Co obejmuje ochrona Monarx i czego nie skanuje?

Monarx działa na hostingu SEOHOST jako kilka współpracujących ze sobą mechanizmów bezpieczeństwa. Nie jest wyłącznie skanerem, który raz na jakiś czas przegląda katalog WordPressa w poszukiwaniu podejrzanych plików. W aktualnej konfiguracji ochrona obejmuje pliki zapisane na serwerze, wykonywanie aplikacji PHP oraz ruch, który dociera do chronionego środowiska. Dzięki temu zagrożenie może zostać wykryte lub zatrzymane na różnych etapach – zanim dotrze do aplikacji, podczas wykonywania kodu albo już jako złośliwy plik znajdujący się na koncie hostingowym. Tak szeroki zakres nie oznacza jednak, że Monarx analizuje każdą usługę uruchomioną na hostingu. Standardowa ochrona nie obejmuje między innymi cyklicznego skanowania zawartości działających baz danych ani skanowania poczty e-mail przez protokoły SMTP, IMAP i POP3.

W tym artykule wyjaśniamy, na jakich warstwach działa Monarx, jakie pliki obejmuje skanowanie i gdzie znajdują się granice jego ochrony.

• Jak działa ochrona Monarx na kilku warstwach?
• Jakie pliki i katalogi obejmuje skanowanie?
• Czego Monarx nie skanuje?
• Czy Monarx chroni tylko strony WordPress?
• Monarx to ważna warstwa ochrony hostingu – ale nie jedyna

Jeżeli interesuje Cię przede wszystkim to, jakie informacje są przy tym przetwarzane i kiedy mogą trafić poza infrastrukturę SEOHOST, zobacz również Monarx a dane i prywatność – jakie informacje są analizowane i gdzie są przetwarzane?.

Jak działa ochrona Monarx na kilku warstwach?

W SEOHOST ochrona Monarx działa obecnie w oparciu o trzy główne mechanizmy:

• Monarx Antivirus z Active Protection,
• ThreatShield,
• SmartWAF.

Każdy z nich pracuje w innym miejscu i reaguje na inny rodzaj zagrożenia. Dzięki temu nie opieramy bezpieczeństwa strony wyłącznie na okresowym sprawdzaniu plików znajdujących się na serwerze.

Każdy z mechanizmów odpowiada za inny, jasno określony obszar ochrony. Można potraktować je jak trzy kolejne punkty kontroli – od ruchu docierającego do serwera, przez wykonywanie kodu PHP, aż po pliki zapisane na dysku.

Monarx Antivirus i Active Protection

Monarx Antivirus + Active Protection odpowiada za analizę plików znajdujących się na serwerze. Włączony w SEOHOST tryb Active Protection rozszerza samo wykrywanie o automatyczną reakcję na zagrożenie. Złośliwy plik może zostać usunięty, natomiast w przypadku prawidłowego pliku, do którego wstrzyknięto obcy kod, system może usunąć złośliwy fragment i zachować jego właściwą zawartość.

ThreatShield – ochrona podczas wykonywania PHP

ThreatShield działa podczas wykonywania aplikacji PHP. Jest mechanizmem RASP (Runtime Application Self-Protection – ochrona podczas wykonywania aplikacji), dzięki czemu analizuje nie tylko sam plik, ale również zachowanie wykonywanego kodu. Pozwala to reagować m.in. na próby wykorzystania podatności, wykonania niebezpiecznych operacji, SQL Injection (wstrzyknięcie złośliwego zapytania do bazy danych), Remote Code Execution (zdalne wykonanie kodu) czy nieautoryzowanego zapisu plików.

SmartWAF – filtrowanie ruchu sieciowego

SmartWAF działa na warstwie sieciowej, zanim ruch dotrze do aplikacji. Wykorzystuje m.in. informacje o reputacji i zachowaniu źródłowych adresów IP, dzięki czemu może zatrzymywać znany złośliwy ruch, boty oraz powtarzające się próby ataków jeszcze przed uruchomieniem WordPressa lub innej aplikacji.

Mechanizmy te wzajemnie się uzupełniają. SmartWAF może zatrzymać zagrożenie już na wejściu, ThreatShield obserwuje to, co dzieje się podczas wykonywania PHP, a Antivirus kontroluje pliki znajdujące się na serwerze. Ochrona nie jest więc oparta na jednym skanerze, ale na kilku warstwach działających w różnych miejscach środowiska hostingowego.

