ウェブサイトを安全で高速にホストする方法

ウェブサイトは、さまざまな国ですぐに開くことができ、ユーザーアカウントを保護し、忙しい時計で取引を続けることができます。 これについては、すべての作業は最初からどこまでするかを決定します。 一般的なコンテンツは、ユーザーのすぐ傍に提示されます。 セッション、残高および支払い取引は、承認と記録を確認したアプリケーションを歩いています。

ブラウザからリクエストを監視する方法をホスティングします。 まず、コンテンツがユーザーに到達する方法を見て、アプリがリクエストを制御する方法について説明します。 最近のセクションでは、サーバーアクセス、Fail2Ban、バックアップから戻ります。

Plesk ホスティングレイアウトから始める

コミュニティサイト、ストア、サポートパネル、アプリケーションファイル、データベース、およびこれら2を実行しているサービス。 私たちはこのレイアウトの管理でホスティングされています Plesk ドメインネームをサイトに接続し、認証管理、Webサーバー、およびアプリケーションの動作設定は同じ管理レイヤーで扱われます。ユーザーが見る店舗は、このスキームから開く顔です。

ユーザーがページを開くと、Webサーバーからビジュアルやスタイルファイルを開きます。セッション、残高、サポートリクエストなどの個人取引は、練習で評価され、データベースから必要なレコードが取得されます。適切な場所にあるこれらのタスクを実行すると、訪問ごとに同じ作業を繰り返します。例えば、一般的なニュースがキャッシュから来ているとき、ユーザーのプライベートな状態になります。 アクセス制御によるサポートパス

Plesk アプリが管理できる範囲で使用できる PHP バージョンと作業プール。 データベース接続、ファイル権限、バックアップもサービスのニーズに応じて配置する必要があります。 ストアの適切なホスティングは、ホームページの開口部だけをカバーしていません。 支払い通知が来るとき、注文は、ゲームサーバーへの配送およびユーザーのサポートの実行を節約します レコードに到達する同じサービス部品。

異なる国ですぐにあなたのウェブサイトが開きますか?

異なる地域から提示されたセッショントランザクションのアプリケーションで共通コンテンツが実行されます。

要求される適切な場所を会議することによって、異なる国でユーザーにトラフィックを配信します。ロゴ、スタイルファイル、オープンビジュアルなどの一般的なコンテンツは、近い時点からユーザーに表示することができます。したがって、各イメージのホストサーバーに行く必要はありません。 1つの国のユーザーのための高速なルートは、別の国では同じ結果を与えることはできません 異なる地域から最初の応答時間を測定する必要があります。

セッションパネルは、残高と支払い取引の承認されたアプリケーションを歩きます。例えば、同じ製品ビジュアルは複数の国でキャッシュから提示することができます。ユーザーがクレジットされている場合、トランザクションはメインオーダーレコードに処理され、新しい残高は独自のセッションのみに表示されます。地域のトラフィック分布では、ユーザーのプライベートデータのアクセス制限が一緒に維持されます。

Webリクエストはサーバーに到達

ModSecurity ルールの読み方

PleskModSecurity は、Web アプリケーションファイアウォールで使用し、構造化されたルールで HTTP リクエストを制御します。どのプロセスがどの領域、マッチとマッチしているかを調べるルールのセットです。規則はリクエストの方法と方法だけを調べることができます。別のルールはフォームエリアに分割され、JSON 値を分離するか、インストールの構造 ヘッダーのリクエストは初期段階で読み込まれます。コンテンツが切り離された後に、ボディコントロールが行われます。適切なセパナがJSONまたはファイルのアップロードを使用してエンドポイントのために動作することを確認する必要があります。

たとえば、オープン検索ページテキストを受け入れると、ファイルアップロードアドレスは特定のタイプのPOSTリクエストだけを待っています。検索ボックスでスクリプトを実行するダイがチェックされます。ファイル読み込みアドレスでは、メソッド、ボディサイズ、ファイル数が制限されています。モードセキュリティルールは、マッチングエリアに追跡され、毎日選択したアクションを実行する必要があります。応答側 それが監督されている場合, コンテンツの種類も決定する必要があります。. アプリケーションの障害画面に漏れるバルクプリントやデータベースエラーの詳細. アプリは、エラー応答をシンプルに保つ必要があります, 特別に診断詳細を書きます.

