Aplicar el principio del privilegio más pequeño para mejorar la seguridad de WordPress

El principio del privilegio más pequeño para WordPress pierde los primeros títulos cuando hay violaciones, bases de datos y ataques de DOS. Sin embargo, es una de las mejores prácticas de seguridad, si se pasa por alto, si se pasa por alto, para los sitios de WordPress. En esta publicación de blog, primero definimos el principio de privilegio más pequeño, luego examinamos cuándo y dónde se aplica, los riesgos de no adoptarlo y por qué muchos desarrolladores de sitios web aún no lo integran en sus sitios de WordPress. También compartimos algunas recomendaciones prácticas, por lo que puede comenzar de inmediato a mejorar la seguridad de sus sitios de WordPress. Esta publicación de blog incluye varios mini estudios de casos para ayudar a ilustrar su uso en entornos reales.
contenido
¿Cuál es el principio del más mínimo privilegio?
¿Cuándo se aplica el principio del privilegio mínimo?
¿Cuáles son los riesgos si POLP no se aplica?
¿Por qué muchos propietarios de sitios descuidan el privilegio más pequeño de WordPress?
Cómo aplicar POLP para WordPress
Privilegios de usuario de la base de datos de WordPress
Roles y privilegios de los usuarios de WordPress
Creación de roles personalizados
Permisos para archivos y directorios
Configuración de complementos de WordPress
Acceso FTP para contratistas de tercera parte
Mini estudios de casos
Solicitudes para sitios de comercio electrónico
Universidades e instituciones educativas
Noticias y sitios de blogs
Sitios web bancarios
Rastreadores de salud y acondicionamiento físico
Usar el principio del privilegio más pequeño para WordPress y no solo
¿Cuál es el principio del más mínimo privilegio? La idea es muy simple: no dé una cuenta de usuario, no procese ni programen más derechos de acceso de los que necesita para cumplir con sus tareas designadas. En cuanto a un sitio web típico de WordPress con un blog, piense en editores, autores, colaboradores y suscriptores, cada uno de ellos necesita acceso a más o menos antecedentes de su sitio. El privilegio más pequeño (POLP) también se conoce como el “principio del privilegio más pequeño” , “El principio de los privilegios mínimos” o la “cuenta de usuario con el privilegio más bajo” (toma). Consideremos algunos ejemplos simples. Sus hijos a menudo no necesitan acceso a la cocina. Por lo tanto, instale un dispositivo de control de acceso, como una puerta de seguridad, en diferentes puntos de su hogar para permitirles deambular libremente, excepto por ciertas habitaciones. En un espacio de coworking público común, está desconectado de la computadora portátil antes de salir a almorzar. Y, el compañero de estacionamiento de su elegante restaurante le pedirá su identidad o boleto antes de enseñar las llaves de su automóvil. El control de acceso evita el daño a su propiedad y a sus usuarios, ya sea un artículo físico o una garantía digital.
¿Cuándo se aplica el principio del privilegio mínimo? La respuesta simple es que se aplica en todas partes: desde ese pequeño niño que quiere subir las escaleras a los usuarios en su sitio de WordPress. Su freelancer financiero que tiene que descargar facturas mensuales no necesita el mismo nivel de acceso que el administrador del sitio web. Lo mismo es cierto para todo tipo de cuentas privilegiadas de la empresa, sistemas de gestión de archivos, documentación de estrategia de marketing o administradores de contraseñas. ¿Cuáles son los riesgos si POLP no se aplica? El control de acceso en ciertas áreas parece una idea. De lo contrario, no salga del sitio por completo a la lujuria de ningún usuario conectado que incluya a aquellos que puedan cometer errores inocentes e involuntarios y ni siquiera son conscientes de que los han hecho o los resultados no deseados? Los siguientes usuarios posibles:
El nuevo usuario comienza con poca comprensión de las implicaciones comerciales de los errores en un sitio web de WordPress
Aquellos con poca experiencia en la administración de WordPress
Sin conocimiento sobre las implicaciones de descargar nuevas versiones o complementos de WordPress como quieran, o actualizar sin hacer una copia de seguridad primero
Aquellos con conocimiento de seguridad limitado crean nuevos usuarios o modifican el permiso de los usuarios existentes
Aquellos que no saben cómo hacer frente a los errores informados u otros problemas
Contribuyentes externos de publicaciones de blog, como socios, profesionales y clientes gratuitos, probablemente un puñado de conocimiento sobre WordPress, que incluso pueden descargar o actualizar complementos “útiles” en su sitio.
