Занимљива недеља за нама што се тиче Адриахоста. Хостинг компаније обично не желе да говоре о стварима које ћу ја сада написати, али мој став о томе је да треба бити професионалан и транспарентан како би корисници имали бољу слику о проблемима са којима се једна хостинг компанија сусреће.
Оно што је сигурно је да је једина сигурна ствар у природи – промена. Колико год се ти трудиш да осигураш сервер, заштитиш га, предупредиш све могуће нападе, никада није 100% сигурно. Увек може да се деси неки проблем. Администрација сервера мора увек бити проактивна – пратити логове, читати о најновијим security рупама, вирусима и слично. Чак и широм веба познате фирме за администрацију сервера не гарантују 100% да се вашем серверу ништа неће десити, већ гарантују да ће учинити све да умање ризик и да ће брзо реаговати када се нешто деси.
Ево шта се нама десило прошле недеље. Врати се колега са паузе за кафу и угледа сигурносни мејл који јавља да се неко улоговао као Root на сервер са ИП адресе која није у фирми. Одмах, смо направили хитан састанак и поразговарали о чему се ради, ко би могао да буде (понекад ангажујемо једну US фирму за одређене послове) међутим закључимо да се ради о упаду на сервер. Идентификовали смо који је процес покренут и прекинули га (terminated). Уљез (aka Alien) је избачен после 12 минута, али то време је било довољно да скрип који је покренуо уклони index странице са око 200 сајтова. На десетак сајтова је осванула арапска застава, а на већини скрипт једноставно није стигао да заврши до краја и уклонио је само index па сајт није био видљив. Ужас – терористи!

Решење

Ок, шта да радимо сада? Прво смо се бацили на анализу и покушали да утврдимо шта се тачно десило. У том тренутку почињу да звоне телефони у продаји. Корисници покушавају да добију корисничку подршку иако не пружамо корисничку подршку путем телефона (објаснићу касније).
Утврдили смо да напад ипак није направио неку велику штету, већ да се ради о покушају дифејсовања (енгл. defacing). Укратко, то је када вицкасти нападач, упадне на сајт и замени index странице (homepage тј. frontpage), пободе своју заставу или знак и тако испадне даса. У Србији су нападачи обично са блиског истока или са Косова и Албаније. И тако се на пар десетина сајтова појавила дотична арапска застава са почетка чланка.
Наравно да имамо бекап свих сајтова. Ми правимо недељни бекап сајтова свих наших клијената, иако сваки корисник има могућност да у cPanel-у једним кликом направи бекап свог сајта или да закаже прављење бекапа у неко време (рецимо свака 4 дана). У Србији већина хостинг компанија нема бекап јер то поприлично повећава месечне трошкове (закуп додатних хард-дискова, bandwidth и offsite опрема). Чуо сам гомилу тужних прича, а имам и лично искуство са једном великом хостинг компанијом. Прича је кратка – сервер је нападнут, сајтови инфицирани, па обрисани и онда вам кажу “подигните поново сајт” – јер они немају бекап.
Ипак, ту је и мали проблем. Бекап је недељни и није проблем вратити сајтове који су нападнути, али бекап је стар 2 дана, што значи да када вратимо те сајтове корисници ће имати последњи запис у бази од пре 2 дана. Собзиром да је нападач само заменио index сајта, нема потребе да се restor-ује цео сајт, него би много боље само извући index.htm из бекапа. Е, ту је мала зачкољица – за то нема аутоматске опције већ је потребно све радити ручно и за сваки од 200 сајтова је потребно 3-5 минута по сајту. Ту је разлика између наше услуге и услуге коју би сте обично добили. Да би смо свих 200 сајтова вратили треба нам мање од 30 минута, али да би смо урадили то на бољи начин треба цео дан. Одлучујемо се за квалитетнију варијанту и крећемо.
Собзиром да радимо са пословним корисницима, враћање 2 дана уназад подразумева – губљење поруџбина 2 задња дана, или резервација, података корисника који су се од тада регистровали или слично… Операција успешно завршена, а собзиром да је урађено ван радног времена од 01 до 05 ујутру, већина корисника то није ни осетила, али је наш тим за подршку имао непреспавану ноћ.
Поносан сам на ниво услуге који пружамо, па сам зато потрошио оволико речи да објасним о чему се ради.

