Zanimljiva nedelja za nama što se tiče Adriahosta. Hosting kompanije obično ne žele da govore o stvarima koje ću ja sada napisati, ali moj stav o tome je da treba biti profesionalan i transparentan kako bi korisnici imali bolju sliku o problemima sa kojima se jedna hosting kompanija susreće.
Ono što je sigurno je da je jedina sigurna stvar u prirodi – promena. Koliko god se ti trudiš da osiguraš server, zaštitiš ga, preduprediš sve moguće napade, nikada nije 100% sigurno. Uvek može da se desi neki problem. Administracija servera mora uvek biti proaktivna – pratiti logove, čitati o najnovijim security rupama, virusima i slično. Čak i širom web-a poznate firme za administraciju servera ne garantuju 100% da se vašem serveru ništa neće desiti, već garantuju da će učiniti sve da umanje rizik i da će brzo reagovati kada se nešto desi.
Evo šta se nama desilo prošle nedelje. Vrati se kolega sa pauze za kafu i ugleda sigurnosni mail koji javlja da se neko ulogovao kao Root na server sa IP adrese koja nije u firmi. Odmah, smo napravili hitan sastanak i porazgovarali o čemu se radi, ko bi mogao da bude (ponekad angažujemo jednu US firmu za određene poslove) međutim zaključimo da se radi o upadu na server. Identifikovali smo koji je proces pokrenut i prekinuli ga (terminated). Uljez (aka Alien) je izbačen posle 12 minuta, ali to vreme je bilo dovoljno da skrip koji je pokrenuo ukloni index stranice sa oko 200 sajtova. Na desetak sajtova je osvanula arapska zastava, a na većini skript jednostavno nije stigao da završi do kraja i uklonio je samo index pa sajt nije bio vidljiv. Užas – teroristi!

Rešenje

Ok, šta da radimo sada? Prvo smo se bacili na analizu i pokušali da utvrdimo šta se tačno desilo. U tom trenutku počinju da zvone telefoni u prodaji. Korisnici pokušavaju da dobiju korisničku podršku iako ne pružamo korisničku podršku putem telefona (objasniću kasnije).
Utvrdili smo da napad ipak nije napravio neku veliku štetu, već da se radi o pokušaju defejsovanja (“defacing”). U kratko, to je kada vickasti napadač, upadne na sajt i zameni index stranice (homepage tj. frontpage), pobode svoju zastavu ili znak i tako ispadne dasa. U Srbiji su napadači obično sa bliskog istoka ili sa Kosova i Albanije. I tako se na par desetina sajtova pojavila dotična arapska zastava sa početka članka.
Naravno da imamo backup svih sajtova. Mi pravimo nedeljni backup sajtova svih naših klijenata, iako svaki korisnik ima mogućnost da u cPanelu jednim klikom napravi bekap svog sajta ili da zakaže pravljenje backapa u neko vreme (recimo svaka 4 dana). U Srbiji većina hosting kompanija nema backup jer to poprilično povećava mesečne troškove (zakup dodatnih hard diskova, bandwith i offsite oprema). Čuo sam gomilu tužnih priča, a imam i lično iskustvo sa jednom velikom hosting kompanijom. Priča je kratka – server je napadnut, sajtovi inficirani, pa obrisani i onda vam kažu “podignite ponovo sajt” – jer oni nemaju backup.
Ipak, tu je i mali problem. Backup je nedeljni i nije problem vratiti sajtove koji su napadnuti, ali backup je star 2 dana, što znači da kada vratimo te sajtove korisnici će imati poslednji zapis u bazi od pre 2 dana. Sobzirom da je napadač samo zamenio index sajta, nema potrebe da se restor-uje ceo sajt, nego bi mnogo bolje samo izvući index.htm iz backup-a. E, tu je mala začkoljica – za to nema automatske opcije već je potrebno sve raditi ručno i za svaki od 200 sajtova je potrebno 3-5 minuta po sajtu. Tu je razlika između naše usluge i usluge koju bi ste obično dobili. Da bi smo svih 200 sajtova vratili treba nam manje od 30 minuta, ali da bi smo uradili to na bolji način treba ceo dan. Odlučujemo se za kvalitetniju varijantu i krećemo.
Sobzirom da radimo sa poslovnim korisnicima, vraćanje 2 dana unazad podrazumeva – gubljenje porudžbina 2 zadnja dana, ili rezervacija, podataka korisnika koji su se od tada registrovali ili slično… Operacija uspešno završena, a sobzirom da je urađeno van radnog vremena od 01 do 05 ujutru, većina korisnika to nije ni osetila, ali je naš tim za podršku imao ne prespavanu noć.
Ponosan sam na nivo usluge koji pružamo, pa sam zato potrošio ovoliko reči da objasnim o čemu se radi.

