Co obejmuje ochrona Monarx i czego nie skanuje?

Monarx działa na hostingu SEOHOST jako kilka współpracujących ze sobą mechanizmów bezpieczeństwa. Nie jest wyłącznie skanerem, który raz na jakiś czas przegląda katalog WordPressa w poszukiwaniu podejrzanych plików. W aktualnej konfiguracji ochrona obejmuje pliki zapisane na serwerze, wykonywanie aplikacji PHP oraz ruch, który dociera do chronionego środowiska. Dzięki temu zagrożenie może zostać wykryte lub zatrzymane na różnych etapach – zanim dotrze do aplikacji, podczas wykonywania kodu albo już jako złośliwy plik znajdujący się na koncie hostingowym. Tak szeroki zakres nie oznacza jednak, że Monarx analizuje każdą usługę uruchomioną na hostingu. Standardowa ochrona nie obejmuje między innymi cyklicznego skanowania zawartości działających baz danych ani skanowania poczty e-mail przez protokoły SMTP, IMAP i POP3.

W tym artykule pokażemy, na jakich warstwach działa Monarx, jakie pliki obejmuje skanowanie i gdzie znajdują się granice jego ochrony.

• Jak działa ochrona Monarx na kilku warstwach?
• Jakie pliki i katalogi obejmuje skanowanie?
• Czego Monarx nie skanuje?
• Czy Monarx chroni tylko strony WordPress?
• Monarx to ważna warstwa ochrony hostingu – ale nie jedyna

Jeżeli interesuje Cię przede wszystkim to, jakie informacje są przy tym przetwarzane i kiedy mogą trafić poza infrastrukturę SEOHOST, zobacz również Monarx a dane i prywatność – jakie informacje są analizowane i gdzie są przetwarzane?.

Masz pytanie dotyczące Monarx Security? Jeżeli nie jesteś pewien, co oznacza wykryte zdarzenie, blokada albo informacja widoczna w panelu, skontaktuj się z naszym supportem przez formularz kontaktowy SEOHOST. Podaj domenę i krótko opisz sytuację – sprawdzimy konkretny przypadek.

W SEOHOST wdrożyliśmy jedno z najbardziej zaawansowanych rozwiązań anty-malware przeznaczonych dla środowisk hostingowych – Monarx Security. Dowiedz się, czym jest Monarx i jak chroni hosting oraz strony WWW.

Jak działa ochrona Monarx na kilku warstwach?

W SEOHOST ochrona Monarx działa obecnie w oparciu o trzy główne mechanizmy:

• Monarx Antivirus z Active Protection,
• ThreatShield,
• oraz SmartWAF.

Każdy z nich pracuje w innym miejscu i reaguje na inny rodzaj zagrożenia. Dzięki temu nie opieramy bezpieczeństwa strony wyłącznie na okresowym sprawdzaniu plików znajdujących się na serwerze.

W praktyce każdy z tych mechanizmów odpowiada za inny, jasno określony obszar ochrony. Można potraktować je jak trzy kolejne punkty kontroli – od ruchu docierającego do serwera, przez wykonywanie kodu PHP, aż po pliki zapisane na dysku:

• Monarx Antivirus + Active Protection – odpowiada za analizę plików znajdujących się na serwerze. Włączony w SEOHOST tryb Active Protection rozszerza samo wykrywanie o automatyczną reakcję na zagrożenie. Złośliwy plik może zostać usunięty, natomiast w przypadku prawidłowego pliku, do którego wstrzyknięto obcy kod, system może usunąć złośliwy fragment i zachować jego właściwą zawartość.
• ThreatShield – działa podczas wykonywania aplikacji PHP. Jest mechanizmem RASP (Runtime Application Self-Protection – ochrona podczas wykonywania aplikacji), dzięki czemu analizuje nie tylko sam plik, ale również zachowanie wykonywanego kodu. Pozwala to reagować m.in. na próby wykorzystania podatności, wykonania niebezpiecznych operacji, SQL Injection, Remote Code Execution czy nieautoryzowanego zapisu plików.
• SmartWAF – działa na warstwie sieciowej, zanim ruch dotrze do aplikacji. Wykorzystuje m.in. informacje o reputacji i zachowaniu źródłowych adresów IP, dzięki czemu może zatrzymywać znany złośliwy ruch, boty oraz powtarzające się próby ataków jeszcze przed uruchomieniem WordPressa lub innej aplikacji.

Mechanizmy te wzajemnie się uzupełniają. SmartWAF może zatrzymać zagrożenie już na wejściu, ThreatShield obserwuje to, co dzieje się podczas wykonywania PHP, a Antivirus kontroluje pliki znajdujące się na serwerze. Ochrona nie jest więc oparta na jednym skanerze, ale na kilku warstwach działających w różnych miejscach środowiska hostingowego.