Jeżeli w panelu Monarx Security widzisz status BLOCKED, wykryty plik albo inne zdarzenie i chcesz wiedzieć, co dokładnie oznacza, zobacz Co oznaczają zdarzenia i blokady widoczne w Monarx?.

Jakie pliki i katalogi obejmuje skanowanie?

Monarx nie ogranicza się wyłącznie do katalogu public_html na Twoim serwerze ani do plików samego WordPressa. Zakres skanowania jest określany po stronie hostingu i może obejmować również inne katalogi znajdujące się w chronionej przestrzeni użytkownika. Dla skanera znaczenie ma przede wszystkim to, czy dany plik znajduje się w obszarze objętym ochroną, a nie to, do jakiego systemu CMS należy.

W obszarze objętym skanowaniem analizowane są m.in.:

• pliki PHP i pozostałe pliki aplikacji internetowej,
• pliki konfiguracyjne, w tym pliki .env,
• logi i kopie zapasowe zapisane jako pliki,
• eksporty baz danych, np. pliki .sql,
• inne pliki znajdujące się w ścieżkach objętych ochroną.

Ważne jest tutaj rozróżnienie pomiędzy usługą a plikiem związanym z jej działaniem. Monarx nie wykonuje standardowego skanowania zawartości działającej bazy MySQL, ale kopia takiej bazy zapisana jako plik backup.sql jest już zwykłym plikiem znajdującym się na dysku i podlega zasadom skanowania plikowego, jeśli znajduje się w chronionym obszarze. Podobnie wygląda to w przypadku różnych logów, eksportów czy kopii konfiguracyjnych.

Śledź informacje o podatnościach. Na blogu SEOHOST publikujemy m.in. informacje o aktualizacjach bezpieczeństwa WordPressa, popularnych wtyczek, innych systemów CMS oraz wykrytych lukach. Warto je regularnie sprawdzać – Monarx jest dodatkową warstwą ochrony, ale nie zastępuje aktualizacji podatnego oprogramowania.

Czego Monarx nie skanuje?

Monarx kontroluje pliki zapisane na serwerze, obserwuje wykonywanie aplikacji PHP i filtruje część ruchu sieciowego. Standardowa ochrona nie obejmuje jednak bezpośredniego skanowania dwóch istotnych obszarów:

• zawartości działających baz danych,
• poczty e-mail obsługiwanej przez protokoły SMTP, IMAP i POP3.

W obu przypadkach trzeba jednak odróżnić samą usługę od plików lub skryptów znajdujących się na stronie.

Czy Monarx skanuje bazy danych?

Nie. Standardowa ochrona Monarx nie wykonuje automatycznego, cyklicznego skanowania rekordów znajdujących się w działających bazach MySQL lub MariaDB. Antivirus koncentruje się na plikach zapisanych na dysku, natomiast ThreatShield obserwuje wykonywanie aplikacji PHP.

Nie oznacza to, że Monarx nie ma żadnego związku z atakami wymierzonymi w bazę danych. ThreatShield może wykrywać i blokować np. próbę SQL Injection podczas wykonywania aplikacji PHP. System zatrzymuje wtedy sposób, w jaki atakujący próbuje dostać się do danych, ale nie wykonuje przy okazji pełnego skanowania wszystkich rekordów znajdujących się w bazie.

Działająca baza danych a jej kopia zapasowa to dwa różne przypadki. Baza MySQL lub MariaDB nie jest bezpośrednio skanowana przez Monarx, ale jej kopia zapisana jako plik .sql podlega skanowaniu plikowemu, jeśli znajduje się w obszarze objętym ochroną.

Czy Monarx skanuje pocztę e-mail?

Nie. Monarx nie jest systemem do skanowania ruchu pocztowego SMTP, IMAP i POP3 i nie zastępuje mechanizmów antyspamowych ani ochrony przed phishingiem działających w usłudze pocztowej. Nie analizuje wiadomości tylko dlatego, że znajdują się w skrzynce e-mail klienta.

Może natomiast wykryć złośliwy mailer PHP, czyli skrypt umieszczony np. w katalogu WordPressa po włamaniu i wykorzystywany do masowego rozsyłania spamu. W takim przypadku Monarx nie skanuje poczty – wykrywa złośliwy plik PHP znajdujący się w obrębie strony. To istotna różnica, ponieważ zainfekowana witryna może służyć do wysyłania spamu nawet wtedy, gdy sama usługa pocztowa działa prawidłowo.

