Сканирование и удаление вредоносного ПО

Every hosted site is scanned for malware automatically each night, and you can run a scan yourself at any time from the site's Security tab.

Каждый размещённый сайт автоматически сканируется на предмет вредоносного ПО каждую ночь, и вы можете запустить сканирование самостоятельно в любое время на вкладке Security сайта.

Понимание того, что делает сканер и, что не менее важно, что он не делает, определяет разницу между сайтом, который действительно чист, и сайтом, который выглядит чистым.

Запуск сканирования

Перейдите в раздел Websites и откройте сайт.
Откройте вкладку Security, описываемую как "Vulnerability scanning, malware detection, IP blocking, and login hardening."
Найдите карточку Malware scan.
Нажмите Scan now.

The malware scan card on the site Security tab in KPanel

Во время выполнения кнопка меняется на "Scanning". Сканирование проверяет каждый файл в корне вашего веб-сайта и может занять несколько минут на большом сайте.

Сканирование также выполняется автоматически каждую ночь без вашего участия, поэтому результат на карточке никогда не старше одного дня.

Чтение результатов

Clean. Карточка показывает количество просканированных файлов с надписью "Clean" и указанием числа файлов. Ничего подозрительного найдено не было.

Threats found. Карточка указывает, сколько угроз найдено, и выводит список каждого обнаруженного файла с его путём и кнопкой Quarantine.

Failed. Сканирование не удалось завершить. Попробуйте снова, и если оно продолжает завершаться с ошибкой, откройте билет поддержки.

No results yet. На этом сайте никогда не запускалось сканирование. На карточке отображается "No scan results yet. Click Scan now to run the first scan."

Раздел Scan history ниже сохраняет последние десять сканирований, чтобы вы могли увидеть, когда сайт перешёл из состояния чистого в инфицированный, что часто является самым быстрым способом определить, когда началось компрометирование.

Помещение файла в карантин

Нажмите Quarantine рядом с обнаруженным файлом. Файл перемещается из вашего сайта в область карантина на сервере, поэтому он перестаёт выполняться, но не удаляется.

Quarantine: это единственное действие по устранению, которое предлагает сканер. Нет действий "clean", "disinfect" или "repair", потому что они не могут быть безопасными: законный файл с внедрённым в него вредоносным кодом не может быть восстановлен в исходное состояние сканером, который никогда не видел оригинал. Получение исходного файла обратно : для этого служат ваши резервные копии.

Карантин также не имеет самообслуживающегося восстановления. Если вы поместили в карантин нужный вам файл, восстановите его из резервной копии, а не ищите кнопку отмены. См. Restoring From a Backup.

Автоматический карантин

На планах Managed WordPress файлы, обнаруженные во время ночного сканирования, автоматически помещаются в карантин и отмечаются в панели значком Auto-quarantined. На вашей приборной панели появляется предупреждение, указывающее, сколько файлов было обработано и что никаких ручных действий не требуется.

На всех остальных планах обнаружение происходит автоматически, но карантин: нет. Вам нужно открыть вкладку Security и самостоятельно нажать Quarantine для каждого обнаружения.

Если никто регулярно не проверяет панель, автоматический карантин : один из самых веских аргументов в пользу управляемого плана. Обнаружение на неуправляемом плане остаётся там, пока его не заметит человек.

Что сканер не может найти

Это самая важная часть, и это причина, по которой чистое сканирование обнадёживает, а не является окончательным.

Сканер сравнивает файлы со знаменитым вредоносным кодом. Он не:

Читает вашу database. Внедрённые ссылки на спам, рогульные учётные записи администратора и изменённые параметры находятся там и невидимы для сканера файлов.
Обнаруживает законный файл, который был изменён. Одна строка, добавленная к реальному файлу темы, может не совпадать с известной сигнатурой.
Обнаруживает рогульную учётную запись или запланированную задачу, которая является конфигурацией, а не кодом.
Обнаруживает украденные учётные данные. Если у кого-то есть ваш пароль, им вообще не нужно вредоносное ПО.
Оценивает, уязвим ли плагин. Это отдельное сканирование уязвимостей, также на вкладке Security.

