Поговорим о безопасности хостингов: как я мог взломать десятки тысяч сайтов / Хабр

Что делать при низком аптайме

С помощью одной из вышеперечисленных программ вы выяснили, что на сайте понижен аптайм. Успокойтесь, отбросьте панику и попробуйте предпринять ряд шагов.

1. Перепроверьте аптайм несколько раз через разные сервисы – у каждого из них своя методика подсчёта, и это может серьёзно повлиять на результат. Для этого также могут помочь сервисы быстрой проверки аптайма, вроде Down For Everyone or Just Me, WHSR Uptime Checker, Are My Sites Up или Is Up.
2. Отправьте отчёты об ошибках на хостинг, свяжитесь с технической поддержкой сервера. Скорее всего, о проблеме уже знают и уже приступили к её устранению.
3. Если ваш сайт всё ещё недоступен, а техподдержка хостинга стыдливо молчит или шлёт отписки – особенно если такое происходит регулярно – смело переходите на другой хостинг, и проблема решится сама собой.

Что это такое аптайм

Uptime – это время непрерывной доступности ресурса (сайта/хостинга/сервера). Вычисляется от запуска до прерывания, не связанного с перезагрузкой или выключением. Противоположен ему downtime – время простоя сервера или хостинга ввиду технического сбоя. Показатель аптайма демонстрирует его соотношение с дайунтаймом в процентах.

Почему?

😪Мы тщательно прорабатываем каждый фидбек и отвечаем по итогам анализа. Напишите, пожалуйста, как мы сможем улучшить эту статью.

. Работа с человеческим фактором

До тех пор, пока искусственный интеллект не взял всё в свои руки, человеческий фактор остаётся одним из рисков как для маленьких компаний, так и для гигантских IT-корпораций. Чтобы нивелировать их, по каждому произошедшему факапу длительностью от 15 минут мы проводим детальный разбор полётов.

⌘⌘⌘

Мониторинг — всему голова

Система мониторинга в круглосуточном режиме отслеживает работу всей системы и сигнализирует, если что-то где-то пошло не так. Мы используем Nagios с уникальным набором самых разных проверок: их статус обновляется каждую минуту. Сейчас в системе находится более 2000 узлов и свыше 50000 проверок. Согласно регламенту (SLA), в течение 5 минут с момента уведомления системой мониторинга проблема берётся в работу.

Резервное железо

Концепция виртуального хостинга с доступными ценами не позволяет зарезервировать все серверы, на которых находятся клиентские сайты. И каким бы хорошим ни было железо, аппаратные проблемы случаются — выходят из строя CPU, модули памяти, материнской платы, и с этим конечно нужно что-то делать. И мы сделали: под каждую уникальную аппаратную конфигурацию мы держим уже скоммутированный резервный сервер.

При выходе основного сервера из строя, дежурный инженер просто переносит диски в резервный. Недоступность проблемного сервера (и сайта клиента) в такой ситуации составляет не более 15-20 минут, что является нормой для устранения подобных проблем. Клиент переводится на резервный сервер и остаётся на нём с полноценным рабочим хостингом.

Постепенная выкатка обновлений

На работоспособность инфраструктуры может влиять и обновление функционала. Мы используем конвейерный подход и он проходит несколько стадий тестирования:

• новые конфигурации и новый код одновременно выкатываются только на 5% серверов
• после обкатки всех изменений происходит выкатка на ещё на 5% серверов
• далее, пошагово добавляется ещё 15%, 25% и в завершении — 50%. 

На каждую порцию серверов изменения выкатываются в течение часа. В процессе на каждом из шагов мы наблюдаем за клиентскими запросами и можем приостановить выкатку или внести необходимые изменения.

Если что-то пошло не так мы узнаем это из мониторинга либо от клиентских служб. Преимущество подхода в том, что если баг появился, мы увидим, когда он будет актуален для ~5% пользователей и сможем оперативно его устранить.

Бэкапы, бэкапы и ещё раз бэкапы

Раз в сутки мы производим резервное копирование всех клиентских данных, после чего они хранятся 30 дней. А значит в случае внештатной ситуации каждый клиент shared-хостинга сможет восстановить данные своего сайта в течение этого срока. 

Изоляция сети на VPS/VDS

Важно, что на серверах с услугами VPS/VDS мы, в отличие от многих других хостинг-провайдеров, не используем бриджи (способ настройки, когда все виртуальные серверы находятся в одном широковещательном домене), а все клиенты на сетевом уровне изолированы как друг от друга, так и от нашей сети.

Ajenti

Ajenti — популярное решение с открытым исходным кодом, которое предлагает панель администрирования сервера через браузер. Можно устанавливать дополнительные пакеты и выполнять команды, а также просматривать важную информацию о состоянии сервера, например, количество используемой оперативной памяти, размер свободного места на диске и т. д.