Jeżeli w panelu Monarx Security widzisz status BLOCKED, wykryty plik albo inne zdarzenie i chcesz wiedzieć, co dokładnie oznacza, zobacz Co oznaczają zdarzenia i blokady widoczne w Monarx?.

Jakie pliki i katalogi obejmuje skanowanie?

Tak naprawdę Monarx nie ogranicza się wyłącznie do katalogu public_html na Twoim serwerze ani do plików samego WordPressa. Zakres skanowania jest określany po stronie hostingu i może obejmować również inne katalogi znajdujące się w chronionej przestrzeni użytkownika. Dla skanera znaczenie ma więc przede wszystkim to, czy dany plik znajduje się w obszarze objętym ochroną, a nie to, do jakiego systemu CMS należy. WordPress jest tutaj dobrym przykładem, ponieważ ze względu na swoją popularność oraz ogromny ekosystem wtyczek i motywów regularnie pojawiają się dla niego poprawki bezpieczeństwa oraz informacje o nowych podatnościach. Nie oznacza to jednak, że Monarx został stworzony wyłącznie dla WordPressa – do tego wrócimy w dalszej części artykułu.

W obszarze objętym skanowaniem analizowane są m.in.:

• pliki PHP i pozostałe pliki aplikacji internetowej,
• pliki konfiguracyjne, w tym pliki .env,
• logi i kopie zapasowe zapisane jako pliki,
• dumpy baz danych, np. pliki .sql,
• inne pliki znajdujące się w ścieżkach objętych ochroną.

Ważne jest tutaj rozróżnienie pomiędzy usługą a plikiem związanym z jej działaniem. Monarx nie wykonuje standardowego skanowania zawartości działającej bazy MySQL, ale kopia takiej bazy zapisana jako plik backup.sql jest już zwykłym plikiem znajdującym się na dysku i podlega zasadom skanowania plikowego. Podobnie wygląda to w przypadku różnych logów, eksportów czy kopii konfiguracyjnych.

Śledź informacje o podatnościach. Na blogu SEOHOST publikujemy m.in. informacje o aktualizacjach bezpieczeństwa WordPressa, popularnych wtyczek, innych systemów CMS oraz wykrytych lukach. Warto regularnie je sprawdzać – Monarx jest dodatkową warstwą ochrony, ale nie zastępuje aktualizacji podatnego oprogramowania.

Czego Monarx nie skanuje?

Wyżej pokazaliśmy, że Monarx działa na kilku różnych warstwach: kontroluje pliki zapisane na serwerze, obserwuje wykonywanie aplikacji PHP i filtruje część ruchu sieciowego. Zakres ochrony jest więc szeroki i obejmuje wiele obszarów, w których pojawiają się typowe zagrożenia dla stron WWW. Tym łatwiej wskazać dwa ważne obszary, których standardowa ochrona Monarx nie skanuje bezpośrednio:

• zawartość działających baz danych,
• pocztę e-mail obsługiwaną przez protokoły SMTP, IMAP i POP3.

W obu przypadkach trzeba jednak odróżnić samą usługę od plików lub skryptów znajdujących się na stronie.

Czy Monarx skanuje bazy danych?

Nie. Standardowa ochrona Monarx nie wykonuje automatycznego, cyklicznego skanowania rekordów znajdujących się w działających bazach MySQL lub MariaDB. Antivirus koncentruje się na plikach zapisanych na dysku, natomiast ThreatShield obserwuje wykonywanie aplikacji PHP.

Nie oznacza to, że Monarx nie ma żadnego związku z atakami wymierzonymi w bazę danych. ThreatShield może wykrywać i blokować np. próbę SQL Injection podczas wykonywania aplikacji PHP. System zatrzymuje wtedy sposób, w jaki atakujący próbuje dostać się do danych, ale nie wykonuje przy okazji pełnego skanowania wszystkich rekordów znajdujących się w bazie.

Trzeba też pamiętać o wspomnianym wcześniej rozróżnieniu: działająca baza danych nie jest skanowana jak plik, ale jej kopia zapisana jako plik .sql podlega skanowaniu plikowemu, jeśli znajduje się w obszarze objętym ochroną.

Czy Monarx skanuje pocztę e-mail?

Nie. Monarx nie jest systemem do skanowania ruchu pocztowego SMTP, IMAP i POP3 i nie zastępuje mechanizmów antyspamowych ani ochrony przed phishingiem działających w usłudze pocztowej. Nie analizuje wiadomości tylko dlatego, że znajdują się w skrzynce e-mail klienta.

