Het aanvalsoppervlak is het geheel van plekken waar een aanvaller kan proberen je website binnen te komen, zoals logins, formulieren en plugins. Hoe minder van die plekken, hoe kleiner de kans op een gat. Ongebruikte plugins verwijderen is een manier om het te verkleinen.
Wat is een aanvalsoppervlak?
Een kleiner aanvalsoppervlak betekent minder plekken waar een fout zich kan verstoppen, en daarom is verkleinen een van de effectiefste en goedkoopste beveiligingsstappen voor een site-eigenaar.
Denk aan een gebouw. Het aanvalsoppervlak is het aantal deuren, ramen en roosters dat iemand kan proberen. Een gebouw zonder ingangen bestaat niet, maar je kunt wel stoppen met achterdeuren open laten die niemand gebruikt. Een website werkt net zo. Elke functie die invoer accepteert of bij een verzoek code uitvoert, is een mogelijke ingang.
Beveiligers delen het op in een paar delen. Het zichtbare deel is wat iedereen vanaf internet kan bereiken: pagina’s, formulieren, inlogschermen en openbare bestanden. Het verborgen deel is wat erachter draait: de PHP-runtime, de webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt., de database en elke plugin die bij elk verzoek wordt geladen.
Meer is niet beter
Elke plugin voegt code toe die op je server draait en die iemand moet bijhouden. Een plugin die uitstaat maar nog geïnstalleerd is, kan nog steeds een kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat. bevatten. Een functie die je drie jaar geleden voor een campagne toevoegde en vergat, hoort nog steeds bij je oppervlak.
Wat het betekent voor een PHP- of WordPress-site
Een gewone WordPress-site heeft van nature een groot oppervlak. Hij heeft een login op een bekend adres, een pluginsysteem dat code van derden laadt en een database waar de code bij elk bezoek in zoekt. Komen er oude WordPress-pluginsEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop. en een verouderde PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. bij, dan groeit het aantal plekken om op te letten snel.
Een deel is makkelijk weg te halen. Verwijder plugins die je niet gebruikt, sluit accounts die niet meer nodig zijn en kijk of je het XML-RPCXML-RPC is een oude manier waarop apps en diensten op afstand met WordPress praten, via het bestand xmlrpc.php.-endpoint nodig hebt. Andere delen zijn structureel, en daar speelt de keuze tussen dynamische en statische pagina’s.
Een concreet voorbeeld
Vergelijk twee sites met dezelfde pagina’s. De eerste draait op PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. en een database: bij elke paginaweergave bouwt code op de server de pagina. De tweede is een statische websiteEen statische website bestaat uit kant-en-klare pagina's die de server alleen hoeft af te geven, zonder dat er bij elk bezoek iets wordt berekend.: de pagina’s zijn vooraf gemaakt en worden als bestanden geserveerd, zonder PHP en database op de server bij een paginaweergave. Een fout in de PHP-runtime of in een plugin kan alleen voor de eerste tellen. Dat bedoelen we als we zeggen dat een statische site een kleiner aanvalsoppervlak heeft. Het betekent niet dat hij niet kan worden aangevallen, want de host, de toegang tot de bestanden en scripts van derden tellen nog steeds mee.
Zo controleer je het en wanneer je handelt
Begin met een lijst: PHP-versie, CMS-versie, plugins, themaEen WordPress-thema is het ontwerp van je WordPress-site: het bepaalt hoe pagina's eruitzien en hoe ze zijn opgebouwd.’s, beheerdersaccounts en scripts van derden. De gratis PHP exposure check laat zien wat je site naar buiten onthult, en dat is het deel dat een aanvaller als eerste ziet. Vraag dan per onderdeel: gebruik ik dit, wordt het onderhouden en kan de site zonder?
Is de lijst lang en toont de site vooral inhoud, dan is herbouwen als een website zonder PHP misschien de betere stap, zodat het grootste deel van het oppervlak verdwijnt. Moet je de dynamische delen houden, werk ze dan volgens een vast schema bij en laat weg wat kan.
Veelgestelde vragen
Wat hoort bij het aanvalsoppervlak van een website?
Alles wat een buitenstaander kan bereiken of wat draait bij een verzoek: loginpagina's, formulieren, plugins, thema's, het CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren., PHP, de webserver, open poorten en scripts van derden. Hoe meer er is, hoe meer plekken waar een fout kan zitten.
Hoe maak ik het aanvalsoppervlak kleiner?
Verwijder wat je niet gebruikt, update wat je houdt, beperk logins en beheertoegang, en vraag bij elke functie of ze code nodig heeft die op de server draait.
Is een site met minder aanvalsoppervlak niet te hacken?
Nee. Het verkleint de kans dat er een fout zit en beperkt de schade, maar niets is onhackbaar. Het doel is minder plekken waar het mis kan gaan.
Is een statische site echt veiliger?
Meestal heeft hij een kleiner aanvalsoppervlak, omdat er bij het bekijken van een pagina geen PHP en geen database op de server draaien. Hij heeft nog steeds een veilige host, veilige toegang tot de bestanden en zorg met scripts van derden nodig.