Ajenti предлагает очень удобный инструмент для управления несколькими веб-сайтами. Для этого нужно установить дополнительную надстройку под названием Ajenti V. Она позволяет управлять сайтами на основе PHP, Python, Ruby и Node.js. Ajenti модульный, легко расширяемый, который удивительно полезен для различных случаев использования.

Некоторые из его особенностей включают:

• Понятный и хорошо документированный интерфейс
• Графический интерфейс пользователя на AngularJS
• Одностраничное приложение на AJAX
• Интуитивный дизайн
• Уведомления, модульные окна и обновления в реальном времени
• Подключаемая аутентификация и авторизация
• Брандмауэр

Cockpit

Cockpit — это решение с открытым исходным кодом для администрирования Linux серверов. С его помощью можно запускать контейнеры, управлять дисками, настраивать сеть, анализировать логи и т.д. и т.п.

Система имеет возможность одновременного управления и мониторинга состояние нескольких серверов. Для этого достаточно добавить нужные хосты в систему и Cockpit начнёт следить за ними. Вот некоторые возможности системы:

Благодаря хорошей документации эту систему можно легко установить и сразу же начать пользоваться.

Cpanel

Пожалуй, самая известная система управления сайтом. Система работает на Linux, имеет простой и понятный графический интерфейс и позволяет автоматизировать задачи управление веб-хостингом.

cPanel безусловно одна из лучших панелей управления веб-хостингом в своей отрасли. Она имеет возможность публикации веб-сайта, создания электронной почты и календарей, безопасного управления файлами, управления доменами, запуска баз данных, добавления или удаления DNS, настройки FTP, планирования заданий с помощью cron, отображения статистики логирования и многое другое.

Hosting controller | панели управления | хостинг обзор — эпицентр русскоязычного хостинга

Interworx

InterWorx состоит из двух модулей:

• NodeWorx — для управления серверами
• SiteWorx — для управления сайтами и доменами

Система имеет поддержку на основе приложений, которая включает в себя Apache, PHP, MySQL, Perl и Djbdns (DNS), а также работу электронной почты и включает в себя сервисы POP3, IMAP, SMTP, использующие Qmail.

Ниже перечислены некоторые возможности системы

Plesk

Plesk — система, позволяющая управлять облачными серверами, WordPress-ом, Joomla и т.д. Она поддерживает больше ста расширений.

Почему для управления хостингом стоит выбирать Plesk? Все просто:

• Дружественный интерфейс;
• Мультитенантность;
• Высокая безопасность;
• Набор SEO-инструментов.

Мультитенантность — элемент архитектуры программного обеспечения, где один экземпляр запущенного на сервере приложения обслуживает множество клиентов («арендаторов»).

Почти все ИТ специалисты, разработчики, цифровые агентства, контент-менеджеры — пользователи Plesk. Plesk — основной конкурент cPanel, о котором упоминалось выше.

Virtualmin

Virtualmin мощная и расширяемая панель для управления веб-хостингом для Linux и BSD систем. Панелью можно пользоваться через настольные ПК, планшеты и мобильные устройства. Virtualmin решение с открытым исходным кодом с премиум поддержкой. Эта система с большим чем 100 тысяч установок — одна из самых популярных панелей управления веб-хостингом.

После установке Virtulmin вы получаете все функции управления веб-хостингом, как web, электронная почта, домен, DNS, аналитика, отчетность и т. д. Она также предлагает некоторые эксклюзивные возможности, как двухфакторная аутентификация, аутентификация через LDAP, управление посредством командной строки и много других передовых средств управления доступом.

Webmin

Webmin — как и говорит название, панель управления для Linux серверов через веб-браузер. Он поддерживает более 100 Unix дистрибутивов. Он выполняет функции комплексного интерфейса для базовых приложений на серверах, включая поддержку настройки таких приложений, как FTP, ssh, почта, Web, базы данных и многое другое.

Webmin модульная система, благодаря чему любой кто может писать плагины очень легко может добавлять новые функции и возможности

Webmin основан на модуле, что позволяет легко добавлять новые функциональные возможности и возможно для любого, кто хочет писать плагины для управления сервером. По умолчанию, доступно более 100 модулей.

Аппаратные неисправности

• Перебои электроэнергии.
• Перегрузки системы, перегрев.
• Неполадки сетевой карты.
• Поломка процессоров, жестких дисков, адаптеров, материнской платы и т.п.
• Отказ оборудования в результате естественного износа.