Może natomiast wykryć złośliwy mailer PHP, czyli skrypt umieszczony np. w katalogu WordPressa po włamaniu i wykorzystywany do masowego rozsyłania spamu. W takim przypadku Monarx nie skanuje poczty – wykrywa złośliwy plik PHP znajdujący się w obrębie strony. To istotna różnica, ponieważ zainfekowana witryna może służyć do wysyłania spamu nawet wtedy, gdy sama usługa pocztowa działa prawidłowo.

Jeżeli Twoja strona WordPress wysyła wiadomości z formularzy, sklepu lub systemu powiadomień, zobacz również Konfiguracja WordPress do wysyłki maili przez SMTP.

Czy Monarx chroni tylko strony WordPress?

Nie.

Monarx bywa mocno kojarzony z WordPressem, ponieważ ten CMS jest niezwykle popularny i posiada ogromny ekosystem wtyczek oraz motywów. W praktyce oznacza to również dużą liczbę instalacji, które są regularnie sprawdzane przez automatyczne skanery oraz boty wyszukujące znane podatności. Z punktu widzenia ochrony hostingowej WordPress jest więc jednym z tych środowisk, w których skuteczne wykrywanie malware i prób wykorzystania luk bezpieczeństwa ma szczególne znaczenie.

Powróćmy jednak do głównego pytania: czy Monarx chroni tylko WordPressa? Nie. Monarx nie sprawdza, czy strona „jest WordPressem”, zanim zacznie ją chronić.

Antivirus pracuje na plikach znajdujących się w obszarze skanowania bez względu na to, czy należą do WordPressa, PrestaShop, Joomli, Drupala czy autorskiej aplikacji. ThreatShield chroni natomiast aplikacje wykonywane w PHP i właśnie tutaj znajduje się jego najważniejsza granica techniczna – ta warstwa działa wtedy, gdy żądanie prowadzi do wykonania kodu PHP.

Jeżeli użytkownik pobiera zwykły statyczny plik albo określone żądanie zostaje obsłużone bez uruchomienia PHP, ThreatShield nie bierze udziału w jego wykonaniu. Nie oznacza to jednak, że całe środowisko przestaje być chronione. Nadal działają pozostałe warstwy Monarx, w tym analiza plików oraz mechanizmy działające na poziomie sieciowym.

Monarx to ważna warstwa ochrony hostingu – ale nie jedyna

Monarx jest istotną warstwą bezpieczeństwa hostingu, ale nie zastępuje wszystkich pozostałych sposobów zabezpieczania strony. Najłatwiej spojrzeć na niego podobnie jak na program antywirusowy lub firewall na komputerze – ich obecność znacząco zwiększa bezpieczeństwo, ale nie oznacza, że można przestać aktualizować system, używać słabych haseł albo instalować nieznane oprogramowanie.

W przypadku strony internetowej zasada jest dokładnie taka sama. Monarx może zablokować wiele prób ataku, wykrywać malware i automatycznie reagować na część zagrożeń, ale nie naprawia źródłowej podatności znajdującej się np. w starej wersji wtyczki WordPress. Dlatego ochrona serwerowa i prawidłowe zarządzanie samą stroną powinny się wzajemnie uzupełniać.

Nadal istotne pozostają:

• regularne aktualizowanie WordPressa, wtyczek, motywów i innych aplikacji,
• usuwanie nieużywanych komponentów strony,
• stosowanie silnych i unikalnych haseł oraz 2FA tam, gdzie jest dostępne,
• wykonywanie i kontrolowanie kopii zapasowych,
• ograniczanie dostępu administracyjnego tylko do osób, które rzeczywiście go potrzebują,
• reagowanie na informacje o nowych podatnościach używanego oprogramowania.

Jeżeli chcesz zobaczyć, z jakimi rodzajami zagrożeń może spotkać się strona WWW, zobacz również Jakie zagrożenia czyhają na stronę internetową?.

Jeżeli chcesz dowiedzieć się więcej o poszczególnych elementach ochrony Monarx, zobacz również:

• Monarx w SEOHOST – jak działa ochrona przed malware? – czym jest system i w jaki sposób chroni strony na hostingu.
• Co oznaczają zdarzenia i blokady widoczne w Monarx? – jak interpretować wykryte zagrożenia, status BLOCKED i automatyczne działania ochrony.
• Monarx a dane i prywatność – jakie informacje są przetwarzane, kiedy pełny plik może opuścić serwer i gdzie odbywa się jego analiza.

Monarx działa w ramach zabezpieczeń hostingu SEOHOST już po stronie infrastruktury. Jeżeli szukasz hostingu z wielowarstwową ochroną stron WWW, sprawdź ofertę SEOHOST. Przenosisz istniejącą stronę? Skorzystaj z bezpłatnej migracji do SEOHOST.

Jeżeli masz pytanie dotyczące konkretnej strony, blokady lub pliku wykrytego przez Monarx, prześlij zgłoszenie przez formularz kontaktowy SEOHOST.