Шиптар и магарац

Раније (пре 5 година и пружања хостинг услуга), када би неко пронашао неку рупу у скрипту и дифејсовао неки од наших сајтова, ми би смо узвратили контра-ударац на неки начин, ево једног вицкастог којег често препричавамо. Наиме, обично у коду странице коју су поставили нападач позива слику коју је поставио негде на серверу, е ту слику би смо ми заменили са чувеним видео клипом “шиптар и магарац” на коме неки тип ради “нешто” са магарцем, то све снима његов други и причају на албанском. На тај начин би смо практично изменили страницу, тј. остао би њихов потпис, урл и слично – али уместо поносне албанске заставе би се појавио видео клип који смо ми поставили.
Ипак, собзиром да су наши клијенти пословни корисници, нису дозвољени никакви контранапади, hate-мејлови и сличне ствари јер не желимо да провоцирамо и изазивамо проблеме. Залудан човек има времена на претек.

Милион евра на shared хостингу

Ок, сви сајтови враћени. Служба продаје зове кориснике који су били узрујани да их обавести да је проблем од претходног дана решен и ту се сусрећемо са најчешћим питањем – “Како је могуће да се то десило? Зар ваш сервер није 100% сигуран?”. Не постоји 100% сигуран сервер, постоји могућност да се максимално смањи ризик од напада и потреба да ту увек буде неко ко ће брзо и исправно реаговати на проблем.
И тада ме зову из продаје да ми пренесу како би директор те и те фирме да поприча са директором јер није задовољан услугом и да ће нас тужити за одштету. Преузмем позив и покушам да објасним човеку о чему се ради, међутим из разговора видим да он не разуме ни мало тематику већ да једноставно само жели да некоме натрља нос због тога што му сајт није био видљив пар сати.
“Јел знате ви да пословање наше фирме превазилази милион евра овог месеца и да сте ви то угрозили? Ја озбиљно разматрам да вас тужим за одштету!”
Замисли?! Фирма која вреди милион евра, купи хостинг од 100€ годишње и очекује да никада нема никакав проблем. Најгоре од свега је што је та фирма, која иначе има и свој ИТ сектор у почетку узела и сервер код нас, међутим израчунали су да им је 200-300€ месечно превише скупо и да је боље да пређу на схаред хостинг. То заиста није проблем, али онда не треба мешати бабе и жабе.

Shared хостинг

“Shader” хостинг је “дељени хостинг”, тј. када ваш сајт није сам на серверу већ делите простор/CPU/меморију са другим корисницима сервера. Јако је важно да имате добру подршку и да неко редовно прати тај сервер како би већину сигурносних рупа закрпио. Немогуће је затворити све сигурносне рупе јер онда многи скриптови (wordpress, joomla, форуми…) не би радили. Рецимо јако је сигурно прећи на php5, најновију верзију mySQL-а, искључити register_global функције… али ако то урадите многи сајтови неће радити. Зато сигурносна политика балансира на shared хостинг серверу и тражи начин како да пружи максимум сигурности – али да задржи и најважније функционалности.
Сигурност сервера најчеше компромитују неозбиљни корисници – wannabe wеб дизајнери и клинци који подижу форуме, chat скрипте и слично. Wannabe дизајнери (“I want to be” – желим да постанем) – често због неискуства пишу лош php код који нападач лако искористи или забораве да update-ују скрипт који користе (Joomla 1.3 без сигурносних закрпа) што на крају доведе до тога да им неко упадне на сајт. Са друге стране Клинци (то је радни назив код нас), често постављају “hate” форуме којима провоцирају неку контра страну (најчешће на основу националности, вере или сексуалне оријентације) што на крају доведе до напада на сервер. Зато код нас постоје посебни сервери за пословне кориснике и за физичка лица што умањује шансу да се помешају озбиљни и неозбиљни корисници, али то само умањује опасност али не може 100% да гарантује. На “дељеном” хостингу ви једноставно делите судбину других, али је Shared хостинг јефтино и прилично поуздано решење.

