Sicherheit
 |
Bitrix Intranet Portal bietet den höchsten Schutz vor Tausenden von Gefahren aus dem Internet. Ihre Website kann täglich angegriffen und Ihre Daten können beschädigt werden. Warum sollte ich meine Website schützen?
|
PRO+PRO™ Framework
PRO+PROTM Framework - das proaktive Schutzsystem
Das PRO+PROTM Security-Framework ist eine einzigartige Sammlung an Tools für den proaktiven Schutz Ihrer Internet/Intranet-Projekte. Das Framework wurde in die Software integriert und wird mit jedem Bitrix Produkt ohne Aufpreis geliefert. Das PRO+PRO Framework ist eine ganze Reihe von technisch fortgeschrittenen Sicherheitstechnologien. Mehrere Sicherheitsebenen bieten Ihnen die Möglichkeit Hackerangriffe rechtzeitig aufzuspüren und Ihre Website vor allen bekannten Internetgefahren zu schützen.
 |  | |||
| ||||
 |  |
Das Modul bietet folgende Funktionen an:
 Systemsteuerung für die Einstellung der Schutzebene
Proaktiver Filter (Web Application Firewall)
Einmalkennwort-Technologie
Schutz autorisierter Sitzungen
Aktivitätskontrolle
Schutz vor Phishing
Protokoll der Angriffe
IP basierter Schutz der Systemsteuerung
Stopplisten
Kontrolle der Skriptvollständigkeit
|
|
Branchenspezifische Sicherheitsschwachstellen
Prozentsatz der anfälligen Webseiten, geordnet nach Branchen.
Quelle: White Hat Security, "Website Security Statistics" by Trey Ford.
 | Über 600 russische Hacker haben während der "Bitrix Real-Time Hack Competition" gleichzeitig versucht das brandneue Bitrix Proactive Protection System zu knacken. Dieser Crash Test wurde im Rahmen des "Chaos Constructions CC9 Festival" im August 2009 durchgeführt. Während der Veranstaltung wurden von dem proaktiven Schutzsystem über 25.000 registriert und abgewehrt, und somit die hervorragende Stabilität des Systems bestätigt. Lesen Sie weiter (eng.). |
| | ||
| |||
| |
.ppt
.zipWeb Antivirus
Bitrix Web-Antivirus: Ihr persönliche Intranet-Sicherheit
Das PRO+PRO System enthält ab sofort einen neuen Bestandteil des proaktiven Schutzes – Bitrix Web-Antivirus. Der Web-Antivirus verleiht zusätzliche Sicherheit für Webprojekt, die mit Bitrix Intranet Portal oder mit Bitrix Site Manager erstellt sind.
|
Funktionen
| Proaktiver Filter (Web Application Firewall)
Systemsteuerung für die Einstellung der Schutzebene
Einmalkennwörter
Schutz der autorisierten Sitzungen
Aktivitätskontrolle
| Schutz vor Phishing
Protokoll der Eindringversuche
IP-basierter Schutz der Systemsteuerung
Stopplisten
Prüfung der Unversehrtheit des Kontrollskripts
|
Proaktiver Filter (Web Application Firewall)
Web Application Firewall schützt Ihr System vor den meisten bekannten Webangriffen. Der Filter erkennt die Gefahren in den eingehenden Anfragen und blockiert die Angriffe. Proaktiver Filter ist der beste Weg um vor möglichen Schwachstellen in den Webimplementierungen (XSS, SQL Injection, einschließlich PHP, etc.) zu schützen. Der Filter analysiert alle Nutzerdaten in Variablen und Cookies.
* Bitte beachten Sie, dass manche harmlose Handlungen der Nutzer unter Umständen auch als Gefahr eingestuft werden können, wodurch die Reaktion des Filters hervorgerufen wird.
|
|
Systemsteuerung für die Einstellung der Schutzebene
Auf jeder Bitrix Intranet Portal basierter Website ist immer die Basisschutzebene voreingestellt. Sie können jedoch Ihre Sitesicherheit enorm steigern, in dem Sie eine der Proactive Protection Einstellungen wählen: Standard, Hoch oder Sehr hoch. Das System zeigt Ihnen aller Schritte, die notwendig sind, um die entsprechende Sicherheitsstufe zu konfigurieren.
|
|
Protokoll über Eindringversuche
Hier werden alle Systemereignisse eingetragen, darunter auch ungewöhnliche und bösartige. Das Protokoll wird in Echtzeit aktualisiert, dadurch sehen Sie die Ereignisse sofort, wenn sie registriert werden. Diese Funktion bieten Ihnen die Möglichkeit Angriffe und Eindringversuche sofort zu entdecken und Gegenmaßnahmen zu treffen oder sie sogar vorzubeugen.
|
|
Einmalkennwörter
Das Proactive Protection Modul unterstützt die Einmalkennwörter für beliebige Sitenutzer. 
Solche Kennwörter sind besonders empfehlenswert für Siteadministratoren, da sie die Sicherheit der "Administratoren"-Anwendergruppe enorm erhöhen.
Das Konzept der Einmalkennwörter verbessert die Standardautorisierung und erhöht enorm die Webprojektsicherheit. Das Einmalkennwortsystem erfordert einen physischen Hardware-Schlüssel (Token) (z.B. Aladdin eToken PASS) oder spezielle OTP-Software.
