امروزه برخی سازمان ها همیشه به ارتقای سرویس های وب به آخرین نسخه اصرار دارند. موضوع امنیت و نگهداری سرور موضوع پیچیده و چند جانبه ای است که یکی از بحث های آن بحث نسخه های برنامه ها است. اما مسایل مهمتری مثل پایش مداوم رخداد ها و حملات نیز باید مد نظر قرار گیرند.
تیم فنی شرکت یکتاوب انواع و اقسام پایش ها (از کنترل سرعت و فضای وب و cpu و تعداد ایمیل های برگشت خورده، تا تعداد اتصالات و سعی در نفوذ و ...) را روی سرورهای شرکت به صورت لحظه ای (با کمک سامانه های ایمیل و پیامک) رصد کرده و واکنش مناسب را به نفوذگران نشان می دهد.
مشکل اساسی این است که برخی سازمان ها بدون بررسی کافی فقط به جدید تر بودن نسخه توجه می کنند و بقیه مسایل مهم را در نظر نمی گیرند. به مثالهای زیر دقت کنید:
در برخی از سرورهای مشتریان شرکت از این فناوری ها استفاده شده است:
Apache/2.4.7 (Unix) OpenSSL/1.0.1e PHP/5.4.22 mod_perl/2.0.8-dev Perl/v5.16.3
فهرست باگهای نسخه PHP این نسخه:
آخرین نسخه های PHP باگهای خطرناکتر و بیشتری دارند:
به ستون score دقت کنید.
باگ های php قبلی چندان مهم نیستند و اکثر باگ DOS هستند که همیشه وجود داشته اند و دارند. از نظر ما این نسخه امنیت لازم را دارد (هر چند هیچ سیستمی همیشه امنیت 100 درصد ندارد و در اصل باید فایروال ها امنیت را تضمین کنند. در غیر این صورت با حملات DOS اکثر سیستم ها آسیب پذیرند)
وضعیت آپاچی این مجموعه هم مناسب است:
در صورتی که آخرین نسخه آپاچی اشکالات امنیتی بیشتر و خطرناکتری دارد:
وضعیت Openssl موجود که فقط باگهای DOS دارد:
وضعیت openssl جدید هم بهتر نیست:
https://www.cvedetails.com/vulnerability-list/vendor_id-217/product_id-383/version_id-191043/Openssl-Openssl-1.0.2f.html
هر چند بیشتر کاربران از ssl و Perl استفاده ای نمی کنند
در کل می توان گفت سامانه های آزمایش و ایمن شده، مجموعه امنیتی قابل قبول تری نسبت به سیستم های جدید تر دارند و همیشه آخرین نسخه بهتر نیست. اما تیم فنی یکتاوب در بازه های زمانی منظم، بررسی های لازم را انجام داده و مجموعه های امن و قابل قبول جدیدتری پیشنهاد می کند.
اسناد و مقالات مرتبط:
پیشنهادهایی برای افزایش امنیت پایگاه های وب، برای مدیران سازمان ها