Анализ на съвременните приставки за сигурност в WordPress | Защитена на: 01/01/1900

WordPress е най-популярната система за управление на съдържание (CMS) в света захранваща 40.1% от всички уеб сайтове в интернет. Пазарният й дял в CMS сегмента е 64.3%, а грубо казано на всеки две минути се създава по един сайт от топ 10 милиона сайтове използващ WordPress. В последните години сайтовете използващи WordPress са популярна мишена за хакери заради голямата популярност на платформата. По данни на Wordfence за 2020 година техният софтуер е блокирал 90 милиарда атаки от 57 милиона уникални IP адреси, около 2800 атаки в секунда. За да решат тези проблеми потребителите прибягват до приставки за сигурност, които да им помогнат да се справят със заплахите за сигурността. Търсене в официалното хранилище за приставки на WordPress по ключовата дума „security“ намира над 1000 резултата. От тях трябва да се направи избор на една или няколко, като се вземат под внимание индивидуалните особености на всяка и изискванията, и ограниченията на съответната WordPress конфигурация.

Оказва се, че тази задача далеч не е тривиална поради липса на достатъчно информация. В описанията на тези приставки се изброяват различни функционалности и атаки срещу, които са полезни. В интернет има много статии, които препоръчват използването на определена приставка или правят класации на приставки. Въпреки това голяма част от тях са повърхностни, базирани на описанията предоставени от авторите на приставките и не предоставят солидни аргументи. Има и такива, които са публикувани единствено с цел реклама на определен продукт и дори съдържат невярна информация.

В интернет не бе намерен задълбочен анализ на работата на основните приставки за сигурност, който да включва анализ на кода, тестове с различни видове заплахи, проверка на данните, които събират, и оценка на силните и слабите им страни. Като основна полза такъв вид анализи, направени от независими изследователи биха донесли ползи както за потребителите така и за разработчиците на приставки за сигурност.

 

Цел на дипломната работа: анализ на областта, избор и критерии за анализ на сигурността и експерименти с приставки за сигурност в WordPress. Получаване на данни за принципите на работа на тестваните приставки.

 

Задачи, произтичащи от целта:

 

- Анализ на областта – получаване на детайлна информация за принципите на работа и реализациите на съвременните приставки за сигурност.

- Критерии и избор на приставки, които да участват в изследването

- Подход за провеждане на експеримента – избор на техники и инструменти за работа.

- Постановка на задачите и експериментите: при условия достатъчно близки до реалните се проверят възможностите на всяка от избраните приставки чрез провеждане на тестове с различни видове заплахи. Това включва, но не само: зловредни програми (malware), задни врати (backdoors), шелове (shells), атаки с изчерпване (brute force), използване на известни уязвимости в приставки, в теми, в ядрото на WordPress и др.

- Определяне и анализ на допълнителното натоварване върху системата породено от работата на всяка от приставките и дали това води до значително забавяне на работата на цялата инсталация.

- Сравнителен анализ на резултатите от изследването на избраните приставките за сигурност в WordPress

 

Допълнително описание на задачите:

- Избор на приставки, които да участват в изследването. Важно е да се избере подходяща извадка, която да включва не само някой от най-популярните приставки, но и такива които използват различни подходи за решаване на проблемите със сигурността.

- Подготвяне на подходяща тестова среда за провеждане на тестове.

- Избор на набор от заплахи, които да бъдат част от тестовия фреймуърк. Намиране на „проби“ (samples) използвани за атаки на реални сайтове. Автоматизиране на процеса на прилагане на тези атаки върху тестовата среда, където е възможно.

- Анализ на системата за приставки на WordPress. Приставките за сигурност, обект на тази дипломна работа, се хостват изцяло от ядрото на WordPress. Следователно и тяхната надеждност е пряко зависима от имплементацията на тази система.

- Анализ на сорс кода на приставките. Представяне на получената информация за принципите на работа по подходящ начин. Обобщаване на силните и слабите страни на всяка. Описване на случаи, в които индивидуалните особености може да са полезни.

- Създаване на специфични атаки, използвайки слабостите на всяка приставка (ако има такива). Отчитаме факта, че тези приставки често се изпълняват в доста ограничена среда и не могат да използват пълните възможности на операционната система, но въпреки това не бива да съдържат нови вектори за атака на WordPress инсталациите.

- Анализиране на данните, които се изпращат, до производителя на приставката. Администраторите на уеб сайтове трябва да са наясно с тази информация, за да могат да защитят данните на своите потребители. Друг важен въпрос е дали има ясен механизъм за изтриване на събраните данни при поискване (ако се събират данни).

- Дефиниране на метрика, чрез която да се покаже допълнителното натоварване породено от работата на приставките. Симулиране на реален трафик.

- Обобщаване на получените резултати. Сравнение на подходите използвани от различните приставки. На база на резултатите се описват идеи за бъдещи разработки в тази област.