Imunify360: איך היא מגינה על אתרי וורדפרס ושרתי לינוקס

מה זה Imunify360

Imunify360 היא מערכת אבטחה לשרתי לינוקס, שמפתחת חברת CloudLinux, אותה חברה שעומדת מאחורי מערכת ההפעלה CloudLinux OS לשרתי אחסון. היא מותקנת על השרת עצמו, לא בתוך האתר, ועובדת עם לוחות בקרה נפוצים כמו cPanel, Plesk ו‑DirectAdmin, וגם בשרת בלי לוח בקרה.

הרעיון הוא כמה שכבות הגנה שעובדות יחד: חומת אש, חומת אש לאתרים, ניטור של קובצי הלוג, סורק נוזקות והגנה על הרצת קוד PHP. כשאחת השכבות מזהה תוקף, המידע עובר לשאר, והכתובת שלו מוגבלת גם בשירותים האחרים בשרת.

בשירותי אחסון, את Imunify360 מתקינה ומתחזקת חברת האחסון. בעל האתר בדרך כלל לא צריך לגעת בה, אבל כדאי שיבין מה היא עושה: כך קל יותר לזהות חסימה שגויה, ולדעת מה עוד נשאר באחריותו.

למה וורדפרס צריך הגנה ברמת השרת

רוב הפרצות שמתפרסמות בוורדפרס נמצאות בתוספים ובתבניות, לא בליבה של וורדפרס. לצידן יש סיסמאות חלשות שדולפות או מנוחשות. התוקפים לא בוחרים אתר מסוים: הם מריצים סריקות אוטומטיות על אלפי אתרים, ומחפשים את מי שמריץ גרסה פגיעה.

תוסף אבטחה כמו Wordfence רץ בתוך PHP ומגן רק על האתר שבו הוא מותקן. הגנה ברמת השרת רואה את כל התעבורה, עוצרת חלק מהבקשות לפני שהן מגיעות לקוד של האתר, ומגינה גם על דברים שהתוסף לא רואה, כמו SSH, FTP, דואר וקבצים שהועלו ישירות לשרת. אין כאן בחירה של זה או זה: שתי השכבות יחד מגינות הכי טוב.

חומת אש, מוניטין וניחוש סיסמאות

חסימה לפי מוניטין

Imunify360 מקבלת מידע מהשרתים הרבים שמריצים אותה. כתובת IP שתקפה שרת אחד מסומנת ברשימה מרכזית, וכך שרתים אחרים יכולים לחסום אותה עוד לפני שהיא מנסה משהו אצלם. בשרת עצמו הכתובות מתחלקות לשלוש רשימות:

• רשימה שחורה: כתובות שנחסמות לגמרי.
• רשימה אפורה: כתובות חשודות. בגלישה לאתר הן מקבלות בדיקת CAPTCHA (מבחן קצר שאדם עובר ותוכנה אוטומטית לא), כך שגולש אמיתי שנחסם בטעות יכול להמשיך.
• רשימה לבנה: כתובות שהמערכת לא תחסום, למשל הכתובת הקבועה של המשרד.

ניחוש סיסמאות

מתקפת Brute Force (ניחוש סיסמאות בכוח, אלפי ניסיונות ברצף) מכוונת לעמוד הכניסה של וורדפרס, אבל גם ל‑SSH, ל‑FTP ולתיבות הדואר. Imunify360 עוקבת אחרי קובצי הלוג של השירותים האלה ואחרי ניסיונות הכניסה לוורדפרס, וכתובת שנכשלת שוב ושוב עוברת לרשימה האפורה או השחורה.

יש גם הגנה בסיסית מפני הצפה מכתובת בודדת, שמגבילה כתובות שפותחות יותר מדי חיבורים. מול מתקפת DDoS גדולה (הצפה מהרבה מחשבים בו זמנית) זה לא מספיק, כי היא חוסמת את חיבור הרשת עוד לפני שהשרת רואה אותה. מתקפה כזו עוצרים ברשת שלפני השרת, למשל ב‑Cloudflare.

WAF: חומת אש שקוראת את הבקשה

WAF (Web Application Firewall, חומת אש לאתרים) בודק את התוכן של כל בקשה, ולא רק מאיפה היא הגיעה. Imunify360 מספקת סט חוקים משלה ל‑ModSecurity, מנוע ה‑WAF הנפוץ בשרתי אחסון, ומעדכנת אותו אוטומטית. החוקים מזהים, בין השאר:

• SQL Injection: ניסיון להחדיר פקודות למסד הנתונים דרך טופס או כתובת.
• XSS: ניסיון להשתיל סקריפט שירוץ בדפדפן של גולשים אחרים.
• ניצול של פרצות מוכרות בתוספים ובתבניות נפוצים של וורדפרס.
• ניסיונות להעלות קבצים זדוניים או לקרוא קבצים רגישים.

כתובת שמפעילה חוקים כאלה שוב ושוב עוברת לרשימה האפורה. כך ה‑WAF וחומת האש עובדים יחד: הבקשה הזדונית נחסמת, וגם מי ששלח אותה.

