Výjimky: vybrané země a adresy můžete z banů vyjmout, aby se nezablokovali vaši vlastní zákazníci.
- Odbanování jedním tlačítkem. Webové rozhraní nemá práva k firewallu, požadavek zpracuje server do minuty.
- Graf aktivních banů ukáže, kolik adres je právě zablokovaných a kolik z nich jsou recidivisté.
Napadení jednoho webu se nepřenese na sousední
Na sdíleném hostingu běží desítky až stovky webů vedle sebe. LightKeeper PRO je od sebe odděluje tak, aby se útočník z jednoho webu nedostal k dalším.
Vlastní PHP pool
Každý web s PHP běží ve vlastním procesu PHP-FPM s přístupem jen do svého adresáře a s vlastními limity paměti a procesů. Vytížený web nezahltí ostatní.
Zamčené společné pooly
Společné pooly jsou přístupné jen pro správce. Zákazník si přes .htaccess nepřepne web do jiného poolu a přes .user.ini si nerozšíří přístup k souborům.
Žádné PHP v uploadech
Ve složkách pro obrázky, nahrané soubory, dočasné soubory a cache server PHP nespustí. Nahraný webshell tak nefunguje.
PHP od 5.6 po 8.5
Každý web má svou verzi PHP. Formulář upozorní, co se při změně verze může rozbít, a staré weby mohou běžet v kompatibilním režimu.
Vypnutí funkce mail()
Webu, který rozesílá spam, vypnete odesílání pošty z PHP jedním přepínačem. Ostatní weby to neovlivní.
Bezpečná konfigurace
Generátor konfigurace kontroluje každou hodnotu, než ji zapíše. Chybná konfigurace se nenasadí a server běží dál na poslední funkční.
Poznáte, který web server brzdí
Vytížení každého PHP poolu se zaznamenává každou minutu. Vidíte průměr, maximum, kolik minut byl pool na stropu procesů a jestli na něj čekaly požadavky.
- Graf celého serveru po pěti minutách a přehled poolů seřazený podle vytížení.
- Upozornění e-mailem, když web vyčerpá povolený počet procesů.
- Detail poolu s hodinovým průběhem a seznamem webů, které v něm běží.
Administrace, která sama nepředstavuje riziko
Bez práv správce serveru
Webové rozhraní běží pod vlastním neprivilegovaným uživatelem. Operace se soubory a službami provádí server sám a cestu si vždy odvodí z databáze, nikdy z požadavku webu.
Přístupové klíče
Přihlášení otiskem prstu, obličejem nebo bezpečnostním klíčem (passkeys, WebAuthn). Klíč nejde vylákat na podvodné stránce.
Auditní záznam
Každé přihlášení, změna nastavení nebo prověření podezřelého souboru se zapíše i s tím, kdo ho provedl.