Аппаратные неисправности напрямую зависят от того, насколько ответственно хостер относится к техническому обслуживанию, а также от того насколько обеспечена безопасность площадки в выбранном дата-центре. Здесь важно выбрать надёжный, проверенный вариант размещения, максимально защищённый от форс-мажоров.

Измерение аптайма

Контроль за перебоями в работе сервера крайне важен для репутации ресурса. Но как посмотреть uptime быстро и измерить его максимально точно? Помогут специальные сервисы для проверки – платные и бесплатные.

Его выбирают большинство разработчиков. Сервис позволяет поставить счётчик прямо на страницу сайта. Для оперативной проверки аптайма нужно разрешить уведомления о простоях и проблемах во вкладке «Общие», после чего счётчик следует обновить. Кроме того, сервис позволяет узнать непосредственную причину отключения – в том числе, когда провайдер невиновен.

Как использовать контроль версий для сайта на обычном хостинге?

Каким должен быть аптайм

Стремиться нужно к 100%, но этого достичь крайне сложно – перебои случаются у большинства провайдеров.

Однако ниже 98% опускаться точно не стоит: для хостеров это явно негативный показатель, поскольку 2% времени – в среднем, 1,2 минуты в час или 7,3 дней в год – сайт будет терять потенциальных посетителей. Поэтому при выборе поставщика важно посмотреть аптайм, который он гарантирует – и по возможности не работать с теми, кто не может обеспечить бесперебойную работу менее чем на 99,9%.

Классификация tier

Выбрать наиболее надёжный сервер поможет всемирно признанная классификация Tier для центров обработки данных (дата-центров).

Она распределяет ЦОД по четырём категориям.

1. Tier-I. Аптайм – 99,671%. Простой – 28,8 часов в год. Обладает базовой инфраструктурой, достаточной для работы. Подходит для нужд малого бизнеса.
2. Tier-II. Аптайм – 99,741%. Простой – 22 часа в год. Инфраструктура предполагает резервные мощности. Для среднего бизнеса.
3. Tier-III. Аптайм – 99,982%. Простой – 1,6 часов в год. Инфраструктура рассчитана на параллельный ремонт технических неисправностей. Такие ЦОД хороши для решения задач крупного бизнеса.
4. Tier-IV. Аптайм – 99,995%. Простой – 0,4 часа в год. Инфраструктура работает практически без проблем. Высшая ступень классификации даёт гарантии безопасности, отвечающие потребностям корпораций.

Четвёртая категория – наивысшая – характеризует хостера как наиболее надёжного по всем параметрам, но и обходится такой сервис довольно дорого. Поэтому рекомендуется остановить выбор на Tier-3 как наиболее оптимальном варианте.

Виртуальный хостинг Eternalhost — гарантированный уровень аптайма 99,98%, круглосуточная техподдержка и защита от оверселлинга. Выбирайте размещение на современной и надёжной веб-площадке.

Краткие результаты и состояние на сегодняшний день

В 2022 и 2022 году ситуация была пугающей: больше половины хостингов, в том числе и часть самых крупных на тот момент, имели простые уязвимости, которые позволяют получить доступ к данным пользователей. В худшем случае, сразу ко всем аккаунтам. Постепенно ситуация стала улучшаться: те, кто планировал закрыть уязвимости, их исправили, новые хостинги наконец-то стали использовать более новые панели управления.

Однако, есть бочка дегтя: даже сейчас ряд крупных хостингов, входящих в топ 10-20 самых популярных, содержат простые CSRF, которые позволяют получить доступ к аккаунту пользователя. Есть подозрение, что похожим способом можно выполнять запросы от имени администратора, но это отдельный вопрос (они используют свои панели управления, формат запросов администратора я не знаю).

Масштаб проблемы

Количество сайтов, которые могли быть взломаны с использованием этих уязвимостей, подсчитать довольно сложно. Если исходить из числа уязвимых хостингов (порядка 90-100) и минимального числа размещаемых сайтов в 1000 на каждом хостинге (я практически уверен, что реальное число намного больше), то это не менее 100 000 сайтов.

Однако, косвенные признаки (ID аккаунтов и сайтов в системе, собственные заявления хостингов и информация из рейтингов) позволяют предполагать, что больше нескольких миллионов сайтов были в опасности. Понятно, что большую часть сайтов посещает пара человек в месяц, но даже при этом ситуация пугает.

Несколько замечаний и забавных ситуаций

Вознаграждения

. Обычно предлагали бесплатный хостинг, при этом условия очень отличались: от действительно адекватных 10 000 — 20 000 тысяч на лицевой счет, до скидки в 120 рублей на 1 месяц, я впечатлен этой щедростью. Денежные вознаграждения предлагали гораздо реже, обычно это были символические 1000-2000 рублей, хотя было два намного более приятных случая. Но это единичные ситуации, большинство не предлагали ничего.