הגנה פרואקטיבית: עצירת קוד PHP בזמן ריצה

סורק נוזקות מזהה קבצים לפי מה שכתוב בהם. אבל מה קורה עם קוד זדוני חדש, או מוסתר היטב, שעדיין לא מוכר? בשביל זה יש Proactive Defense: רכיב שעוקב אחרי מה שסקריפטים של PHP עושים בזמן שהם רצים, ועוצר פעולות שמאפיינות קוד זדוני, גם כשהקובץ עצמו לא זוהה כנוזקה.

לרכיב הזה יש שני מצבי עבודה עיקריים: רישום בלבד (Log Only), שבו הוא מתעד אירועים בלי להתערב, ומצב עצירה (Kill Mode), שבו הוא עוצר את הסקריפט באמצע הפעולה. נהוג להתחיל ברישום, לבדוק שאין התראות על קוד תקין, ורק אז לעבור לעצירה.

סורק הנוזקות והניקוי האוטומטי

הסורק של Imunify360 עובד בשתי דרכים:

• בזמן אמת: כל קובץ שנוצר או משתנה, בהעלאה דרך טופס, בעדכון תוסף או דרך FTP, נבדק מיד.
• בסריקות מתוזמנות: סריקה מלאה של כל הקבצים, שמוצאת גם נוזקות שהיו שם לפני שהמערכת הותקנה או לפני שהחתימות שלהן נוספו.

כשהסורק מוצא קובץ נגוע, הוא יכול לנקות אותו אוטומטית: להסיר רק את הקוד הזדוני ולהשאיר את הקוד התקין, למשל כשהוזרקו כמה שורות לקובץ של תבנית. לפני הניקוי נשמר עותק של הקובץ המקורי, כך שאם הניקוי שבר משהו, אפשר לשחזר. קובץ שכולו זדוני, כמו Web Shell (קובץ שנותן לתוקף שליטה מרחוק בשרת), אפשר להעביר להסגר. בנוסף, Imunify360 יכולה לסרוק גם את מסד הנתונים של וורדפרס, שבו תוקפים מסתירים לפעמים סקריפטים בתוך פוסטים והגדרות.

מה Imunify360 לא מחליפה

היא מקטינה מאוד את הסיכון, אבל היא לא פתרון קסם. ארבעה דברים נשארים באחריותכם:

1. עדכונים: חוקי WAF יכולים לחסום ניצול של פרצה מוכרת, אבל הדרך היחידה לסגור אותה היא לעדכן את התוסף, את התבנית או את וורדפרס. תוסף נטוש, שכבר לא מקבל עדכונים, מוחקים.
2. סיסמאות חזקות ואימות בשני שלבים: תוקף שמחזיק בסיסמה אמיתית של מנהל נראה לשרת כמו משתמש לגיטימי. סיסמה ייחודית לכל מערכת, ואימות בשני שלבים (2FA) לכל משתמש ניהול, סוגרים את הפרצה הזו.
3. גיבויים: ניקוי נוזקה לא מחזיר תוכן שנמחק, מסד נתונים פגום או עדכון שהשתבש. רק גיבוי שנשמר מחוץ לשרת, ונבדק מדי פעם, מחזיר את האתר למצב תקין.
4. מה שמתקינים: תבניות ותוספים "פרוצים", גרסאות בתשלום שמופצות בחינם, מגיעים לא פעם עם דלת אחורית מובנית. מתקינים רק ממקורות רשמיים.

מה עושים כשמשהו נחסם או נוקה

מדי פעם המערכת תחסום משהו לגיטימי: את הכתובת של המשרד אחרי כמה ניסיונות כניסה כושלים, או קובץ שנראה חשוד אבל תקין. סימן נפוץ לחסימה של ה‑WAF: שמירה של עמוד בבונה עמודים נכשלת, או טופס מחזיר שגיאה 403. במקרה כזה לא מכבים את ה‑WAF לכל האתר, אלא בודקים בלוג איזה חוק הופעל, ומחריגים רק אותו ורק לאתר הזה.

בשרת עם לוח בקרה, Imunify360 מוסיפה ממשק שבו רואים את הקבצים שזוהו ואת הפעולות שבוצעו. בשרת שבו יש לכם הרשאות root, אפשר גם לעבוד משורת הפקודה. כך מוסיפים כתובת לרשימה הלבנה:

imunify360-agent whitelist ip add 203.0.113.10 --comment "office"

וכך מריצים סריקה ידנית על תיקיית אתר:

imunify360-agent malware on-demand start --path /home/user/public_html

אם אתם חושדים שאתר כבר נפרץ, אפשר להתחיל בבדיקת אבטחה חינמית, ולפנות לניקוי אתר פרוץ כשצריך טיפול מלא, כולל איתור וסגירה של הפרצה.

בשורה התחתונה

Imunify360 נותנת לשרת כמה שכבות הגנה שמדברות זו עם זו: חסימה של תוקפים מוכרים לפי מוניטין, עצירה של ניחוש סיסמאות, סינון בקשות זדוניות, עצירה של קוד PHP חשוד בזמן ריצה, וניקוי נוזקות ברגע שהן נכתבות. זו שכבה חזקה, אבל רק שכבה אחת. יחד עם עדכונים שוטפים, סיסמאות חזקות וגיבויים, היא הופכת את האתר ליעד קשה. ב‑MVN היא מותקנת בכל שרתי אחסון הוורדפרס, ואם היא מוצאת נוזקה, הצוות מנקה אותה בלי עלות נוספת.