Váš web může být kompromitovaný i bez výpadku

Na firemním webu mohou běžet skripty, které váš tým nevyvíjí. Analytics, chat a další nástroje se spouštějí v prohlížeči návštěvníka. Pokud se některý změní nebo je kompromitovaný, dostupnost webu vám o tom nemusí nic říct.

Jak vypadá útok, o kterém se nedozvíte

Při útoku na dodavatelský řetězec může být napaden externí skript načítaný webem. Útočník nekompromituje váš web přímo. Stačí mu kompromitovat jednu z knihoven, na které závisí některý z vašich externích skriptů (chat widget, analytics, platební formulář). Do knihovny přidá pár řádků JavaScriptu, které potichu kopírují údaje z platebních formulářů a posílají je na externí server.

Platba může projít a stránka se jeví funkční. Jediný rozdíl je, že jeho číslo karty, CVV a jméno teď zná i někdo další.

A nejsou to jen karty. Stejný princip funguje na session tokeny (session hijacking), přihlašovací údaje, nebo prostě na přesměrování vybraných návštěvníků na phishingové stránky. Někdy útočník neukradne nic, jen váš web těží kryptoměny v prohlížeči návštěvníků. Web je pomalejší, ale "funguje".

Ve všech těchto případech web vypadá normálně. Dozvíte se to až z bankovního reportu o podvodných transakcích. Nebo se nedozvíte vůbec.

Co s tím dělat

Dvě věci, které by měl mít každý web s přihlašováním nebo platbami: Content Security Policy (CSP) a Subresource Integrity (SRI).

CSP je HTTP hlavička, která prohlížeči říká, odkud smí načítat skripty. Pokud skript pochází z neautorizované domény, prohlížeč ho zablokuje. Háček je v tom, že většina webů CSP nemá vůbec. A ty, co ho mají, často používají unsafe-inline nebo unsafe-eval, čímž mohou podle konfigurace oslabit ochranu proti vloženému kódu. Dobře nastavený CSP navíc není jednorázová věc. Mění ho každý nový widget.

SRI přidává hash k externím skriptům. Pokud se obsah skriptu změní (například po kompromitaci CDN), prohlížeč ho odmítne spustit. Jednoduché a účinné pro statické závislosti.

Ale i s oběma potřebujete vědět, co se na vašem webu děje. Otevřete si Developer Tools v prohlížeči, záložku Network, a podívejte se, kolik externích domén váš web kontaktuje. U každé domény zjistěte účel a vlastníka nástroje.

Monitoring potřebuje vlastníka a reakci

Cloudflare nabízí základní Client-Side Security ve všech plánech. Detekce škodlivých skriptů a související funkce vyžadují doplněk Client-Side Security Advanced.

Určete vlastníka upozornění, pravidla eskalace a ověřte detekci na skriptech svého webu. Detekce potřebuje také pravidelnou kontrolu a reakci na hlášení. Cloudflare Client-Side Security.

Po zavedení sledujte také nesprávná upozornění a upravte postup jejich vyhodnocování. Samotné zapnutí služby její účinnost neprokazuje.

Pokud vás téma kybernetické bezpečnosti zajímá hlouběji, psali jsme o tom, jak AI mění phishing a deepfake útoky a jaké phishingové kampaně aktuálně cílí na slovenské firmy. Na straně infrastruktury s tím souvisí i bezpečnost CI/CD pipelines.

Pokud váš web používá skripty třetích stran, stojí za to vědět, co dělají. Uděláme vám bezpečnostní check a nastavíme CSP.