Diese Technologie gibt Ihnen die eindeutige Kenntnis davon, dass auf der Website nur diejenigen Nutzer autorisiert werden, an die Sie die Token ausgegeben haben. Der Passwortdiebstahl verliert dabei jeden Sinn, da jedes Passwort nur ein Mal verwendet wird. Der Token ist dabei ein physisches Gerät, das auf Knopfdruck jedes Mal ein neues Passwort ausgibt. Somit kann der Token-Besitzer sein Passwort auch nicht an Dritte weitergeben.
|
|
Kontrolle der Dateivollständigkeit
Die Kontrolle der Dateivollständigkeit hilft dem Administrator die verdächtig veränderten Systemdateien aufzuspüren. Sie können jederzeit die Unversehrtheit des Systemkerns, System- oder öffentlichen Dateien prüfen.
|
|
Prüfung der Unversehrtheit des Kontrollskripts
Vor der Überprüfung auf Unversehrtheit ist es notwendig, das Kontrollskript nach möglichen Änderungen zu prüfen. Beim ersten Durchlauf des Skripts geben Sie ein beliebiges Passwort an (Buchstaben und Zahlen) und ein beliebiges Schlüsselwort (anderes als Passwort) an und klicken Sie auf "Set New Key".
|
|
|
Schutz der Systemsteuerung
Dieser Schutztyp reguliert streng die Netze, die als sicher eingestuft werden und aus den Nutzern erlaubt ist das Portal zu administrieren. Alles, was Sie tun müssen, ist gültige IP-Adressen festzulegen. Machen Sie sich keine Sorgen darüber, dass Sie vergessen, sich selbst in diese Liste einzugeben, dies wird von dem System selbst übernommen.
Was bringt Ihnen das? Jeder XSS/CSS-Angriffsversuch wird uneffektiv, und Diebstahl von Autorisierungsdaten absolut sinnlos.
|
|
Schutz der Sitzungen
Die meisten Angriffe auf Webanwendungen haben zum Ziel den Diebstahl der Daten der autorisierten Sitzung des Anwenders. Durch den Sitzungsschutz wird der Diebstahl von Sitzungsdaten sinnlos. Und wenn es sich um die autorisierte Sitzung des Administrators handelt, ist der Schutz dieser Sitzung eine besonders wichtige Aufgabe.
Zusätzlich zu den Standardsicherheitseinstellungen, die in den Gruppeneinstellungen eingestellt werden, beinhaltet der Sitzungsschutzmechanismus zusätzliche einzigartige Einstellungen.
Aufbewahrung der Sitzungsdaten in der Moduldatenbank ermöglicht es den Diebstahl dieser Daten durch andere Skripte zu vermeiden. Dadurch werden Fehler bei der Konfiguration der virtuellen Hostings, Fehler bei den Einstellungen der Zugriffsrechte in temporären Ordnern und einige andere Probleme mit dem Betriebssystem vermieden. Zusätzlich verringert es den Druck auf das Dateisystem, indem es die Belastung auf den Datenbankserver überträgt.
|
|
Aktivitätskontrolle
Aktivitätskontrolle schützt Ihr System vor überaktiven Nutzern, Programmrobots, einigen Arten von DDoS-Angriffen, und vermeidet Brute Force Attacken. Sie können die maximale Aktivität Ihrer Portalnutzer einstellen (z.B. Anzahl der Anfragen pro Sekunde).
Kontrolle der Nutzeraktivität wird auf der Basis des Web Analytics Moduls geführt, und ist somit, nur in Editionen vorhanden, die dieses Modul beinhalten.
|
|
Stopplisten
Eine Stoppliste ist eine Tabelle die verschiedene Parameter enthält, mit den der Zugriff der Nutzer zum Portal eingeschränkt wird. Portalbesucher, deren IP-Adressen in der Stoppliste eingetragen sind, werden gesperrt.
|
|
Schutz vor Phishing
Als Phishing werden Versuche gekennzeichnet, über gefälschte Webadressen an Daten eines Internet-Benutzers zu gelangen.
Es gibt zwei Möglichkeiten um Phishing-Angriffe vorzubeugen:
- Böswillige Weiterleitungen aufspüren, durch verdächtige Links im HTTP-Header
- Links mit digitaler Signatur versehen und diese vor der Weiterleitung überprüfen
- Warnungen bei Weiterleitungen anzeigen
- Besucher nur an geprüfte Sites weiterleiten
Zertifizierungen
Zertifizierungen
Bitrix praktiziert permanentes Überwachen und Testen aller Systemschutzmechanismen. Um die Unvoreingenommenheit und Objektivität solcher Tests zu gewährleisten, beauftragen wir unabhängige Experten damit, Prüfungen durchzuführen. Zertifikate, die von den Security Audit Firmen ausgestellt sind, bestätigen die Qualität der Schutzmechanismen und ihre Übereinstimmung mit den Informationssicherheitsanforderungen.
 | |
|
|
"Protected Web Application"
Das Zertifikat ist ausgestellt von der Firma Positive Technologies, die den Audit der neuen Sicherheitsfunktionen in Bitrix Intranet Portal durchgeführt hat. Das eingebaute Sicherheitssystem entspricht vollkommen den Anforderungen der Web Application Firewall Evaluation Criteria, die von dem Web Application Security Consortium bestimmt sind.
|
