Контур безопасности

Активный фильтр входящих данных

SQL-инъекция - это подача злоумышленником на страницу сайта параметра, который должен изменить запрос к базе данных сайта и выполнить другой запрос. Таким образом злоумышленник может получить доступ к не презначначенной ему информации, повредить или изменить данные в базе. PHP-инъекция - похожий способ взлома, когда злоумышленник заставляет сервер выполнить команды языка PHP: это чревато несанкционированным доступом не только к базе данных, но и к файлам. Межсайтовый скриптинг (XSS) - еще одна разновидность атаки на сайт, когда злоумышленник заставляет сервер выполнить программу, располагающуюся на другом сайте и написанную таким образом, чтобы повредить атакуемый сайт или получить к нему доступ.

Эти уязвимости могут появиться на сайте по самым разным причинам, включая незащищенный программный код в модулях и слабую защиту при внедрении/разработке сайта. Неткэт умеет распознавать и блокировать такие атаки. Администратор сайта может настроить способ реакции на атаку (прекратить исполнение скрипта, исправить и продолжить и т.д.), указать исключения для защиты от ложных срабатываний в специфических случаях, настроить отправку уведомлений об атаках администратору.

Поддержка протокола HTTPS

В отличие от HTTP протокол HTTPS шифрует и защищает данные, передаваемые между сайтом и пользователем, в т.ч. пароли, финансовую и персональную информацию. Кроме того, современные браузера помечают как небезопасные те сайты, которые запрашивают у пользователя персональную или финансовую информацию и не используют HTTPS. Неткэт полностью совместим с HTTPS и позволяет в один клик перевести сайт на этот протокол.

Защита от перебора паролей

Автоматический перебор паролей (брутфорс) - один из популярных способов взлома сайтов. Неткэт выявляет и блокирует попытки брутфорса, защищая атакуемую форму капчей (картинкой с символами).

Многоуровневая система распределения прав

• пять ролей пользователей от редактора инфоблока до директора
• дополнительные роли для редакторов (просмотр, добавление, редактирование, админстрирование и пр.)
• ограничение срока действия прав
• сочетание ролей и исключения
• гостевые права

Идентификация при помощи USB-токенов

CMS Netcat полностью готова к работе с системой идентификации пользователей по USB-токенам Rutoken. Это брелоки, которые принадлежат только вам и применяются для авторизации на сайте, то есть попасть в систему администрирования под вашим логином вы сможете, только имея токен. Токен с успехом заменяет любые парольные системы защиты, ведь теперь не нужно запоминать множество логинов и сложных паролей, вся необходимая информация надежно хранятся в памяти токена. Все что вы должны сделать — подключить токен к USB-порту и набрать PIN-код. Таким образом, осуществляется двухфакторная аутентификация, когда доступ к информации можно получить, только обладая уникальным предметом (токеном) и зная некоторую уникальную комбинацию символов (PIN-код).

окументация:

• Фильтр входящих данных
• Система разграничения прав
• Как перевести свой сайт на HTTPS (статья)

Кстати, летом 2017 года Неткэт успешно прошел аудит безопасности по методологии OWASP TOP-10.