También significa que todo su backend WordPress está expuesto al riesgo de que una persona no autorizada, como alguien con niveles de acceso inadecuados, agregue nuevos usuarios y les dé acceso a áreas del sitio web donde puede causar daños deliberados.
Cambiar temas, funciones o contenido personalizados del sitio público
Gestión incorrecta de acciones, SKS o metadatos de productos en tiendas comerciales electrónicas
Proporcionar descuentos no autorizados
Acceder, modificar, descargar o eliminar el código, la página, los medios, las configuraciones o el personal, los clientes y otros tipos de archivos
Acceso a datos de la compañía, clientes, salud o financieros, por ejemplo, para usar o vender otras piezas malas
Tomar el sitio y sus productos o servicios fuera de línea
Ya sea que use o no WordPress, cualquiera o todos estos problemas pueden ocurrir cuando el principio del privilegio más pequeño para WordPress no se adopta deliberadamente y constantemente en toda la organización.
Consejo: use un complemento de WordPress Activity Journal para mantener un diario de todos los cambios que los usuarios realizan en su sitio web de WordPress. Ayuda a la responsabilidad del usuario y facilita la resolución de problemas. ¿Por qué muchos propietarios de sitios descuidan el privilegio más pequeño de WordPress? Los riesgos que enfaticé parecen bastante convincentes, ¿verdad? Pero uno de los problemas más comunes reportados siguiendo las auditorías del sitio de WordPress es que los roles de los usuarios de WordPress en un entorno típico todavía se configuran de la siguiente manera:
El papel de WordPress Administrator se otorga a cada usuario, incluso cuando el usuario solo tiene que introducir contenido escrito por otra persona que sea válida para los permisos de archivos y director, todos están configurados con los permisos menos restrictivos.
Yo tomé. Todos teníamos experiencia laboral como administradores de sistemas y sitios web en un momento de nuestra carrera. En lugar de hacer la conexión entre usuarios y permisos en los primeros días, verificando lo que el usuario tiene que hacer, los administradores a menudo prefieren simplemente asignarles el papel de administrador (parece más rápido, inicialmente).
Lo mismo es cierto para los permisos de archivo y director. Por ejemplo, algunos complementos de WordPress almacenan caché u otros archivos de datos (es decir, en los directores de WordPress). Es más fácil configurar simplemente los permisos 777 en el director/WP-Content/Plugins/, porque todos los complementos funcionarán y no necesita pasar más tiempo de solución de problemas y cambiando los permisos cada vez que instale un nuevo complemento. Pero, realizando algunas investigaciones al principio para determinar las áreas específicas de la aplicación del sitio web o los directorios para evitar que el acceso de los usuarios reduce los riesgos ya mencionados. Y tiene la ventaja adicional de permitir que todos tengan acceso a lo que necesitan para hacer su trabajo, sin otras intervenciones de un administrador.
Preguntas que los propietarios y administradores del sitio web preguntan la conveniencia merecen el riesgo de seguridad? Sabes cuál sería nuestra respuesta a esta pregunta. Simplemente no tiene sentido instalar y mantener complementos de seguridad para aplicaciones web sólidas, protocolos de contraseña y otras medidas, como 2FA, si el mayor riesgo de seguridad es que ya ha dejado la puerta trasera con controles con controles de acceso a amateur y LAX. Cómo aplicar el principio del privilegio más pequeño para WordPress Ahora que se enfoca en hacer la aplicación para su sitio. WordPress. WordPress Database User -Databases para comenzar con el lugar más elemental: bases de datos o privilegios de usuarios de WordPress. Para las operaciones normales de WordPress diarias, como escribir y publicar contenido, WordPress Database solo necesita los siguientes permisos para permitirles administrar datos de la base de datos:
Seleccione
Ingresar
Actualizar
Remover
Estos permisos no permiten que el usuario de la base de datos de WordPress cambie la estructura de la base de datos. Recomendaciones En un entorno ideal para fortalecer su sitio de WordPress o seguridad en el blog, debe configurar la base de datos MySQL segura y restrictiva de WordPress. Simplemente regrese a la atribución de todos los privilegios de los usuarios que tienen que instalar un nuevo complemento que cree nuevas tablas en la base de datos o cuando WordPress se haya actualizado y hay cambios en la base de datos de WordPress.
