Evitar ser hackeado

Mi sitio ha sido hackeado ¿Qué hacer?

Está es una guía practica, por favor, tome su tiempo.

Está es un guía en evolución y cubre gran parte de los aspectos de seguridad que son responsabilidad del titular de la cuenta hosting. Si usted no los cumple todas las indicaciones su sitio web y sus datos seguirán siendos inseguros y hackeados nuevamente.

Estos son algunos consejos para mantener su sitio seguro. Esto fue escrito principalmente en respuesta a un sitio hackeado.

1.- Lo primero que debe realizar es visitar el sitio web de los desarrolladores de sus script y/o aplicaciones web, para informarse por cualquier mod que sea necesario actualizar  por encontrarse desactualizado.

Si usted esta utilizando alguna aplicación de código abierto es necesario comprobar y mantener las últimas versiones de estas aplicaciones. Además siempre seguir todas las instrucciones y consejos de seguridad que nos puedan entregar en el sitio web de estas aplicaciones.

No olvide comprobar la base de datos de www.secunia.com para conocer cualquier exploits publicado.

2.- Una vez que haya comprobado que sus script se encuentran verificados y actualizados a su versión estable, tendrá que volver a subir todos sus archivos y asegurarse que ningún archivo allá sido intervenido por algún pirata informático, una buena práctica es comparar sus antiguos archivos por los que se encuentran en el servidor.

Usted puede utilizar su gestor FTP favorito o el administrador de archivos que se encuentra en su panel de control, verificar todos los archivos que se encuentran en public_html (cPanel) y wwwroot (DotNetPanel, hosting ASP) y comprobar con su copia local. Usted siempre debe mantener una copia en local para su seguridad, ambos paneles disponen herramientas que permiten automatizar las tareas de respaldos.

3.- Asegúrese que todas las contraseñas sean una mezcla de caracteres alfa numéricos, su contraseña no debe contener su nombre ni  usuario y mucho menos palabras del diccionario, no por colocar una palabra difícil del diccionario no hará mas fuerte su contraseña.

4.- Utilice para todas sus aplicaciones web que se conecten a una base de datos, usuarios diferentes, no utilizar nunca como nombre de usuario el de tu cuenta principal y jamás como contraseña el nombre de usuario de su cuenta. Nunca almacenar en algún archivo los datos de acceso, solamente donde le sea solicitado.

5.- En su panel de control cPanel habilite la opción “Registro de Acceso Raw”, esto le dará a usted la oportunidad de comprobar como los hackers explotan sus secuencias de comando. Si ya ha sido hackeado es demasiado tarde, pero puede activar y archivar los registros para el futuro.

6.- Si ha personalizado una aplicación web como un mod, asegúrese de que también sea el último estable. Muchas aplicaciones web populares pueden ser estables, pero uno de los mods adicionales están siendo explotados.

7.- Si usted ha escrito código adicional, asegúrese de que todas las secuencias de comandos se encuentren verificadas. De lo contrario una sola línea de código incorrecta puede dar acceso a toda la cuenta. Un error habitual es proteger solo el archivo de acceso a usuarios.

8.- Para php cualquier aplicación que utilice register_globals activadas tiene mas posibilidades de ser explotadas. Evite utilizar.

9.- Si usted tiene un script mail, asegúrese que el From se encuentre a salvo de posibles inyecciones. Básicamente verifique que la dirección de correo electrónico, remitente y otros datos no contengan saltos de linea.

10.- El uso de aplicaciones de código abierto es muy frecuente pero es necesario mantener actualizadas regularmente o usted puede perder sus datos. Como propietario de una cuenta hosting, es su responsabilidad mantener instalada las versiones estables de sus aplicaciones.

11.- Si su sitio ha estado funcionando bien durante años no quiere decir que no hayan aguajeros de seguridad. Siempre puede existir una nueva forma o una desconocida forma de explotar aplicaciones.

12.- Para mayor seguridad, cambie los permisos de los archivos de configuración (Que contengan datos a MySQL, PostgreSQL u otro tipo de BD) a 660. Puede hacerlo a través de su gestor FTP o desde el administrador de archivos de su panel de control.

13.- Para mayor seguridad, si se puede bloquear el acceso a ciertas secciones administrativas de su sitio web mediante el acceso único a direcciones IP autorizadas (deberá tener una IP dedicada entregada por su proveedor de internet).

14.- Si existe la posibilidad de carga de archivos asegúrese que solo los usuarios debidamente registrados utilicen estas funciones.

Asimismo, trate que el archivo cargado no sea accesible a través de una URL, que permita acceder directamente desde internet, puede almacenar a fuera de public_html a menos que:

a) Sólo es subido por un administrador del sitio.

b) Controlar y validar que no sean explotables.

15.- Si hay alguna redirección URL o acceso al Webmail para los usuarios de su sitio web asegúrese de entregar a usuarios responsables de lo contrario puede ser utilizada para el envío de Spam.

16.- Si usted se encuentra en etapa de desarrollo donde solo usted necesita acceder al sitio web, es recomendable proteger con contraseña su sitio web.

Usted puede proteger su sitio web y cualquier directorio con las opciones que se encuentran en su panel de control.

17.- Los servidores compartidos (Hosting y revendedores) de Sintetix  vienen configurados con phpsuexec, para carpetas los permisos máximos son 755 y para archivos php, html pueden ser 644. En caso de ejecutar CGI scripts perl puede ser 755.

18.- Cualquier desarrollador, programador  debe estar familiarizado con la seguridad, una buena práctica es visitar los sitios de las aplicaciones que utiliza. Algunos presindibles pueden ser:

PHP: http://php.net/manual/es/index.php

MySQL: http://www.mysql-hispano.org/

PostgreSQL: http://www.postgresql-es.org/

 

  • 5 Los Usuarios han Encontrado Esto Útil
¿Fue útil la respuesta?

Artículos Relacionados

Guías para principiantes

Principiantes / Cómo empezar en internet Existen empresas que te ofrecen poner tu página web de...

¿Como comenzar con mi hosting?

¿Cómo empezar? El e-mail de bienvenida Tras contratar su plan de alojamiento con Sintetix,...

Información completa sobre IP bloqueada

En Sintetix utilizamos dos zonas de MAPS, Spamcop y Spamhaus, para combatir la recepción de SPAM...

¿Como saber si mi sitio esta o no fuera de línea?

Existen diferentes herramientas que nos permiten saber si nuestro sitio se encuentra en línea:...

Evitemos caer en el Spam

1.- No distribuya direcciones de correo ajenas: En vez de usar el campo A: o Para:, use el campo...