Website Hardening erklärt: Sicherheit für WordPress und PHP

Was es ist

Ein Auftrag zur Website-Härtung prüft und verbessert die vereinbarten technischen Einstellungen rund um eine öffentlich erreichbare Website oder Anwendung. Der Umfang wird schriftlich bestätigt und kann HTTP-Sicherheitsheader, TLS- und Cookie-Einstellungen, authentifizierungsbezogene Kontrollen, Server- oder Plattformkonfiguration, offen erreichbare Administrationspfade, Skripte von Drittanbietern und grundlegende Update-Regelungen umfassen. Ziel ist es, häufige, vermeidbare Angriffswege im vereinbarten Umfang zu verringern, wobei jede Beobachtung durch Nachweise belegt ist. Im Rahmen der bestätigten Zugriffe setzt unser Team die vereinbarten Änderungen um und hält jede davon in einem schriftlichen Vorher-Nachher-Änderungsprotokoll fest; Punkte, die Ihren Entwickler, Hoster oder CDN-Anbieter erfordern, werden für diese dokumentiert. Die Verantwortungsgrenze wird vor Arbeitsbeginn bestätigt. Härtung ist am nützlichsten, wenn die Website stabil genug für eine Bewertung ist, die zuständigen Verantwortlichen das beabsichtigte Verhalten bestätigen können und es einen klaren Weg gibt, Änderungen vor oder nach ihrer Veröffentlichung zu testen.

Für wen es gedacht ist

Website-Härtung eignet sich für Unternehmen, die:

• eine öffentliche Website oder Webanwendung mit Kundenformularen, Konten, Zahlungen oder anderen geschäftskritischen Funktionen betreiben
• aus einem früheren Review, einem Scan oder einer internen Checkliste Konfigurationspunkte kennen, die einen praktischen Umsetzungsschritt benötigen
• einen Launch, Relaunch oder Hosting-Wechsel vorbereiten und sich weniger auf ungeprüfte Standardeinstellungen verlassen möchten
• eine klarere Übergabe zwischen Produkt-, Entwicklungs-, Marketing- und Hosting-Teams dazu benötigen, wem zentrale Sicherheitseinstellungen gehören

Was es zu klären hilft

Ein Härtungsauftrag hilft zu klären:

• welche vereinbarten Konfigurationsschwächen derzeit offenliegen und welche sich innerhalb der Website-Grenze beheben lassen
• welche Änderungen unkompliziert sind und welche eine Entscheidung erfordern, weil sie Analytics, Einbettungen, Login-Abläufe oder anderes Website-Verhalten beeinflussen können
• wo Skripte von Drittanbietern, Hosting-Kontrollen oder administrative Zugriffe einen klareren Verantwortlichen oder eine separate Prüfung benötigen
• was geändert oder empfohlen wurde, was noch nachverfolgt werden muss und welche Punkte noch offen sind

Was ist enthalten

• Schriftliche Bestätigung des Umfangs mit Website, Domains, Umgebungen und einbezogenen Konfigurationsbereichen
• Prüfung der vereinbarten WordPress-, PHP- oder sonstigen Website-Konfiguration, einschließlich Plugins im Umfang, HTTP-Headern, TLS- und Cookie-Einstellungen, authentifizierungsbezogenen Kontrollen, Skripten von Drittanbietern sowie Plattform- oder Servereinstellungen
• Eine dokumentierte Liste von Beobachtungen und vorgeschlagenen Änderungen mit einer Erläuterung des praktischen Grundes für jeden Punkt
• Autorisierte Umsetzung der vereinbarten Konfigurationsänderungen mit einem schriftlichen Vorher-Nachher-Änderungsprotokoll
• Grundlegende Validierung der vereinbarten Änderungen und Besprechung funktionaler Zielkonflikte, die während der Umsetzung festgestellt werden
• Ein Review-Gespräch zur Übergabe, zu verbleibenden Zuständigkeiten und sinnvollen nächsten Schritten

Was nicht enthalten ist

• Penetrationstests, aktive Ausnutzung oder das Versprechen, jede mögliche Schwachstelle zu finden
• Compliance-Zertifizierung, Prüfungsfreigabe oder eine Zusicherung, dass die Website jede rechtliche oder branchenspezifische Anforderung erfüllt
• Laufendes Monitoring, Incident Response oder kontinuierliche Betreuung nach Abschluss des Auftrags
• Prüfung von Domains, Systemen, Plugins oder Integrationen, die nicht im vereinbarten Umfang aufgeführt sind
• Code-Review auf Anwendungsebene, Prüfung von Zahlungsabläufen oder umfassendere Produktsicherheitsarbeit, sofern nicht separat vereinbart

Wann man es wählt

Wählen Sie Website-Härtung, wenn es ein bekanntes Konfigurationsproblem, einen konkreten Bedarf an Launch-Bereitschaft oder eine klare Reihe früherer Befunde gibt, die in kontrollierte Änderungen überführt werden sollen. Sie ist oft ein sinnvoller nächster Schritt nach einem Baseline Review, einem Schwachstellenscan oder einer Plattformmigration. Sie kann auch passen, wenn eine Website von mehreren Dienstleistern betreut wurde und niemand ganz sicher ist, welche Standardeinstellungen oder Skripte noch in Gebrauch sind. Ist die zentrale Frage noch nicht klar, beginnen Sie mit einem Security Baseline Review, damit Sie eine Konfigurationsaufgabe von einem umfassenderen Zugriffs-, Code- oder Prozessthema unterscheiden können. Härtung ist am wirksamsten, wenn das Unternehmen den Website-Verantwortlichen, den technischen Verantwortlichen und ein akzeptables Testfenster benennen kann, bevor Änderungen vereinbart werden.

Unser Ansatz

Wir beginnen damit, die Website-Grenze und die Umsetzungsmethode schriftlich festzulegen. Das Briefing benennt Domains, Umgebungen, Konfigurationsbereiche, Zugriffsanforderungen und die Verantwortung für Änderungen. Änderungen werden vorgenommen, sobald diese Bestätigung vorliegt. Wo eine Änderung die Funktionalität beeinträchtigen könnte, etwa eine restriktive Browser-Richtlinie, die das Verhalten eines Drittanbieter-Skripts verändert, erläutern wir den Zielkonflikt, bevor wir fortfahren. Wir validieren die vereinbarten Änderungen in den praktischen Grenzen des Umfangs und dokumentieren, was umgesetzt, zurückgestellt oder einem anderen Verantwortlichen überlassen wurde. Stoßen wir auf ein Anliegen, das auf eine Schwäche auf Codeebene, ein Lieferantenrisiko oder ein umfassenderes Sicherheitsproblem hindeutet, dokumentieren wir die Beobachtung, statt die Arbeit ohne Absprache auszuweiten. Die Übergabe ist so geschrieben, dass Ihr Entwicklungs-, Hosting- oder internes Betriebsteam das Ergebnis verstehen kann, ohne eine lange Liste von Sicherheitsfachjargon übersetzen zu müssen.

Häufig gestellte Fragen

Verwandte Artikel