Otra recomendación es evitar dar acceso a bases de datos distintas de WordPress para ese sitio. Para obtener más información sobre los privilegios de la base de datos de WordPress, también puede leer por qué la base de datos mínima de WordPress para los usuarios de MySQL mejora la seguridad, lo que explica las repercusiones de configuración inciertas. Roles y privilegios de los usuarios de WordPress Los usuarios de WordPress cometen errores, incluso administradores. A los usuarios también les gusta explorar la configuración y las configuraciones. Si atribuye a los usuarios de acceso súper administrador o administrador, los más curiosos de ellos instalarán complementos aleatorios. Esto puede conducir a un cambio involuntario en la experiencia del usuario, como un cambio en la funcionalidad del sitio web. WordPress tiene una serie de roles de usuario incorporados y capacidades conectadas, como se enumera a continuación (de menos a lo menos). Administrador de red del Super Site
Administrador: administrador de red de sitios para un solo sitio
Editor: administra y publica publicaciones, incluidas publicaciones de otros usuarios
Autor: administra y publica sus propias publicaciones
Contribuyente: escriba y administre sus propias publicaciones pero no las publique
Suscriptor: administre solo el perfil
Un ejemplo de la forma en que esto funciona en la práctica es que, aunque un colaborador y un autor pueden compartir ciertas capacidades (por ejemplo, editar publicaciones y eliminar publicaciones), un colaborador no puede hacer todo lo que un autor, como cargar archivos o crear bloques utilizables. Crear roles personalizados también es una buena cantidad de complementos que puede usar para crear roles de WordPress nuevos y personalizados. Aquí hay algunos casos de uso comunes: en organizaciones más grandes, es posible que deba designar a alguien en su equipo de marketing para criar, aprobar y responder a los comentarios. La capacidad de “comentar moderada” está alojada en el editor, pero este rol también atribuye una serie completa de otras capacidades fuertes. Entonces, si esto es todo lo que tiene que hacer, entonces la configuración de un rol personalizado, con este permiso único, es suficiente.
Si su sitio de WordPress contiene un complemento de comercio electrónico, como WooCommerce, está limitado a dos roles iniciales: Magazine Manager (que permite al usuario administrar toda la tienda) y el cliente (que permite al usuario ver su cuenta y pedidos). El administrador tiene permisos adicionales, como “configuración de configuración” y “visualización de informes”. Pero, ¿qué sucede si sus usuarios, el personal que no conduce, por ejemplo, requieren algo entre ellos, como la capacidad de agregar y administrar cantidades de stock o SKS o simplemente procesar pedidos?
En nuestro sitio, utilizamos un complemento para artículos en nuestra base de conocimiento. Esto le da acceso a nuestro equipo de acceso para crear y modificar artículos desde la base de conocimiento, pero no acceso a las páginas principales del sitio web y las publicaciones de blog. Recomendaciones para la mayoría de los usuarios ordinarios, el papel de colaborador es suficiente. Para los líderes de equipo y los gerentes profesionales, se recomienda el papel del editor. Pero, debe restringir los roles de super administrador y administrador a usuarios experimentados y responsables que realmente los necesitan.
Para obtener más información, consulte cómo usar los roles de usuario de WordPress para mejorar la seguridad de WordPress. Los permisos para archivos y directorios son fáciles de configurar los permisos para archivos y directorios y hay una gran documentación disponible en línea que explica cómo fortalecer sus permisos de instalación de WordPress. WordPress se ejecuta en cualquier sistema operativo que ejecute PHP, generalmente Linux. En cuanto a los grupos, Linux tiene tres grupos de permisos:
Propietario: propietario del archivo/director, cuyos permisos no se aplican ni afectan a ningún otro usuario
Grupo, un grupo de usuarios que han recibido acceso al archivo/directorio, cuyos permisos no aplican ni afectan a ningún usuario desde fuera del grupo
Otros: ¿qué niveles de permisos tienen todos los demás para el mismo archivo/directorio?