単一の単語でブロックするのではなくコンテキストでリクエストを評価する

サポートメッセージでは、「スクリプト」または「選択」という単語は通常通りです。例えば、ユーザーは技術的なエラーテキストを送ることができます。監査はフィールドと単語の構造を調べる必要があります。プレーンテキストフィールドからスクリプトタグを使うと、サポートメッセージのテキストとして示されているコードサンプルが同じ結果を与えません。コードされた入力を解決する方法 また重要です。 ファイアウォールでは、アプリケーションは、互いに異なるコメントがある場合、監査を通過する価値のあるアプリの異なる理解に来るかもしれません。

OWASPコアルールセット(CRS)は、評価された異常に使用したインストールの点にマッチを変換します。例えば、疑わしいヘッダで、攻撃はボディ内で同じリクエストで一緒に得ることができます。構成されているしきい値に達すると、合計スコアがブロックされます。規則IDは、そのスコアに一致するものを示します。ファイアウォールの前にあるネットワークの別の層がある場合、各ケースは各々に各々あります 実際に監査を通過する方法で動的リクエストをテストする必要があります。

有効なリクエストがブロックされている場合、どのようなルールが変更されますか?

新しいルールは、まず、検出モードまたはテスト環境で実際のワークフローでテストする必要があります。 製品は、メッセージを保存、サポート メッセージ、視覚アップロードおよび署名された支払い通知を個別に試行します。 フォームが誤ってブロックされている場合、リクエストは道路と規則IDにあります。 例えば、承認されたデザインエディタが単一の領域の唯一のフィールドで期待されているHTMLであれば、例外はありません 単独では、道路、フィールドおよび関連する規則で定義されます。そのような例外では、アプリケーションは独自の承認とコンテンツ管理を受ける必要があります。

ブロックが有効化されると、有効なトランザクションは、破損したリクエストと高いトラフィックシナリオに再テストする必要があります。ログの決定の理由は、パスワード、支払いデータおよび接続スイッチがマスクされる必要があります。実際のユーザーが監視する結果の間に受信するエラー率は、ブロック回数と忙しい時間での応答時間です。ルールが設定された場合、支払いは攻撃を停止します また、通知、サポートメッセージ、ファイルアップロードを正しく完了する必要があります。

Plesk ModSecurity ガイド ・ OWASP CRS 異常評価 ・ OWASP CRSの不一致とルール例外

管理された正しい検証場所を置きます

WAFは、既知の攻撃パターンを方法、身体および他の信号で評価しています。 疑わしいブラウザのトラフィック、管理されたチャレンジと必要なときにステップをブロックするための時間制限を含む、よく定義されたルールセットでなければなりません。 また、同じIP学校のネットワーク上の数十人のユーザーに属しているかもしれません。 まず、道、時間間隔および不成功取引率を参照してください。 ゲーム プラグインの配送先住所や支払い通知にブラウザ認証をしておくと、自動化には対応できません。これらの端に署名、タイムスタンプ、特殊速度制限処理を使用してください。

金曜日の夕方には、IP の 1 分に何百ものリクエストが含まれていると仮定しましょう。このリクエストは、誰もがビジュアルを開くつもりです。ほとんどの人がキャッシュから遭遇し、エントリの誤った数が増えていない場合は、ユーザーはすぐにゲームから IP を冷却できます。同じ IP が短間隔で異なるアカウントの何百ものパスワードと呼ばれる場合、速度制限はエントリーパスにとって有意義です。最初に観察モードでは、モードになります。 リクエストのマッチを読んで、検証またはブロックを特定の時間に適用します。ルールの終了時刻と出金パスを取得します。

アプリケーションのリクエスト、セッションおよび承認制御

ユーザーのブラウザからのフォームは、ゲームプラグインとファイルのアップロードの入り口で満たされています。中央コントローラでは、対応するプロセスを開始する前に、リクエストがコントロールレイヤーを通過します。最初のレイヤーは、同じソースが短時間で忙しくなるまで要求を制限します。一般的なトラフィックでのデータ変更リクエストの分離限界 該当する。 制限が満たされた場合、リクエストを通知する応答で停止します。 したがって、通常のページビューで継続的なサポートリクエストで同じ予算を共有する必要はありません。 開いているページは、セッションパネルと支払い通知が異なるコントロールを通過します。

