Не успели еще привыкнуть к тому, что мир разработки полностью изменился после прихода ИИ, как уже пришли новые проблемы и вызовы, связанные с ним же. В новостях всё чаще появляются упоминания о взломах целых экосистем, в том числе и финансовых. Что же делать простому владельцу сайта в условиях, когда даже глобальные корпорации не могут защитить свои системы? В этой статье мы рассмотрим, что делает Drupal для безопасности и что с этим делать собственнику бизнеса.
Для начала стоит понимать, как устроено версионирование в Drupal. На момент написания статьи актуальной версией является 11.4.11. Первое число указывает на мажорную версию, второе — на минорную, а третье — на патч. От того, на какой версии находится сайт, зависит, будет ли он получать регулярные обновления.
Новая мажорная версия выходит раз в два года и поддерживается минимум 4 года — до выхода следующих двух мажоров.
Минорная версия выходит чаще — раз в полгода, в июне и в декабре. До ноября 2026 года она поддерживалась год, но 2 ноября команда безопасности объявила, что с 2027 года срок поддержки сократится до 8 месяцев. Разработчики связывают это с большим количеством сообщений об уязвимостях, которые находят с помощью ИИ.
Патч — это третье число в номере версии. Патч-версия выходит примерно раз в месяц, в окне первой среды. В ней только небольшие исправления внутри текущей минорной ветки.
Обновление безопасности — отдельный выпуск. Оно тоже увеличивает третье число в номере версии на единицу, но выходит в другой день — в третью среду — и только когда закрывают уязвимость. В первые шесть месяцев минорная ветка получает и такие ежемесячные исправления, и обновления безопасности. Следующие два месяца — только обновления безопасности.
Если сайт не находится в активной разработке, а просто стабильно используется, то ставить все выходящие обновления — избыточно. Мы рекомендуем ограничиться обновлениями безопасности. А по мере их установки будут подтягиваться и другие обновления.
Но помимо ядра, в Drupal есть еще и модули. Даже на сайте среднего размера их может быть десятки, а то и сотни. График выхода обновлений безопасности для модулей другой — обновления публикуются каждую среду: это день, когда выпуск возможен, а не день, когда он обязательно будет. Какой модуль выйдет, заранее неизвестно: сообщение об уязвимости закрыто, пока не готовы исправление и объявление. Если уязвимость уже эксплуатируют, выпуск могут сделать вне среды. Для критичных случаев в понедельник перед средой иногда публикуют предупреждение.
Таким образом, досконально спланировать обновления невозможно: нужно просто знать, что они выходят, и устанавливать их регулярно.
Узнавать о выходе обновлений безопасности можно из официальных источников и каналов, но гораздо удобнее получать информацию, которая относится именно к вашему сайту с уникальным набором модулей и конфигураций. Для этого в ядре предусмотрено сообщение о наличии обновлений безопасности и email-уведомления. Если их корректно настроить, то вы будете получать письма о том, что доступно очередное обновление. Для наших клиентов мы предоставляем услугу мониторинга обновлений. При подключении такой услуги заявки о наличии обновлений заводятся автоматически и сразу назначаются команде инженеров, которые сначала ставят обновление на копию сайта, а затем переносят его на боевой сервер.
Но сайт не находится в вакууме: его окружает множество других систем и сервисов, которые тоже могут быть уязвимы. Если сайт находится на шаред-хостинге, то обязанность по обеспечению безопасности лежит на хостинг-провайдере. Если же сайт расположен на виртуальном сервере, то обязанность по обеспечению безопасности лежит на владельце сайта. Различного серверного софта может быть установлено довольно много, и следить за каждым вышедшим обновлением довольно проблематично. Тут стоит взять за правило проверять наличие обновлений хотя бы раз в месяц, а также следить за профильными новостями, чтобы быть в курсе выхода экстренных обновлений, либо довериться профессионалам и подключить услугу мониторинга обновлений.
Но даже после того, как процессы регулярных обновлений отлажены, не стоит забывать о том, что сайт размещен на инфраструктуре хостинга, которая тоже может быть уязвима. Недавняя новость о взломе Beget подтверждает это. Самое неприятное, что от этого никто не застрахован и никак не может на это повлиять. Поэтому наличие резервной копии сайта остается необходимым. Обязательный минимум для того, чтобы чувствовать себя спокойно, — наличие ежедневной резервной копии сайта, которая хранится не на том же сервере, на котором размещен сайт, и даже не у того же хостинг-провайдера. Тогда в случае проблем на стороне хостера вы сможете оперативно восстановить сайт и продолжить работу. Еще лучше, но не обязательно, хранить несколько долгосрочных копий, например, три недельных и одну месячную. Это поможет в случае, если сайт был взломан, а стало известно об этом не сразу.
Мы предлагаем услуги по резервному копированию сайта в облака S3. Это медленные хранилища, зато они доступны из любой точки мира и не требуют больших затрат на поддержку.
Добавить комментарий