Magento Sicherheit Checkliste

Prüfen auf Magento Sicherheitslücken https://www.magereport.com

Patch installieren per Command Line

cd [pfad-magento-root]
sh PATCH_SUPEE-8788_CE_1.9.0.1_v2-2016-10-14-09-37-14.sh
rm -R var/cache/mage-*

				

Das Verzeichnis wird komplett gesperrt und muss manuell wieder freigegeben werden

1. Die .htaccess Datei erweitern im Verzeichnis / Pfad

[pfad-magento-root]/downloader/.htaccess

2. Apache Direktriven eintragen

Order deny,allow
Deny from all
#Allow from 1.1.1.1

automatisierte Bots die Sicherheitslücken ausnutzen

 

1. SSL Zertifikat installieren
2. Magento > Konfiguration > SSL aktivieren

Übertragung von Passwörtern im Klartext
Abhören Passwörter
Abhören von Webseiten Verkehr

• Zeitbasierende Regeln mit Apache Direktriven
• Beschränken auf statische IP
• Ändern der Admin URL in der Datei lokal.xml
• schwieriges Passwort
• unterschiedliche Benutzer für Admin und Management

Zeitbasierende Rewrite Regeln. Von 09 bis 19:00 jeder Wochentag.

RewriteCond %{REQUEST_URI} ^/index.php/admin/$ [NC]
RewriteCond %{TIME_HOUR} >09
RewriteCond %{TIME_HOUR} <19
RewriteRule .* - [F]
				

automatisierte Brute-force Attacken auf den Admin Zugang.
DDOS Attacken
Sicherheitslücken
Risiko auslesen Daten Zahlungsmodule

Prüfen folgende URL von einem Browser oder Curl aufrufbar ist.

http://[domain]/app/etc/local.xml

http://[domain]/RELEASE_NOTES.txt

Auslesen der Software Version um bekannte Schwachstellen zu nutzen.

http://[domain]/app/etc/Mage_All.xml

und auf <active>false</active> setzen

<Mage_Rss>
	<active>true</active>
	<codePool>core</codePool>
	<depends>
		<Mage_Catalog/>
		<Mage_CatalogInventory/>
		<Mage_Sales/>
		<Mage_SalesRule/>
		<Mage_Wishlist/>
	</depends>
</Mage_Rss>

Bots für Preisvergleiche, Warenbestände etc
DDOS Attacken

• Kontrolle Logbuch Webserver auf HTTP Status Codes 408
• Kontrolle Keep-alive Timeout (Info) . Wert herabsetzen
• Security Scan von Drittanbieter
• Installation, Aktivierung und Konfiguration einer der folgenden Module

1. mod_reqtimeout Module Apache (ab v2.2.15),
2. mod_qos Module 
3. mod_security

HTTP DOS Attacken, Abwehr Sloris / Loic
Unterbrechung Server Dienst
Ausfall Umsätze

Kontrolle Logbuch Webserver

Blockiern betreffender Referrer in der Datei .htaccess wie folgt

SetEnvIfNoCase Referer buttons-for-website.com spammer=yes
SetEnvIfNoCase Referer seoanalyses.com spammer=yes
SetEnvIfNoCase Referer magento-crew.net spammer=yes

Order allow,deny
Allow from all
Deny from env=spammer

• Manipulation von Logbüchern wie GoogleAnalytics, Piwik
• Verfälschung Datenverkehr

• Kontrolle Logbuch Webserver
• Kontrolle der IP Adressen der fraglichen Quellen
• Installation von Honeypot zu weiten aufspüren
• Blockieren von Spambots in der Datei .htaccess wie folgt

• Serverauslastung
• Content Kopieren
• Abhören, Ausspionieren eCommerce Shop
• Kommentar Spam
• Denial-of-Service

1. Pürfen ob folgende URL aus dem Internet aufrufbar ist: http://[domain]/server-status
2. In der apache.conf Datei den Wert auf
   

   ExtendedStatus Off setzen

• Ausspionieren der Serverauslastung
• Ausnutzung Serverschachstellen