Šiptar i magarac

Ranije (pre 5 godina i pružanja hosting usluga), kada bi neko pronašao neku rupu u skriptu i deface-ovao neki od naših sajtova, mi bi smo uzvratili kontra-udarac na neki način, evo jednog vickastog kojeg često prepričavamo. Naime, obično u kodu stranice koju su postavili napadač poziva sliku koju je postavio negde na serveru, e tu sliku bi smo mi zamenili sa čuvenim video klipom “šiptar i magarac” na kome neki tip radi “nešto” sa magarcem, to sve snima njegov drugi i pričaju na albanskom. Na taj način bi smo praktično izmenili stranicu, tj. ostao bi njihov potpis, url i slično – ali umesto ponosne albanske zastave bi se pojavio video klip koji smo mi postavili.
Ipak, sobzirom da su naši klijenti poslovni korisnici, nisu dozvoljeni nikakvi kontranapadi, hate-mailovi i slične stvari jer ne želimo da provociramo i izazivamo probleme. Zaludan čovek ima vremena na pretek.

Milion evra na shared hostingu

Ok, svi sajtovi vraćeni. Služba prodaje zove korisnike koji su bili uzrujani da ih obavesti da je problem od prethodnog dana rešen i tu se susrećemo sa najčešćim pitanjem – “Kako je moguće da se to desilo? Zar vaš server nije 100% siguran?”. Ne postoji 100% siguran server, postoji mogućnost da se maksimalno smanji rizik od napada i potreba da tu uvek bude neko ko će brzo i ispravno reagovati na problem.
I tada me zovu iz prodaje da mi prenesu kako bi direktor te i te firme da popriča sa direktorom jer nije zadovoljan uslugom i da će nas tužiti za odštetu. Preuzmem poziv i pokušam da objasnim čoveku o čemu se radi, međutim iz razgovora vidim da on ne razume ni malo tematiku već da jednostavno samo želi da nekome natrlja nos zbog toga što mu sajt nije bio vidljiv par sati.
“Jel znate vi da poslovanje naše firme prevazilazi milion evra ovog meseca i da ste vi to ugrozili? Ja ozbiljno razmatram da vas tužim za odštetu!”
Zamisli?! Firma koja vredi milion evra, kupi hosting od 100€ godišnje i očekuje da nikada nema nikakav problem. Najgore od svega je što je ta firma, koja inače ima i svoj IT sektor u početku uzela i server kod nas, međutim izračunali su da im je 200-300€ mesečno previše skupo i da je bolje da pređu na shared hosting. To zaista nije problem, ali onda ne treba mešati babe i žabe.

Shared hosting

“Shared” hosting je “deljeni hosting”, tj. kada vaš sajt nije sam na serveru već delite prostor/cpu/memoriju sa drugim korisnicima servera. Jako je važno da imate dobru podršku i da neko redovno prati taj server kako bi većinu sigurnosnih rupa zakrpio. Nemoguće je zatvoriti sve sigurnosne rupe jer onda mnogi skriptovi (wordpress, joomla, forumi…) ne bi radili. Recimo jako je sigurno preći na php5, najnoviju verziju mySql-a, isključiti register_global funkcije… ali ako to uradite mnogi sajtovi neće raditi. Zato sigurnosna politika balansira na shared hosting serveru i traži način kako da pruži maksimum sigurnosti – ali da zadrži i najvažnije funkcionalnosti.
Sigurnost servera najčeše kompromituju neozbiljni korisnici – wannabe web dizajneri i klinci koji podižu forume, chat skripte i slično. Wannabe dizajneri (“i want to be” – želim da postanem) – često zbog neiskustva pišu loš php kod koji napadač lako iskoristi ili zaborave da updejtuju skript koji koriste (joomla 1.3 bez sigurnosnih zakrpa) što na kraju dovede do toga da im neko upadne na sajt. Sa druge strane Klinci (to je radni naziv kod nas), često postavljaju hate forume kojima provociraju neku kontra stranu (najčešće na osnovu nacionalnosti, vere ili sexualne orijentacije) što na kraju dovede do napada na server. Zato kod nas postoje posebni serveri za poslovne korisnike i za fizička lica što umanjuje šansu da se pomešaju ozbiljni i neozbiljni korisnici, ali to samo umanjuje opasnost ali ne može 100% da garantuje. Na “deljenom” hostingu vi jednostavno delite sudbinu drugih, ali je Shared hosting jeftino i prilično pouzdano rešenje.

