Vor dem Launch einer Website konzentrieren sich viele Unternehmen auf das Design und die Vollständigkeit der Inhalte, während Sicherheitsaspekte oft vernachlässigt werden. Tatsächlich ist die Website nach dem Launch dauerhaft der öffentlichen Umgebung ausgesetzt. Wenn die grundlegenden Sicherheitskonfigurationen nicht korrekt sind, wird die spätere Wartung häufig reaktiv und mühsam. Hier finden Sie eine Checkliste für grundlegende Sicherheitsprüfungen, die für Unternehmenswebsites geeignet ist und in drei Phasen unterteilt ist: Vorbereitung, Durchführung und Überprüfung.
1. Vorbereitungsphase: Vermögenswerte und Berechtigungen erfassen
Bevor Sie mit der Prüfung beginnen, klären Sie, welche Zugänge und Konten die Website hat. Dazu gehören in der Regel das Backend der Website, das Serververwaltungspanel, Datenbankverwaltungstools, FTP- oder SSH-Zugänge. Erstellen Sie eine Tabelle mit der Adresse, der Anmeldeart und den aktuellen Berechtigungen jedes Zugangs, um eine systematische Überprüfung zu ermöglichen.
Bei den Kontoberechtigungen sollten Rollen wie Administrator, Redakteur und Uploader unterschieden werden, wobei jede Position nur die notwendigen Berechtigungen erhält. Beispielsweise benötigen normale Redakteure keine Serververwaltungsrechte, und Kundendienstmitarbeiter keine Datenbankzugriffsrechte. Wenn ehemalige Mitarbeiter oder externe Dienstleister Zugriff auf das System hatten, sollten ihre Konten vor dem Launch gelöscht oder zurückgesetzt werden.
2. Durchführungsphase: Überprüfung der wichtigsten Sicherheitsaspekte
1. Backend-Adresse und Anmeldeschutz
Die Backend-Anmelde-URL sollte nicht den Standardpfad (z. B. /admin) verwenden, sondern einen schwer zu erratenden Pfad. Überprüfen Sie außerdem, ob ein Captcha oder eine Zwei-Faktor-Authentifizierung aktiviert ist, um Brute-Force-Angriffe zu verhindern. Wenn das CMS dies unterstützt, empfiehlt es sich, die Anzahl der Anmeldeversuche zu begrenzen und bei Überschreitung die IP vorübergehend zu sperren.
2. Datei-Uploads und Verzeichnisberechtigungen
Stellen Sie sicher, dass Upload-Verzeichnisse die Ausführung von Skripten blockieren. Beispielsweise sollten Bild-Upload-Verzeichnisse schreibgeschützt sein und keine PHP- oder ASP-Programme ausführen können. Wenn die Website über eine Dateiverwaltungsfunktion verfügt, stellen Sie sicher, dass normale Benutzer keinen Zugriff auf Systemkonfigurationsdateien haben.
3. Datenbank und Backup-Strategie
Verwenden Sie für Datenbankkonten nicht root oder admin, und wählen Sie ein ausreichend komplexes Passwort. Überprüfen Sie außerdem das Backup-Konzept: Ist ein automatisches Backup eingerichtet? Werden die Backup-Dateien außerhalb des Website-Verzeichnisses gespeichert? Es wird empfohlen, mindestens die letzten 7 Tage an Backups aufzubewahren und regelmäßig den Wiederherstellungsprozess zu testen.
4. Überprüfung auf häufige Schwachstellen
Prüfen Sie, ob die Website bekannte verwundbare Plugins oder Komponenten verwendet, insbesondere bei Open-Source-CMS wie WordPress oder DedeCMS. Aktualisieren Sie diese auf die neueste Version und entfernen Sie ungenutzte Plugins und Themes. Überprüfen Sie außerdem auf SQL-Injection- und XSS-Schwachstellen, indem Sie Formulare mit speziellen Zeichen testen – achten Sie jedoch darauf, die Produktionsdaten nicht zu beeinträchtigen.
5. HTTPS und Schutz sensibler Informationen
Stellen Sie sicher, dass die Website HTTPS verwendet, insbesondere für Login- und Zahlungsseiten. Überprüfen Sie, ob das Backend-Login HTTPS erzwingt, um die Übertragung von Passwörtern im Klartext zu vermeiden. Untersuchen Sie außerdem den Quellcode auf exponierte Datenbankverbindungsdaten, API-Schlüssel oder andere sensible Inhalte.
3. Überprüfungsphase: Sicherstellung der Wirksamkeit von Prüfung und Backup
Nach Abschluss der Prüfung sollten Sie die Maßnahmen tatsächlich testen. Beispielsweise mit einem Nicht-Administrator-Konto anmelden und bestätigen, dass nur die für die Rolle vorgesehenen Funktionen sichtbar sind; versuchen Sie, auf die Backend-Adresse zuzugreifen und prüfen Sie, ob der Zugriff blockiert oder eine Verifizierung verlangt wird. Führen Sie außerdem eine manuelle Backup-Wiederherstellungsübung durch, um sicherzustellen, dass die Backup-Dateien verwendbar sind und die Wiederherstellungsschritte klar sind.
Sicherheit ist keine einmalige Aufgabe; nach dem Launch sollten regelmäßige Überprüfungen erfolgen. Es wird empfohlen, vierteljährlich die Kontoberechtigungen und den Backup-Status zu überprüfen und nach jedem Update der Website-Software die Dateiberechtigungen und Schwachstellen erneut zu prüfen. Wenn die Website Benutzerdaten oder Transaktionen verarbeitet, sollten die Sicherheitsinvestitionen höher sein; gegebenenfalls ist ein professionelles Sicherheitsteam für Penetrationstests zu beauftragen.
Die obige Checkliste gilt für die meisten Unternehmens-Showcase-Websites. Wenn die Website Online-Transaktionen oder die Erfassung privater Benutzerdaten umfasst, sind strengere Anforderungen wie die Einhaltung von Datenschutzbestimmungen zu berücksichtigen; hierfür sollte ein spezialisierter Dienstleister konsultiert werden.