POSTエントリーとデータをページに反映するルールセット

中央コントローラは、ネストされた配列を含むフォーム領域をスキャンします。 対応するJSON端のボディを削除し、値を削除します。 スキャン前の正規化では、異なるフォーマットでコードされた同じ入力が同じルールで評価されていることを保証します。 ボディとエリアの長さの制限も制御されます。 速度制限は、ソースが要求される頻度を決定します。 コンテンツ検査 1つのリクエストでデータを見る場合。 安全規則は、要求の入り口からユーザへのすべてのフローカバレッジです。各エンドポイント、フィールド、データの種類、長さ、およびボディサイズによって受け入れられるリクエストメソッドが決定されるべきです。忘れられない領域は処理されず、関連するプロセスを開始せずに無効なリクエストを拒否する必要があります。同じソースからの繰り返し試験のために、処理タイプは適切な速度に適しています 制限を定義する必要があります。

POSTリクエストの確認は、単独では十分ではありません。 要求が承認されたユーザーから来る場合でも、別のユーザーはレコードを変更する必要があります。 CSRFチェックは、ブラウザセッションでのデータ交換トランザクションに適用されるべきです。 着信値は、ページ上に書かれているバインディングに応じて、パラメータとしてクエリとコードにリンクする必要があります。 許可豊かなテキスト コンテンツは、オープンラベルと属性リストで検証する必要があります。したがって、入力に格納された値は、表示されている別の画面のコンテンツ実行中のスクリプトに変わります。

フォームボックス内の安全制限は決定しておりません。

モデレータは471にスクリーンショットを追加します。 サーバーがソロセッションのように見える場合は、リクエストで471を作ることによって、ユーザーは別のユーザーの要求にファイルを追加することができます。 ファイルが不可解なPNGであっても、ここでログオンする人は、そのリクエストにアクセスできる権利があることを確認し、その後、追加権限。 最後に、ファイル自体のファイルは無許可です。 レビュー。 アイデンティティ、トランザクションの権限とファイルタイプは3つの別々の制御です。

ユーザーが書いたテキストを録音する目的は、特別な文字を削除してはならない。サポートメッセージ 5 <10> これは、式として保存され、ページで読み込む必要があります。同じ値はHTMLでコード化されますが、データベースクエリをパラメーターとして入力します。JSON応答もJSONエンコーダで書かれています。単一の「クリーン」機能を使うと、これらのすべてのコンテキストは、実際のメッセージを混乱させ、いくつかの画面を残します。

セッションクッキーが別のIPから使用されている場合、どうなりますか?

ウェブアカウントが検証されると、サーバーログトークンはログイン時に記録されたIPアドレスと最後の有効期間を制御します。 誰かがトークンをコピーして別のIPから送信した場合、セッションは登録に一致せず、要求はそのアカウントによって承認されません。 同じルールは、ユーザーがモバイルデータからWi-FiにIPを変更した場合、再入力を必要とする場合があります。

httpOnly は PHP セッション Cookie で使用されます。 HTTPS が使用される場合、Secure も有効です。 httpOnly ブラウザーの JavaScript は、Cookie を直接読み込むように制限します。 Secure cookie では、HTTPS 経由で送信できます。 IP ペアリングは、キャプチャされたトークンの再利用を異なるアドレスから制限します。 クッキー設定、MVC 出力のコーディングとサーバー上でログイン そこで一緒に働きます。

ファイルアップロードと安全なストレージ

絵が本当に絵であることを理解するにはどうすればよいですか?

ブラウザで送信されたMIMEヘッダーは変更できます。インストール行にサイズ制限を置き、許可されている拡張子を確認し、ファイルコンテンツからタイプし、ビジュアルを画像ライブラリで開くことができます。ピクセル数を制限します。小さな圧縮ファイルが開いたら、あまりにも多くのメモリを消費することができます。アップロードした画像をリコードして、名前によって生成されたサーバーを保存します。読み込み ディレクトリでは、PHP は動作しないはずです。特別なファイルをダウンロードするには、所有権の制御が必要です。