* Адекватность. Я ни разу не столкнулся с грубостью или угрозами. Самое неприятное — игнорирование сообщений или ответ «Мы не считаем это уязвимостью».

* Гениальные решения проблем с безопасностью. Несколько компаний решили бороться с угрозой CSRF странным образом: «администраторы не будут переходить по ссылкам от пользователей», а пользователи должны «позаботиться о себе сами».

Реакция хостингов

Возможно, самым правильным было бы опубликовать эту информацию в 2022 году и наблюдать за массовыми взломами и жалобами на хакеров. Но тогда я решил, что лучше сообщить об уязвимостях хостингам, и начал это делать. Я сообщил 63 уязвимым хостингам о проблеме, ответили всего 52. Через некоторое время 48 хостингов уязвимость у себя исправили, остальные ничего делать не стали.

Самое интересное началось потом. Через некоторое время я снова проверил эти хостинги, на части из них уязвимости волшебным образом появились снова. В 2022 и в 2022 я выбирал еще по 20-30 хостингов, проверял их и писал компаниям об уязвимостях. Ситуация похожая: больше половины хостингов уязвимы, через некоторое время после исправления часть уязвимостей появляется снова.

В какой-то момент все это начало напоминать цирк: я отправляю информацию, уязвимость исчезает. Часто, особенно в случае с самописными панелями, через полгода уязвимость возвращается в том же или похожем виде.

Некоторые компании были готовы исправлять уязвимость только путем установки обновления используемой панели управления («Мы используем последнюю версию панели, это проблема разработчиков»). При этом используемое ими поколение панели давно уже не обновляется.

В какой-то момент я решил заканчивать этот цирк и публиковать информацию о существующих проблемах.

Результаты и технические подробности

Как я писал выше, из десяти крупных хостингов больше половины были уязвимы. Всего из 100 хостингов, проверенных в 2022 году, 63 были уязвимы. Обычно это были простые CSRF, хотя встречались удивительные уязвимости, о которых я расскажу чуть позже.

Сервисные проблемы

• Повреждение сервера из-за вирусной атаки.
• Сбой в результате некорректной работы последних обновлений ПО.
• «Забитый» канала связи из-за оверселлинга (overselling — избыточная продажа ресурсов веб-хостинга).
• Природные бедствия (наводнение, ураганы) и техногенные аварии (пожар, повреждение электросети, обрушение конструкций) в локации дата-центра, где базируется хостер.

В сервисных проблемах хостер виновен не всегда. Он может только защитить сервер всеми доступными ему средствами, и задача самого владельца ресурса – следить за возможными угрозами и найти эффективные инструменты для их предотвращения.

Чем вызваны простои

Так как сервер – это сложный прибор, работающий от электричества и зависящий от людского фактора, он подвержен угрозе сбоев из-за многих причин. Часто такие критические ситуации возникают стихийно, поэтому совсем исключить их возникновение невозможно.

Чем опасен низкий аптайм

За аптаймом нужно следить постоянно, иначе негативных последствий для сайта не избежать.

• Аптайм связан с индексацией и напрямую влияет на позицию сайта в выдаче. Он высокий аптайм входит в число факторов ранжирования большинства крупных поисковиков. После публикации новой статьи CMS отправляет поисковикам пинг, и роботы могут посетить ваш сайт как раз во время перебоев.
• Сайт может оказаться недоступным как раз в тот момент, когда пользователь захочет на него зайти. Это оставляет негативное впечатление вплоть до нежелания возвращаться снова.
• Для продающего сайта существенно теряется прибыль, поскольку потенциальный покупатель просто не сможет ничего приобрести во время простоя.

Всё это влияет на посещаемость и популярность ресурса. При низком аптайме продвинуть сайт довольно проблематично. Выход – в подборе более стабильного хостинга, uptime которого не ниже Tier-III.

Заключение

Аптайм – крайне важный показатель для любого владельца и разработчика сайта. Он влияет на посещаемость страницы, репутацию и популярность компании, поэтому следить за ним необходимо постоянно. Как узнать аптайм? Очень просто: воспользуйтесь специальными сервисами для проверки, большинство из которых – бесплатные.

Главное – найти максимально удобный сервис, чтобы оперативно отреагировать на критическую ситуацию. А лучше будет использовать сразу несколько для наибольшей объективности. И если вы вдруг узнаёте, что показатель упал ниже 98%, не отчаивайтесь: с этой проблемой можно легко справиться – главное узнать о ней вовремя.

Не ждите, когда начнутся проблемы с аптаймом хостера. Выбирайте веб-хостинг от Eternalhost и обеспечьте свой интернет-ресурс стабильной доступностью для пользователей!