A cada uno de estos se le asigna permiso de lectura (ver contenido), escribir (escribir o modificar contenido) o ejecución (ejecutar contenido, como un script). Estos permisos se almacenan como una serie de números y proporcionan acceso a código PHP, imágenes y otros medios, archivos HTML y JavaScript y complementos. La implicación de asignar permisos incorrectos a un grupo de permisos incorrectos podría significar que un hacker malicioso podría aprovechar y conducir a una vulnerabilidad de bajo nivel que se convierte en un riesgo inaceptable. Recomendaciones Al instalar WordPress, también debe usar POLP, configurando el menor archivo y directorios posibles para que WordPress funcione. Recuerde que, al fortalecer los permisos para archivos y directorio, también puede restringir los complementos de WordPress. Como expliqué anteriormente, es posible instalar complementos que tengan que almacenar datos en su directorio de instalación. Si es así, no configure simplemente 777 permisos para el director del complemento (lectura completa, escritura y ejecución para cualquier persona que tenga permisos para controlarlo). Esta es la salida fácil. Pero también debe evitar limitarlo tanto como para evitar que los usuarios relevantes actualicen WordPress, temas y complementos en la interfaz de uso web. Para obtener información adicional, consulte los permisos de archivo de WordPress:
Guía para la configuración de permisos seguros para el sitio web y el servidor web. La configuración de los complementos de WordPress no todos los administradores son iguales. Al igual que muchos sistemas y redes, es común ser un administrador principal entre un grupo de administradores de WordPress. Por lo general, el propietario del sitio web no tiene opción que atribuir a otros usuarios el acceso al administrador. Tenga en cuenta que en el caso de los complementos de seguridad de WordPress, a menudo pueden almacenar datos confidenciales, como un diario de auditoría de seguridad de WordPress, al que los administradores tendrían acceso. Recomendaciones Los complementos de seguridad de WordPress generalmente le permiten restringir el acceso de otros administradores de WordPress. El uso de tales funciones parece un pequeño control, pero a veces se pasa por alto, lo que lo ayudará a mantener mejor el control sobre los usuarios. Para obtener más información sobre complementos individuales, comuníquese con el proveedor de soporte y alojamiento para complementos. Luego pregunte en qué directorios debe escribir el complemento, para que pueda configurar los permisos especiales para ese director. Acceda a FTP para contratistas de terceros Cuando contrata a un diseñador o un equipo de asistencia de complementos necesita acceso FTP a su sitio, puede darles acceso completo a la raíz de su sitio, ¿verdad?
Esto es inútil. Recomendaciones En el caso de un diseñador, todo lo que necesita es el director del tema, por lo que restringe el acceso a ese director. Lo mismo es cierto para los equipos de soporte de complementos. Si necesitan acceso para verificar los archivos de registro, bríndeles acceso FTP al Administrador de complementos o la ubicación donde el complemento almacena los archivos de registro. Evite depender de piezas externas para hacer diligencia de seguridad para sus mini estudios de casos para ver algunos ejemplos sobre cómo funciona esto en la práctica y cómo los controles y decisiones de acceso pueden conducir a la aplicación POLP para permitir el acceso. Corrija a equipos e individuos adecuados. Aplicaciones para sitios de comercio electrónico Aplicaciones de sitios comerciales electrónicos, como los consumidores, compran artículos grandes, como POLP adoptada. Algunas de las decisiones de control de acceso para los desarrolladores de sitios web de comercio electrónico son obvias: los departamentos de recursos humanos probablemente no necesitarán acceso a datos de clientes o directores de archivos, pero necesitarán acceso. En la mayoría de los registros del personal (aunque los datos de salud, que a menudo disfrutan de un especial Estado de acuerdo con muchas leyes de protección de datos, puede estar más restringido para saber)
Los departamentos de marketing no necesariamente necesitarán acceso a tablas SKU o códigos de productos. Sin embargo, querrán acceso a las tablas en la base de datos de los productos que enumeran los nombres, especificaciones y descripciones de los productos son menos obvios:

¿Los consumidores necesitan acceso a todos sus datos todo el tiempo?
¿Los oficiales de cumplimiento de PCI-DSS necesitan acceso a los datos de todos los consumidores?