二重拡張子とシステムによって生成されるファイル名

ファイルの名前 .php.png のイメージ 可能です。最後に、PNG書き込みは内部のデータが画像であることを証明できません。インストール中にファイルタイプとビジュアル構造が修正されるように重要です。実際のPNGが認証を通過すると、サポートされているビジュアル録画ストリームの元のファイル名ではなく、システムの識別が使用されます。例えば、保存されたファイル 8d7c42f1.png データシート フォーマットの1つのビジュアルエクステンションと呼ばれます。ユーザがファイル名に追加する部分は、サーバー上のファイルの名称を決定しません。

名前を変更すると、コンテンツは、検証と読み込みの領域で実行する制御をブロックすることで意味します。 ファイルの名前を短くするだけでなく、画像が安全をもたらすことはありませんとして示されている実行可能コンテンツ。 検証されたビジュアルを再コードし、期待されるタイプのみがロードラインの一部である。

インストールコンポーネントは、CGI、シェルスクリプト、JavaScript、PHAR を PHP や PHTML などのコメント可能な拡張子とともに実行可能コンテンツとして扱います。一般的なファイルプロセッサーのスクリプト保護は、これらのタイプをプレーンテキストとして処理し、ファイルを代わって .txt を追加することができます。ビジュアルアップロードエリアでは、その許可 MIME リストに従わないファイルを拒否します。したがって、全体的なファイルは汎用ファイルとして扱われます。 プロセッサはテキストファイルを保存することができないという意味ではありません。同じファイルは視覚的に考慮されます。

SVGに保存されているスクリプトに対処する方法は?

SVG は、テキストベースの構造で描画を記述します。 これは、スクリプト構造に属性または危険な接続を引き起こすインシデントを追加することができます。 このファイルは、画面上の小さなロゴのように、ページ動作を変更するコンテンツを扱うことができます。 したがって、システムはまた、SVG の内容を調べます。 スクリプトラベル、イベントプロセッサ、危険なリンクスキームおよび埋め込まれた有効成分 制御された例です。非便利な取付けは処理されずに妨げられます。

インストールエリアのタスクも重要です。通常のユーザービジュアルフィールドでは、承認された人の設計プレゼンスに含まれている同じファイルポリシーを持つ必要はありません。レビューされた保護フローでは、一般的なロード制約があり、特定のデザイン領域を制御します。これは、すべてのSVGが受け入れられているという意味ではありません。許可された領域であっても、ファイルのコンテンツは、ファイルの内容は持っています 監査。

インストールが完了したら、誰がファイルにアクセスできますか?

スクリーンショットのリクエストサポートがユーザーのメールアドレスを含む可能性がある場合は、誰にとっても公開することができます。 それらの両方は、画像がある場合であっても、ストレージのルールと同じでなく提供すべきです。 Webルートの外部のサポート添付ファイルを保持し、ユーザーがまだダウンロード要求の対応する需要へのアクセス権を持っていることを確認してください。 推測する困難なファイル名はワンストップアクセス制御です 使用しないでください。 再符号化された非操作可能な視覚として公衆を提示することができます。

プレディジョン生成時にエラーが発生した場合は、その部分で誰にも開く必要はありません。一時的なスペースに保存して、最終的な名前から出力を移動します。 WebサーバーとPHP側の両方のサイズ制限を設定します。たとえば、アプリケーションが4 MBの制限を入れた場合、その前にサーバーははるかに大きいボディを受け入れます。拒否されるファイルでさえ、テープの帯域幅やテープの臨時帯域幅、および一時的帯域幅も拒否されます。 ストレージを消費します。 リクエストのユーザーに明確なメッセージを与えると、もう一度試すことができます。

MVCテンプレートとSFTPの変更

MVCでテンプレートとアプリケーションコードを分割する方法

テンプレートでは、MVCを使用します。ストアページが開いていると、コントローラーはリクエストを満たし、どのレコードにアクセスできるかを決定します。データレイヤーは製品や価格をもたらします。外観は、製品名、価格、在庫情報でページを生成します。この区別のおかげで、支払いフローまたはデータベースは、テーマの商品カードまたはリストレイアウトを変更します クエリを変更する必要はありません。