Jeżeli Twoja strona WordPress wysyła wiadomości z formularzy, sklepu lub systemu powiadomień, zobacz również Konfiguracja WordPress do wysyłki maili przez SMTP.

Czy Monarx chroni tylko strony WordPress?

Nie. Monarx nie jest rozwiązaniem przeznaczonym wyłącznie dla WordPressa. Ten CMS jest jednym z najpopularniejszych systemów zarządzania treścią i posiada rozbudowany ekosystem wtyczek oraz motywów. Duża liczba instalacji sprawia, że WordPress jest częstym celem automatycznych skanerów i botów wyszukujących znane podatności. Nie oznacza to jednak, że mechanizmy Monarx zostały stworzone wyłącznie dla tego systemu.

Antivirus pracuje na plikach znajdujących się w obszarze skanowania bez względu na to, czy należą do WordPressa, PrestaShop, Joomli, Drupala czy autorskiej aplikacji. ThreatShield chroni natomiast aplikacje wykonywane w PHP i właśnie tutaj znajduje się jego najważniejsza granica techniczna – ta warstwa działa wtedy, gdy żądanie prowadzi do wykonania kodu PHP.

Jeżeli użytkownik pobiera zwykły statyczny plik albo określone żądanie zostaje obsłużone bez uruchomienia PHP, ThreatShield nie bierze udziału w jego wykonaniu. Nie oznacza to jednak, że całe środowisko przestaje być chronione. Nadal działają pozostałe warstwy Monarx, w tym analiza plików oraz mechanizmy działające na poziomie sieciowym.

Monarx to ważna warstwa ochrony hostingu – ale nie jedyna

Monarx jest istotną warstwą bezpieczeństwa hostingu, ale nie zastępuje wszystkich pozostałych sposobów zabezpieczania strony. Najłatwiej spojrzeć na niego podobnie jak na program antywirusowy lub firewall na komputerze – ich obecność zwiększa poziom ochrony, ale nie oznacza, że można przestać aktualizować system, używać słabych haseł albo instalować nieznane oprogramowanie.

W przypadku strony internetowej zasada jest dokładnie taka sama. Monarx może zablokować wiele prób ataku, wykrywać malware i automatycznie reagować na część zagrożeń, ale nie naprawia źródłowej podatności znajdującej się np. w starej wersji wtyczki WordPress. Dlatego ochrona serwerowa i prawidłowe zarządzanie samą stroną powinny się wzajemnie uzupełniać.

Nadal istotne pozostają:

• regularne aktualizowanie WordPressa, wtyczek, motywów i innych aplikacji,
• usuwanie nieużywanych komponentów strony,
• stosowanie silnych i unikalnych haseł oraz 2FA tam, gdzie jest dostępne,
• wykonywanie i kontrolowanie kopii zapasowych,
• ograniczanie dostępu administracyjnego tylko do osób, które rzeczywiście go potrzebują,
• reagowanie na informacje o nowych podatnościach używanego oprogramowania.

Jeżeli chcesz zobaczyć, z jakimi rodzajami zagrożeń może spotkać się strona WWW, przeczytaj również Jakie zagrożenia czyhają na stronę internetową?.

Jeżeli chcesz dowiedzieć się więcej o poszczególnych elementach ochrony Monarx, zobacz także:

• Monarx w SEOHOST – jak działa ochrona przed malware? – czym jest system i w jaki sposób chroni strony na hostingu.
• Co oznaczają zdarzenia i blokady widoczne w Monarx? – jak interpretować wykryte zagrożenia, status BLOCKED i automatyczne działania ochrony.
• Monarx a dane i prywatność – jakie informacje są przetwarzane, kiedy pełny plik może opuścić serwer i gdzie odbywa się jego analiza.

Monarx działa w ramach zabezpieczeń hostingu SEOHOST już po stronie infrastruktury. Jeżeli szukasz hostingu z wielowarstwową ochroną stron WWW, sprawdź ofertę SEOHOST. Przenosisz istniejącą stronę? Skorzystaj z bezpłatnej migracji do SEOHOST.

Jeżeli masz pytanie dotyczące konkretnej strony, blokady lub pliku wykrytego przez Monarx, prześlij zgłoszenie przez formularz kontaktowy SEOHOST.