Чистое сканирование сайта, который перенаправляет посетителей, отправляет спам или показывает содержимое, которое вы не писали, не означает, что сайт чист. Это означает, что инфекция находится не в файле, который распознаёт сканер. Вместо этого сравните с известной хорошей резервной копией. См. What to Do If Your Site Is Hacked.

Правильный способ очистки инфицированного сайта

Помещение обнаруженных файлов в карантин : это изоляция, а не лечение. Надёжный способ лечения : восстановление.

Возьмите сайт в режим "offline" с защитой паролем, пока вы работаете.
Поместите всё обнаруженное в карантин, чтобы оно немедленно перестало выполняться.
Найдите, когда началась инфекция, используя историю сканирований и логи ошибок.
Восстановите из резервной копии, созданной до этой даты, сначала на staging, затем на live после проверки.
Измените все учётные данные: администраторов приложений, database, SFTP, SSH.
Обновите всё, потому что способ проникновения почти наверняка был устаревшим компонентом.
Сканируйте снова, чтобы подтвердить.
Создайте новую резервную копию чистого сайта.

What to Do If Your Site Is Hacked подробно разбирает каждый из этих шагов.

Другие защиты на вкладке Security

Сканирование вредоносного ПО : одна карточка среди нескольких, и остальные стоит включить, пока вы там.

Vulnerability scan проверяет установленные плагины и темы по базе данных уязвимостей, поэтому вы узнаёте, что компонент уязвим, прежде чем его exploitят.

Login brute-force protection отслеживает попытки входа WordPress и автоматически блокирует адрес после повторных неудачных попыток в короткий промежуток времени.

IP block list позволяет заблокировать конкретный адрес или диапазон на веб-сервере.

Country filtering ограничивает доступ по странам, где ваша аудитория действительно региональна.

Hotlink protection предотвращает встраивание ваших изображений другими сайтами и расходование вашей полосы пропускания.

PCI-DSS hardening на сайтах WooCommerce применяет набор изменений конфигурации в одном действии: отключение редактирования файлов с приборной панели, принудительное использование зашифрованной сессии администратора и блокирование устаревшего удалённого интерфейса, часто используемого в атаках.

Брандмауэр платформы

Отдельно от всего на этой странице управляемый веб-брандмауэр приложений работает перед каждым сайтом и блокирует распространённые шаблоны атак, такие как SQL injection, cross-site scripting и path traversal, прежде чем они достигнут вашего приложения.

Он управляется централизованно. Нет списка правил для каждого сайта, нет переключателя и нет журнала заблокированных запросов для просмотра. Если ваш законный запрос блокируется, это ложное срабатывание, и поддержка может добавить исключение: напишите support@kapsulehost.com с точным URL, временем и описанием того, что вы делали.

Устранение неполадок

Сканирование постоянно завершается с ошибкой. Очень большие сайты могут превысить временное ограничение сканирования. Удалите старые архивы и неиспользуемые установки из корня веб-сайта, затем попробуйте снова. Обратитесь в поддержку, если проблема сохраняется.

Обнаруженный файл, как я знаю, безопасен. Ложные срабатывания случаются, особенно с минифицированным JavaScript и кодом проверки лицензии. Не помещайте его в карантин, если вы уверены, и сообщите поддержке, чтобы это было рассмотрено.

Я поместил в карантин неправильный файл, и сайт сломался. Восстановите этот файл из резервной копии.

Сканирование чистое, но мой сайт был занесён в чёрный список поисковой системой. Инфекция может находиться в database, или запись может быть устаревшей. Правильно очистите сайт, затем запросите рецензию через собственные инструменты поисковой системы.

Я хочу сканировать чаще, чем каждую ночь. Нажимайте Scan now когда угодно. Ограничений нет.

Вредоносное ПО постоянно возвращается. Вы не закрыли способ проникновения. Восстановите из чистой резервной копии вместо очистки на месте, измените все учётные данные и обновите всё.