Universidades e instituciones educativas, pero las instituciones más tradicionales y a largo plazo, ¿dónde están la seguridad de las aplicaciones Web y POLP inicialmente menos obvias? Algunas de las decisiones de control de acceso para los portales de universidades y colegios son obvias:
El departamento de nómina necesita acceso a los registros de personal y contratistas en la aplicación del sitio web para rastrear los días hábiles y realizar pagos
Los departamentos administrativos de diferentes tipos pueden necesitar acceso a los archivos de los estudiantes, para procesar identificaciones, solicitudes de alojamiento, facturas o subvenciones
Algunos son menos obvios:
¿Qué tercer proveedores de partidos, como proveedores de tarjetas deslizantes, podrían necesitar acceso intermitente a algunas bases de datos de estudiantes?
Las noticias y los sitios de blogs web están llenos de sitios web de noticias, podcasts y blogs. Muchos propietarios de sitios web dependen de varios administradores, colaboradores, editores, correctores y editores. Además, hay suscriptores y espectadores a considerar. Algunas de las decisiones de control de acceso para noticias y sitios web de blogs son obvias:
Dependiendo de las áreas de actividad de responsabilidad, los editores pueden necesitar acceso a una combinación de páginas, artículos y publicaciones de blog de cada co -trabajadores solo necesitarán acceso a sus propias publicaciones de blog
Algunos son menos obvios:
¿Todos los terceros necesitan acceso a cada tabla en la base de datos de WordPress? Este es el lugar donde los cheques personalizados se vuelven propios.
Sitios web bancarios Nuestro último ejemplo es algo que muchos de nosotros usamos todos los servicios de sitios bancarios. Además de la información de salud, los datos financieros personales son naturalmente uno de los tipos más confidenciales. Algunas de las decisiones de control de acceso para tomar las aplicaciones del sitio web son obvias:
Ningún usuario de servicios bancarios debe tener acceso a la cuenta de otro usuario, excepto el consentimiento expreso (probablemente controlado por el usuario)
Las cuentas de los usuarios de personal deben tener acceso a muchas cuentas de usuarios de servicios, pero limitadas a las tareas que deben realizar como parte de su trabajo.
Algunos son menos obvios:
¿Cuánto acceso deberían tener los departamentos de soporte técnico? ¿Deberían poder ver y modificar todo en caso de errores?
Le recomendamos que piense y planifique el caso de uso comercial para cada escenario. En combinación con sus grupos de usuarios e individuos con descripciones de trabajo únicas. Mapealos primero. Solo entonces puede comenzar a examinar los protocolos de control de acceso disponibles en su sitio web de WordPress. Rastreadores de salud y acondicionamiento físico Los dispositivos de seguimiento de la salud o el estado físico y su tablero en línea conectado recolectan, almacenan y comparten estadísticas fascinantes sobre los usuarios y su salud, actividad, objetivos y logros. Algunas de las decisiones de control de acceso para rastreadores de salud y estado físico son obvias: ¿qué equipos dentro de la organización necesitan acceso a qué datos? Es lógico que si un equipo es responsable de diseñar y desarrollar la parte de seguimiento de la aplicación de la aplicación, no necesariamente necesita acceso a las estadísticas de capacitación.
La mayoría de los usuarios querrán que POLP (ya sea que lo sepan o no) sean muy restrictivos, por lo que su información de salud no se comparte con todos los demás usuarios. Entonces, ¿qué privilegios de acceso se deben otorgar al rol normal del usuario y, por lo tanto, qué datos se compartirán en un perfil público (nombre, imagen de perfil y solo pasos diarios medianos?).
Algunos son menos obvios:
¿Qué información y cuánto deberían ser accesibles para otros usuarios para facilitar las características de gamificación comunes de tales herramientas?
¿Deberían los desarrolladores establecer todos los permisos de acceso o parte de esta toma de decisiones deben transferirse a los usuarios?
El uso del principio del privilegio más pequeño para WordPress y no solo los anteriores son solo una selección de los escenarios más comunes en los que a menudo se pasa por alto el principio del privilegio más pequeño para WordPress, pero se puede aplicar fácilmente.Para comenzar a adoptar POLP, comience pensando en lo que desea hacer en los siguientes elementos: servidor web
Base de datos
personalización
No tenga miedo de aplicar el principio de privilegio más pequeño simplemente porque las cosas no van de inmediato.Sí, la mayoría de las veces tiene que pasar unas horas configurando roles personalizados del cliente y resolución de problemas.Recuerde esto en mente como una inversión a largo plazo en la seguridad de sus sitios de WordPress.