編集可能なテーマとパネルファイルは、プレゼンテーションレイヤーに属します。テンプレートコントローラは、PHPラベル、スクリプトコメントヘッダーによって操作でき、直接SQLのダイを外観にブロックすることができます。ファイル名.phpでも、コンテンツはこれらの規則に従います。テンプレートエンジンは検証済みのテンプレートを独自の作業形式にコンパイルします。動的データはバックエンドのプレゼンテーション側で許可されます コンポーネントは与えます。 生の出力ディレクティブは制限され、アセット・パスも相対的で許可されたディレクトリに限られます。

テーマは、サポートリクエストのタイトルを表示することができます。ヘッダは、ユーザーが表示され、データベースからどのようなレコードが取り消されるかをバックエンドを決定します。テーマファイルがサーバーからファイルを直接読み出し、ネットワーク接続を開くことを承認されている場合、設計変更の効果はストアのデータに拡張されます。

ユーザの入力がページ上に反映されると、MVCは何をしますか?

ユーザが検索ボックスに書き込む値は、結果ページで再び確認できます。同じ応答に表示されていると燃焼するXSSの危険性があります。サポートメッセージは記録され、別の画面に表示されると、XSSリスクが生まれます。どちらの場合も、ブラウザがデータをコメントする方法は、出力が生成されるMVCの出現を決定します。

テンプレートコンパイラは、標準値のHTML出力、コード特別な文字や爪のために機能します。例えば、入力中の<script>は、HTMLテキストフィールドに書かれているときにユーザにテキストとして表示されます。テンプレートの生の値もソース制御でブロックされます。豊かなHTMLニーズが明確に使用されている領域では、uçバックエンドブロック。値がURLとして使用される場合、 許可されたリンクチャートは、JavaScriptにデータとして転送されている場合、安全なJSONエンコーディングにも適用されます。

SFTPで組織されているテンプレートをアクティブにする方法

SFTP では、最初にファイルがテーマの別の作業コピーになります。同期レイヤーは、ファイルが対応するテーマに所属し、編集可能なパスウェイにあることを制御します。ロード解像度は、ディレクトリが作業領域から移行し、外部の残りのリンクを解除するのを防ぎます。 古い SFTP コピーのパネルで作られた新しいレコードは、ファイルの更新をクラッシュしません 比較してます。

作業コピーは、アクティブなテンプレートに取り込まれる前にコンテンツをスキャンします。シェルコール、ファイル読み取りまたはインデックスリスト、メディア変数へのアクセス、cURLおよびソケット操作はこのレイヤーで制御される例です。ブロックされた変更は有効化したテンプレートに書き込まれません。SFTPで開く有効なセッションでは、ファイルの転送が可能になります。サイトがそのファイルによって活性化されている場合、テンプレートチェック 決定する。

どのような作業許可をプラグインに与える必要がありますか?

サーバ側で動作するプラグインが限られているタスク。製品リストのアドオン形式の場合、ファイル権限を変更またはリンクする必要はありません。制限が決定される間、同じ権限に達する異なる方法は一緒に議論する必要があります。 HTTP クライアントは、サーバーがアクセス可能なアドレスにリクエストを送信できます。プロセスを開始する権限は、オペレーティングシステムにコマンドされます。これらの当局は別に制限される必要があります。コードレビューに加えて、プロセスの許可、ファイルアクセスおよびネットワーク出力もプラグインのタスクによって制限されるべきです。

サーバーアクセスと接続情報

データベースのパスワードを使用する場所

このアプリは、データベースに接続するための有効なパスワードが必要です。 我々がレビューする接続フローでは、パスワードは暗号化されたサーバーに保存され、リンクを接続するアプリケーションプロセスによって解決されます。 したがって、設定レコードがデータベースパスワードを単独で読み込むことができません。

管理画面とサポート画面は、接続が機能しないため、プロセスに必要な情報を表示する必要があります。パスワードのオープン値には、これらの画面やエラー応答に含まれるべきではありません。 解決スイッチを使用すると、暗号化された登録は、キーへのアクセスを作成するプロセスに個別に保存され、制限される必要があります。 このアクセス分離は、毎日のサポートトランザクションでパスワードを見る必要性を排除します。

PleskFail2Ban およびアクセスの保護

Linux の PleskFail2Banは、選択したサービスのログを監視することができます。各サービスで定義されたルールは、レコードがカウントされるかを決定します。その時間とブロックされる期間内に、数回の試行が閾値を満たします。例えば、同じIPからSSHにエントリが失敗した場合、対応する規則は、ファイアウォール上のIPのアクセスを一時的にカットすることがあります。 Plesk パネル、SSH、メールなどのサービスが異なるログやルールで閲覧できます。

