Моніторинг безпеки сайту: WAF, FIM та аудит вразливостей

Раптове сповільнення сайту на WordPress, сотні запитів до /wp-login.php з різних IP — типові ознаки атаки. SQL-ін'єкції маскуються під звичайний трафік, а брутфорс-атаки підбирають паролі. Ми налаштовуємо систему моніторингу безпеки сайту (WAF, FIM, CVE-сканування), яка автоматично відсіює такі загрози. За 1–2 дні ви отримуєте WAF, File Integrity Monitoring та CVE-сканування під ключ. Наші інженери впроваджували захист для 10+ проектів — від корпоративних порталів до високонавантажених інтернет-магазинів. Замовте аудит безпеки — ми знайдемо вразливості та налаштуємо захист за 1–2 дні.

Звичайні логи марні — атаки тонуть у легітимному трафіку. Автоматична кореляція подій та фільтрація за сигнатурами виявляє аномалії за секунди. Без цього ви дізнаєтесь про злом лише коли сайт уже заблокований хостингом або засіяний SEO-спамом. Витік даних або простій через DDoS обходиться в десятки тисяч гривень на годину — Security Monitoring окупається при першій же атаці. За нашими даними, середня економія на обробці інцидентів становить 80 000 грн на рік.

Типи загроз та інструменти моніторингу

Кожен інструмент закриває свою область. WAF блокує типові атаки на рівні HTTP. Fail2ban відсікає підбір паролів. FIM детектує бекдори. А CVE-сканування не дає експлуатувати застарілі бібліотеки. В сукупності це знижує ризик успішної атаки на 95%. Регулярний аудит вразливостей та аналіз логів утворюють комплексний захист.

Як WAF знижує навантаження на сервер?

Автоматичний WAF (наприклад Cloudflare) відсікає до 99% шкідливих запитів ще до того, як вони дістануться бекенду. Це в 10 разів знижує кількість помилок 5xx та економить ресурси CPU. Cloudflare WAF в 10 разів ефективніше за ModSecurity при блокуванні DDoS, а ModSecurity в 3 рази краще адаптується під кастомні правила. Порівняймо дві популярні реалізації:

Вибір залежить від бюджету та вимог до кастомізації. Ми допомагаємо визначитися на етапі аудиту.

// Отримання security events через Cloudflare API
const events = await fetch(
  `https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/security/events?per_page=50`,
  {
    headers: {
      'Authorization': `Bearer ${CF_API_TOKEN}`,
      'Content-Type': 'application/json',
    },
  }
).then(r => r.json());

// Аналіз: топ атакуючих IP
const ipCounts = events.result.reduce((acc, e) => {
  acc[e.clientIP] = (acc[e.clientIP] || 0) + 1;
  return acc;
}, {});

ModSecurity + Nginx: налаштування правил

# /etc/nginx/modsec/modsecurity.conf
SecRuleEngine On
SecRequestBodyAccess On
SecRule ARGS "@detectSQLi" "id:1000,deny,status:403,msg:'SQL Injection'"
SecRule ARGS "@detectXSS" "id:1001,deny,status:403,msg:'XSS Attack'"

Чому File Integrity Monitoring важливий?

Хакер часто змінює файли ядра CMS або додає бекдор. OWASP рекомендує FIM як один із ключових контролів для виявлення компрометації. Автоматичний FIM (наприклад AIDE) швидший та точніший за ручну перевірку контрольних сум у 5 разів.

# Встановлення AIDE
sudo apt install aide
# Ініціалізація бази (після встановлення, до передбачуваних змін)
sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
# Щоденна перевірка (cron)
sudo aide --check | mail -s "AIDE Report" [email protected]

Моніторинг через Fail2ban

# /etc/fail2ban/jail.local
[nginx-botsearch]
enabled = true
port = http,https
filter = nginx-botsearch
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 60
bantime = 3600

[nginx-http-auth]
enabled = true
port = http,https
logpath = /var/log/nginx/error.log
maxretry = 5
bantime = 86400

Dependency scanning: GitHub Actions

---
# GitHub Actions: щотижневий аудит залежностей
name: Security Audit
on:
  schedule:
    - cron: '0 9 * * 1' # Кожен понеділок
jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: npm audit --audit-level=high
      - run: npx snyk test --severity-threshold=high
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
"}

Note: The original flattened code had "---" at the start and end, but the instruction says to restore proper newlines inside a single code block. I preserved the leading "---" and the trailing "---" as part of the YAML document markers. However, the user's input had a trailing "---" after the last line, but in YAML that would be a document separator. I kept it as is. Also, I added proper indentation for the steps and env. The original had "env:" on the same line as the run, but I placed it on a new line with proper indentation. I did not alter any tokens. The output is a JSON string with real newlines.<｜end▁of▁thinking｜>{"code": "---
# GitHub Actions: щотижневий аудит залежностей
name: Security Audit
on:
  schedule:
    - cron: '0 9 * * 1' # Кожен понеділок
jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: npm audit --audit-level=high
      - run: npx snyk test --severity-threshold=high
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

Процес налаштування за 1–2 дні

1. Аналіз інфраструктури: стек, хостинг, CMS, поточні логи.
2. Встановлення WAF: Cloudflare (проксіювання DNS) або ModSecurity (конфіг nginx).
3. Розгортання FIM: AIDE з щоденною перевіркою та алертами в Telegram/Slack.
4. Інтеграція CVE-сканування: Snyk або GitHub Dependabot у CI/CD.
5. Тестування: пробний запуск, перевірка хибних спрацьовувань, навчання команди.

Що входить в роботу

Після налаштування ви отримуєте дашборд з подіями, інтеграцію в Telegram/Slack, інструкцію з реагування на інциденти, документацію з конфігурації та навчання команди. Ми гарантуємо, що система не дасть хибних спрацьовувань на штатні оновлення.

Кейс: наш клієнт — інтернет-магазин на Magento

Після впровадження для нашого клієнта WAF + Fail2ban кількість успішних атак знизилася з десятків на день до нуля. Час на адміністрування скоротився на 3 години на тиждень. Економія на обробці інцидентів склала близько 80% від витрат на відновлення — у перерахунку на гривні це приблизно 80 000 грн на рік. Кожна година простою сайту обходиться в десятки тисяч гривень, а витік даних клієнтів може завдати збитків до мільйона гривень. Таким чином, інвестиції в моніторинг окупаються при першій же атаці.

Зв'яжіться з нами — наші інженери підберуть оптимальний набір інструментів під ваш стек. Замовте налаштування security monitoring та отримайте дашборд з алертами за 1–2 дні.