Sécurité wordpress

ovh cloud partenaire référencé
Type de client
Agence Web
Offre
Infogérance serveurs web
Objectifs
Sécurisation des serveurs et sites Wordpress ,Prestashop...

Les résultats

Sécurité

Protection des sites wordpress

Audit de sécurité de serveurs WEB.

Lecpac Consulting, spécialiste de la maintenance et de la sécurisation de sites WordPress. Nos consultants réalisent pour vous régulièrement des audits de sécurité pour identifier des vulnérabilités de sécurité.

Dans cette analyse de cas, je vais vous présenter comment nos équipes d’experts en cybersécurité ont accompagné une agence web, afin de réaliser un audit complet de la sécurité de ses serveurs et sites web.

Pourquoi réaliser un audit de sécurité de ses sites WEB ?

L’audit recense toutes les vulnérabilités cachées de vos sites web et de votre infrastructure. Cette phase de diagnostique est généralement suivie/accompagnée d’un test de pénétration. Alors que l’objectif d’un audit de sécurité est d’évaluer et d’identifier les zones vulnérables, un test de pénétration consiste à les exploiter.

Chaque audit de sécurité est suivi d’un rapport complet qui permet :

  • Recenser, décrire et analyser les actifs de l’infrastructure technique, ainsi que les méthodes d’organisation en place.
  • Mesurer les pratiques de sécurité existantes par rapport à un référentiel extérieur, dit de « bonnes pratiques ».
  • Réaliser l’inventaire des risques qui pèsent sur l’activité de l’entreprise.
  • Proposer des recommandations pour optimiser et pérenniser le fonctionnement actuel de l’architecture technique.

sécurité wordpress

Il faut savoir que les cyberattaques sont menées, notamment grâce à des robots qui détectent les sites présentant des failles de sécurité afin de pirater le site web.

Si, à tout moment, vous constatez que vos sites sont lents ou si vous remarquez un trop grand nombre d’échecs de tentatives de connexion, de demandes de mot de passe oublié, ou même de baisse de trafic, ce sont là des signes de vulnérabilité. Si votre site Web redirige vers des sites non reconnus, cela est dû à un virus ou à un logiciel malveillant résidant dans votre serveur. alors n’attendez plus et effectuez immédiatement un audit de sécurité de vos serveurs !

Déroulement d’un audit de sécurité réalisé par nos experts

Recherche et test de vulnérabilité

La fréquence des tests de pénétration WordPress que vous devez effectuer dépend réellement de la sensibilité des données sur votre site. Maintenant que vous comprenez pourquoi les audits de sites sont si importants, voyons comment nous l’avons réalisé sur l’environnement de notre client.

La préparation a toujours été un point clé dans toutes les stratégies d’attaque historiques. Qu’il s’agisse d’un simple braquage de banque ou d’une guerre mondiale, tout le monde veut obtenir le plus d’informations possible et, très souvent, le succès d’une opération est le résultat d’une bonne planification préalable. Nous pouvons diviser la préparation en trois tâches : La reconnaissance, la collecte d’informations et le balayage (également appelé foot printing). C’est la première grande étape obligatoire de tout test d’intrusion.

Pour ce processus, nous avons deux approches , la collecte passive qui permet la récupération des informations publiées publiquement (par exemple : domaine whois, réseaux sociaux, serveurs de messagerie, liste des applications hébergées sur la même adresse IP et autres informations ouvertes. ), puis active qui est beaucoup plus intrusive car cette méthode laisse des traces sur la cible, et peut donc déclencher des alertes.

Notre client étant au fait de l’audit, nous avons donc réalisé une collecte de données active, en utilisant des outils de scan réseaux et système. Nous avons également utilisé des scanner de vulnérabilité plus ciblé tel que WPScan afin d’identifier des failles liées à la version de WordPress ou des plugins non à jour.

Lors de cet audit, nous avons remarqué que certains plugins n’étaient pas à jour et permettaient à nos pentester de déposer des fichiers sur le serveur. Il faut savoir qu’un attaquant peut exploiter cette vulnérabilité pour télécharger du code arbitraire et l’exécuter dans le contexte du processus du serveur web afin de supprimer ou modifier des fichiers php.

Sauvegarde et plan de reprise d’activité

Nous savons que la sauvegarde peut être un élément clé pour aider votre entreprise à se protéger contre les attaques de ransomware. Mais nous allons également abordé l’idée que tous les systèmes de sauvegarde doivent être audités pour s’assurer qu’ils font ce pour quoi ils ont été conçus. Il était donc essentiel de savoir si les mesures de protection des données mises en place par notre client étaient suffisantes en cas de cyberattaques.

Notre analyse c’est portées sur deux domaines : la sauvegarde des données et des systèmes et la reprise après sinistre. Une sauvegarde est simplement une copie de vos données ou de votre système. Un plan de reprise d’activité définit, dans le cadre de politiques et de procédures, la manière dont vous allez récupérer les données et rétablir le fonctionnement complet du système pour assurer la continuité des activités.

Nos experts ont analysé les sauvegardes de notre client. À savoir, est ce que ce sont des snapshots de machines virtuelles ? des fichiers applicatifs ? où sont conservées les données ? Sont elles protégées ( Chiffrement , verrou… ) ?

L’audit a permis de remonter certaines anomalies majeures , notamment des sauvegardes réalisées en local sur les serveurs dédiés qui ne peuvent pas servir en cas de panne de disque ou de destruction du serveur. Il y avait aussi certaines taches de sauvegarde qui ne fonctionnaient pas, cela révèle donc un manque de contrôle sur les processus.

Pour remédier à ses anomalies majeures, nous avons proposé à notre client la mise en place d’un plan de sauvegarde en se basant sur la stratégie de sauvegarde cloud externalisée 3-2-1.

Comment protéger son serveur et ses sites WordPress ?

sécurité wordpress

Les plates-formes d’hébergement gratuites et bon marché peuvent mettre la sécurité de votre site en danger et en faire une cible facile pour les pirates. Par conséquent, ne prenez pas une plateforme d’hébergement uniquement parce qu’elle est gratuite. Évitez également d’utiliser les serveurs mutualisés, car il peuvent augmenter le risque de contamination croisée..

Un même serveur être utilisé par des centaines d’autres sites sur un serveur. Dans ce cas, votre site peut être également affecté si le site Web de quelqu’un d’autre est piraté intentionnellement. Alors, vous devenez la victime et ce, sans rien faire !

Nous avons rédigé un petit article avec 10 conseils sur comment sécuriser son site WordPress , ou alors n’hésitez pas à nous contacter pour vous réaliser un audit de sécurité de vos serveurs et sites wordpress afin d’établir ensemble un plan de sécurisation.