Plesk' 組み込みの入力保護限界は、パネルと API からエントリが失敗します。管理者のアクセスも特定の IP アドレスやネットワークに開くことができます。データベース内のリモート接続を必要としないアカウントは、ローカルアクセスに限定される可能性があります。別のアプリケーション サーバーが接続されている場合は、関連するデータベースアカウントへのアクセスは必要なソースからのみ行われます。

ModSecurity は HTTP コンテンツのリクエストを評価します。 Fail2Ban は、サービスログで見られるイベントに応じて IP レベルを処理します。同じ IP を複数の人を共有できるため、サービスによると閾値と障害期間を調整する必要があります。

Plesk Fail2Banおよび入力保護 ・ 管理者アクセス制限 ・ データベースアクセスルール

密度、バックアップおよびリターン

Plesk, Docker と本当にクイックオープンページ

Plesk 本サイト上のサイトのPHP-FPMプールとメモリ制限を分離できます。 Docker、プロセッサおよびメモリの制限、読み取り専用アプリケーションファイル、および個別のサービスIDで使用されるインストールでは、作業の効果が制限されます。 メインページの速度は、具体的な作品を決定します:ビジュアル寸法、データベースクエリ、およびプロセスが最初の応答を待ってから。 一般ページのキャッシュを取得するには、 ユーザーのプライベートパネルを一般的なキャッシュの外に保ちます。 tailで待機する最も遅い5つの応答とPHPリクエストを監視します。

コンテナを開封する前に測定するべきこと

Zonely当社の目標は、できるだけ小さなリソースを使用してすべてのリクエストを完了することです。 私たちは、CPU時間、RAM使用量、ディスクおよびネットワークアクセスとスワップフィールドに書かれたデータを監視します。 それは、不要な場所で同じクエリを実行しないプロセッサとディスクを取り除きます。 キャッシュの限られた残高RAM消費を維持します。 より少ないメモリで要求を完了するには、常にスワップエリアを探しています 応答を延ばすことができます。変化が機能しないリソース消費とともに、応答時間とエラー率を示すことができます。

ユーザーが「サイト冷凍」と言ったとき、最初の区別は、応答が期待される場所です。 みんなのオープン結果ページは素早く、ログインしたユーザーのパネルを比較すると同時に動作するSQLクエリから始まります。 静的な画像が遅くなる場合は、ネットワーク、ディスクまたはサーバー容量も見直してください。 PHPプールのすべての従業員は、外部サービスからゆっくりと反応を待っています、CPU使用率は低いです 新規のリクエストが順調に残る場合でも、データベースへの同時問い合わせを送ることで、従業員数が狭くなり得る。

たとえば、再び結果テーブルを計算し、各ユーザーの再計算ではなく短い時間でパートナーを提供できます。対応する「マイアカウント」ページとバスケットはユーザーに特別です。キャッシュルールを変更すると、2つの異なるテストアカウントで同じアドレスを開きます。 2番目のユーザーが最初のユーザーの名前、残高またはカートを見た場合は、パフォーマンスが利用可能です たとえば、データが公開されました。ページ開口時間を見てテストを完了しないでください。

バックアップに戻ると、ストアが残っている時間は?

朝03.00または昼食から支払いを失ったと考えてください。プロバイダは、ゲームにお金といくつかの賞品を受け取ることができます。 古いデータベースですぐに実行する報酬の中には、2回目の時間を分配することができます。 分離された環境で復元されたストアを開く前に。 バックアップのその後の支払いと配送IDを比較し、欠落した注文を設定した後、キューを選択 再起動。コミュニティサイトのための回復プロバは、単独で「バックアップ」の制御よりも価値があります。

最後の prova は簡単です: 間違ったタイプのファイルを送信し、有効な小さな写真をアップロードして、この時点で正常なユーザーの結果テーブルを開きます。 その後、バックアップを別の環境に戻します。 この4つのプロセスでは、保護ルールがブロックされず、ユーザーをブロックし、実際のイベント後に保存しないことを示しています。

OWASPファイルアップロードガイド ・ Cloudflare 検証ページ