Сервер

Подразумева да сте сами на серверу, тада је могуће затворити много више сигурносних рупа и шансе за напад су много мање. На серверу сте господар своје судбине, али је то решење скупље и потребно вам је 150-400€ месечно за закуп сервера и администратора који ће га одржавати. Ово решење је идеално за фирме чије је пословање везано за веб и које имају обрт од неколико хиљада евра месечно. Велика је грешка, ако ваша фирма прави велики обрт да тада доведете у питање “посао од милион евра” зато што сте решили да уштедите и закупите хостинг од 50€ годишње – то је неодговорно.

Зашто не пружамо подршку путем телефона?

Често питање – има више углова овде. Прво, не можеш пружити подршку ако телефони нон-стоп звоне јер корисници често зову и неколико пута за редом, а падне и по нека псовка. Друго, ту је проблем артикулације захтева – често корисник не уме да објасни, не зна шта хоће да пита, не зна свој усернаме, не зна на ком је серверу, не зна име домена и слично. Када нама стигне тикет кроз тикетинг систем одмах можемо да закључимо о ком серверу се ради, ком хостингу и слично… Треће, ту је проблем евиденције – да не буде после “ја сам јавио тада, а ви нисте реаговали на време…” или “нисам то рекао, него…”. У тикету је јасно забележено време и вербализован проблем, као и време одговора наше подршке и његов садржај. Број тикета је мерљив и јасно је видљиво ко је преузео случај.
Дакле, мој савет који важи без обзира код кога имате хостинг је да напишете тикет. Добро објасните о чему се ради и прикупите што више информација како би помогли подршци да вам помогне.

За шта ви пружате подршку?

Ово је друго питање на које треба да обратите пажњу. Ми пружамо подршку за сва питања везана за функционалност сервера и инсталацију скрипти које нудимо (cPanel и Softaculous). Обратите пажњу, ми гарантујемо да ће вам се скрипт исправно инсталирати али не пружамо подршку за сам скрипт (подршку за скрипт тражите од произвођача или од свог вебмастера). Ево, пар примера:

Пример 1 – не ради ми Joomla

Ако вам Joomla не ради, ми ћемо проверити да ли се она исправно инсталира, да ли је база у реду, да није у питању нешто око функционалности сервера, али не можемо вам пружити подршку за модификацију и конфигурисање самог скрипта. То је посао вашег вебдизајнера или вебмастера.

Пример 2 – имам вирус на сајту

Ви сте дужни за одржавање и безбедност свога сајта. Ми смо дужни за одржавање и безбедност сервера. Другим речима, ако се деси да вам је сајт инфициран, ви сте дужни да га средите и затворите сигурносне рупе. Уколико је скрипт знатно модификован па је поправка тешка, ми вам можемо вратити из бекапа стари сајт. Ипак, ни бекап није свемогућ. Десило се пар пута да клијент ни не примети да му је сајт инфициран, већ да ми то закључимо током редовних провера и обавестимо клијента о томе. Затим би клијент тражио да му вратимо сајт из бекапа, али то није било могуће јер ми имамо недељни бекап а сајт је инфициран пре тог времена, па је једноставно бекапован такав. У том случају клијенту једино преостаје да подигне свој бекап или да ангажује вебмастера да му среди сајт.
Уколико је корисник крајње неозбиљан и деси му се више пута да му је хостинг компромитован, остаје суспендован јер не желимо да дозволимо да угрожава сигурност сервера својим поступцима.
Ето, расписах се ја овде под утиском прошле недеље.