Bezpieczeństwo Drupal: dobre praktyki i rekomendacje

Wahasz się przed stworzeniem strony na Drupalu, bo nie wiesz, jak prezentuje się pod względem bezpieczeństwa? A może już go używasz i szukasz porad, jak zadbać o te kwestie? W tym artykule poznasz najważniejsze informacje w kontekście bezpieczeństwa Drupala. Znajdziesz tu także sprawdzone moduły oraz porady.

Bezpieczeństwo Drupal CMS, a kwestia open source

Niektórzy sugerują, że z racji otwartej struktury oprogramowania, Drupal nie może być w pełni bezpieczny. W końcu w przypadku open source kod źródłowy jest dostępny dla wszystkich (w tym hakerów), a część pracy związanej z rozwojem całego systemu przypada społeczności. Tymczasem bezpieczeństwo systemu Drupal nie tylko nie traci, ale zyskuje na charakterze open source! Dowodem na bezpieczeństwo tego CMS-a niech będzie choćby fakt, że w 2009 roku oficjalna strona Białego Domu przeniosła się z zamkniętego oprogramowania, właśnie na otwartego Drupala.

Przyjrzyjmy się bliżej zaletom tego CMS-a:

• Rozwój napędzany przez społeczność – dzięki temu, że kod źródłowy jest publiczne dostępny, każdy może go przejrzeć pod kątem potencjalnych luk bezpieczeństwa oraz zasugerować poprawki. W praktyce dzięki temu niektóre problemy mogą być wykryte znacznie szybciej.
• Łatwiejsze audytowanie – jako że kod źródłowy jest publicznie dostępny, prywatni użytkownicy, jak i organizacje są w stanie go audytować, aby upewnić się, że spełnia wymagania bezpieczeństwa. W razie potrzeby mogą nawet go zmodyfikować, aby lepiej odpowiadał ich potrzebom w tym zakresie.
• Transparentność – w interesie społeczności zawsze leży poprawa bezpieczeństwa Drupala. Dla porównania właściciele prywatnego oprogramowania mogą niekiedy wstrzymywać się z informowaniem o powstaniu luk, gdyż taka wiadomość jest w stanie wpłynąć na ich reputację, wartość na giełdzie itp.

Oczywiście nad kwestią tego, czy oprogramowanie open source jest bezpieczniejsze niż zamknięte, dalej można się zastanawiać, jednak mitem jest, jakoby otwarta struktura wiązała się jedynie z problemami.

Bezpieczeństwo Drupala – z jakich zabezpieczeń korzysta ten CMS?

Jeśli chodzi o bezpieczeństwo Drupal CMS, oficjalna strona twórców oprogramowania wymienia następujące środki:

1. Kontrola dostępu użytkowników.
2. Szyfrowanie bazy danych.
3. Udostępnianie informacji poprzez raporty bezpieczeństwa.
4. Automatyczne aktualizacje i praca nad walidacją rdzenia we współpracy z GitHubem.
5. Zapobieganie wprowadzaniu złośliwych danych.
6. Łagodzenie ataków typu Denial of Service (DoS).
7. Łatanie błędów, zanim zostaną wykorzystane.

Omówmy je bliżej:

Najczęstsze luki w zabezpieczeniach Drupala

Jeśli chodzi o wrażliwości omawianego CMS-a, nie musimy zdawać się na domysły, gdyż strona CVE Details gromadzi przydatne statystyki włamań na strony Drupal. Od 2002 do 2022 (z pominięciem 2003 i 2004) roku w obrębie różnych wersji Drupala zarejestrowano 356 istotnych luk:

Źródło

Jakie można z tego wyciągnąć wnioski? Luki bezpieczeństwa w Drupalu szybko pojawiały się w latach 2006-2009, czyli gdy omawiany CMS zaczął zyskiwać na popularności. Z biegiem czasu jednak twórcy oprogramowania zaczęli lepiej radzić sobie z jego ochroną i liczba problemów spadła oraz się ustabilizowała.

Omawiane statystyki wskazują także, że największe problemy z bezpieczeństwem w Drupalu sprawiały następujące ataki:

• XSS,
• execute code,
• bypass,
• SQL injection,
• gain information.

Czy Drupal jest bezpieczniejszy od innych CMS-ów?

Na początek najważniejsza informacja - większość incydentów związanych z bezpieczeństwem dotyczy doinstalowywanych modułów do cora CMS. Na liczbę luk wpływa także popularność danej technologii, dlatego sama liczba wykrytych problemów nie zawsze jest miarodajna.

Ogólnie można jednak powiedzieć, że zabezpieczenia Drupala stoją na wysokim poziomie w porównaniu do innych podobnych rozwiązań. W dużym stopniu jest to związane z tym, że omawiany CMS cieszy się dużą popularnością i zainteresowaniem wśród stron firmowych oraz rządowych. Zobacz, jak prezentują się statystyki innych popularnych CMS-ów (pod kątem podstawowej instalacji CMS, nie modułów), jeśli chodzi o luki bezpieczeństwa:

WordPress

Źródło

Na tej stronie możesz sprawdzić luki bezpieczeństwa dla modułów wordpressowych. Jak z pewnością zauważysz - jest ich o wiele więcej niż na screenie powyżej. Dlaczego? Tak jak zaznaczyliśmy na początku, większość problemów dotyczy właśnie instalowanych modułów dodatkowych, a nie cora WordPress. Dlatego miej świadomość, że w przypadku każdego systemu zarządzania treścią tych luk może być więcej.

Joomla

Źródło

Magento

Źródło

PrestaShop

Źródło

Tak prezentuje się lista pod kątem luk bezpieczeństwa w corze CMS-ów:

1. Joomla – 446.
2. WordPress – 388.
3. Drupal – 356.
4. Magento 2 – 221.
5. PrestaShop – 82.

Jak widać, w porównaniu do Drupala lepiej prezentują się jedynie Magento 2 (w statystykach nie uwzględniono jednak starszej wersji 1, która tę liczbę by zapewne podwyższyła) oraz PrestaShop.

Jak wygląda kwestia bezpieczeństwa w Drupalu? System dysponuje własnym Zespołem Bezpieczeństwa, który przekazuje właścicielom witryn informacje o kluczowych problemach bezpieczeństwa i sposobach ich rozwiązania. Ponadto, by minimalizować ryzyko pojawienia się problemów z modułami, Drupal zdecydował się wprowadzić oznaczenia. Przy niezweryfikowanym module znajdziesz taką informację:

Inne pluginy, które nie zawierają takiego ostrzeżenia, są sprawdzone i można ich używać bez większych obaw o nieprawidłowości dot. bezpieczeństwa. Więcej informacji na temat Security Advisory znajdziesz tutaj.

Niezależnie od platformy, bezpieczeństwo w dużym stopniu zależy także od tego, jak witryna jest zarządzana. Omówmy zatem najlepsze praktyki bezpieczeństwa Drupala.

Bezpieczeństwo strony na Drupalu – 7 sprawdzonych praktyk

Poniższe wskazówki dotyczące bezpieczeństwa Drupala mogą Ci bardzo pomóc:

Podsumowanie

Mamy nadzieję, że będziesz w stanie wprowadzić w życie omówione tutaj porady dotyczące bezpieczeństwa Drupala. Pamiętaj, że w ciągle zmieniających się środowiskach internetu i biznesu, bezpieczeństwo powinno być zawsze najwyższym priorytetem.