Set de măsuri generale pentru securizarea aplicațiilor web

Foto:

Având în vedere contextul actual caracterizat de un risc în creșterea de incidente de securitate cibernetică, pe fondul unui proces accelerat de digitalizare, ne adresăm instituțiilor care dețin site-uri web, cu următorul set de masuri generale privind securitatea cibernetică a acestora:

1. În cazul site-urilor bazate pe CMS-uri cunoscute (Content Management System, ex: Wordpress, Drupal, Joomla etc.) recomandăm să se facă update-ul constant al platformei CMS și a plugin-urile utilizate in cadrul site-ului;
2. Utilizarea cu precauție a temelor și plugin-urilor oferite gratis, deoarece în anumite cazuri acestea pot fi deja infectate sau pot prezenta vulnerabilități;
3. Utilizarea unui certificat SSL – HTTPS (Secure Sockets Layer - Hyper Text Transfer Protocol Secure) care criptează conexiunea dintre browserul din care este accesat site-ul și server, conexiunea criptată fiind utilizată pentru a asigura identitatea furnizorului de servicii și pentru a asigura protejarea datelor utilizate în tranzacția efectuată. Trebuie specificat faptul că o conexiune criptată SSL nu este suficienta pentru a proteja site-ul de atacuri sau infectări cu aplicații malware și nici nu le previne.
4. Validarea și sanitizarea tuturor câmpurilor de introducere a datelor din formularele de pe pagini web, eliminand astfel datele care nu indeplinesc tipul de baza, formatul si lungimea corespunzatoare;
5. Sanitizarea datelor introduse de utilizatorii site-urilor web prin intermediul formularelor, atât la salvarea în baza de date, cât și la afișarea în browser, impiedicand astfel datele care au fost introduse intentionat in mod gresit sa ajunga in bazele de date;
6. Transmiterea către utilizatorii site-urilor web, doar a mesajelor de eroare ce țin de validarea datelor introduse de către acesta și crearea de mesaje de eroare custom pentru mesajele de eroare generale ale aplicației (în care ar putea fi afișate detalii privind structura bazei de date, credențiale, etc);
7. Utilizarea token-urilor CSRF (Cross Site Request Forgery) pentru prevenirea Cross site request forgery;
8. Obligativitatea utilizării unor parole complexe atat de catre administratorii aplicatiilor web, cat si de catre utilizatorii acestora;

Pentru o prezentare mai detaliată a principalelor vulnerabilități care pot fi întâlnite la aplicațiile web, precum și a măsurilor ce pot fi luate pentru securizarea site-urilor, CERT-RO vă recomandă  ghidul de securizare a aplicațiilor web.

De asemenea, recomandăm raportarea la numărul unic 1911 a incidentelor de securitate cibernetică.

* - Acest set de măsuri nu este exhaustiv, având un caracter general. Pentru securizarea in condiții optime a aplicațiilor web, rog consultați ghidul de securizare a aplicațiilor web disponibil pe site-ul CERT-RO, precum și respectarea politicilor de securitate aprobate la nivelul instituției deținatoare a site-ului.