Server

Podrazumeva da ste sami na serveru, tada je moguće zatvoriti mnogo više sigurnosnih rupa i šanse za napad su mnogo manje. Na serveru ste gospodar svoje sudbine, ali je to rešenje skuplje i potrebno vam je 150-400€ mesečno za zakup servera i administratora koji će ga održavati. Ovo rešenje je idealno za firme čije je poslovanje vezano za web i koje imaju obrt od nekoliko hiljada evra mesečno. Velika je greška, ako vaša firma pravi veliki obrt da tada dovedete u pitanje “posao od milion evra” zato što ste rešili da uštedite i zakupite hosting od 50€ godišnje – to je neodgovorno.

Zašto ne pružamo podršku putem telefona?

Često pitanje – ima više uglova ovde. Prvo, ne možeš pružiti podršku ako telefoni non-stop zvone jer korisnici često zovu i nekoliko puta za redom, a padne i po neka psovka. Drugo, tu je problem artikulacije zahteva – često korisnik ne ume da objasni, ne zna šta hoće da pita, ne zna svoj username, ne zna na kom je serveru, ne zna ime domena i slično. Kada nama stigne tiket kroz tiketing sistem odmah možemo da zaključimo o kom serveru se radi, kom hostingu i slično… Treće, tu je problem evidencije – da ne bude posle “ja sam javio tada, a vi niste reagovali na vreme…” ili “nisam to rekao, nego…”. U tiketu je jasno zabeleženo vreme i verbalizovan problem, kao i vreme odgovora naše podrške i njegov sadržaj. Broj tiketa je merljiv i jasno je vidljivo ko je preuzeo slučaj.
Dakle, moj savet koji važi bez obzira kod koga imate hosting je da napišete tiket. Dobro objasnite o čemu se radi i prikupite što više informacija kako bi pomogli podršci da vam pomogne.

Za šta vi pružate podršku?

Ovo je drugo pitanje na koje treba da obratite pažnju. Mi pružamo podršku za sva pitanja vezana za funkcionalnost servera i instalaciju skripti koje nudimo (cPanel i Softaculous). Obratite pažnju, mi garantujemo da će vam se skript ispravno instalirati ali ne pružamo podršku za sam skript (podršku za skript tražite od proizvođača ili od svog webmastera). Evo, par primera:

Primer 1 – ne radi mi Joomla

Ako vam Joomla ne radi, mi ćemo proveriti da li se ona ispravno instalira, da li je baza uredu, da nije u pitanju nešto oko funkcionalnosti servera, ali ne možemo vam pružiti podršku za modifikaciju i konfigurisanje samog skripta. To je posao vašeg webdizajnera ili webmastera.

Primer 2 – imam virus na sajtu

Vi ste dužni za održavanje i bezbednost svoga sajta. Mi smo dužni za održavanje i bezbednost servera. Drugim rečima, ako se desi da vam je sajt inficiran, vi ste dužni da ga sredite i zatvorite sigurnosne rupe. Ukoliko je skript znatno modifikovan pa je popravka teška, mi vam možemo vratiti iz backup-a stari sajt. Ipak, ni backup nije svemoguć. Desilo se par puta da klijent ni ne primeti da mu je sajt inficiran, već da mi to zaključimo tokom redovnih provera i obavestimo klijenta o tome. Zatim bi klijent tražio da mu vratimo sajt iz backup-a, ali to nije bilo moguće jer mi imamo nedeljni backup a sajt je inficiran pre tog vremena, pa je jednostavno backup-ovan takav. U tom slučaju klijentu jedino preostaje da podigne svoj backup ili da angažuje webmastera da mu sredi sajt.
Ukoliko je korisnik krajnje neozbiljan i desi mu se više puta da mu je hosting kompromitovan, ostaje suspendovan jer ne želimo da dozvolimo da ugrožava sigurnost servera svojim postupcima.
Eto, raspisah se ja ovde pod utiskom prošle nedelje.