Od lat coraz większa uwaga poświęcana jest kwestiom cyberbezpieczeństwa, cyberzagrożeń, ale i dezinformacji. Jednym z głównych wyzwań pozostaje jednak wciąż fakt, że tak jak dezinformacja często sprowadzana jest wyłącznie do wąskiego aspektu fake newsów, tak i sfera informacyjna traktowana jest rozdzielnie od sfery cybernetycznej. Takie ograniczone podejście uniemożliwia skuteczne analizowanie czy przeciwdziałanie zagrożeniom. Szczególną podatność zauważyć można przede wszystkim w sferze funkcjonowania organizacji pozarządowych i mediów, które nierzadko są głównymi celami ataków informacyjnych lub psychologicznych.
Poza działalnością jednostek czy zorganizowanych grup przestępczych, na przestrzeni ostatnich miesięcy obserwowaliśmy wzrost niebezpiecznych tendencji w cyberprzestrzeni, zwłaszcza wykorzystanie przez niektóre państwa swoich służb specjalnych i hakerów będących formalnie osobami prywatnymi do realizacji swoich celów w polityce zagranicznej. Chodzić tu będzie nie tylko o Federację Rosyjską, ale i o Iran czy Koreę Północną. Coraz szerzej analizowana jest aktywność Chińskiej Republiki Ludowej, Państwa Islamskiego czy ugrupowań terrorystycznych w skali globalnej. Warto w tym momencie wspomnieć, że na przykład rosyjska doktryna bezpieczeństwa nie rozróżnia sfery cybernetycznej od sfery informacyjnej, a wszelkie działania związane z wojną informacyjną i psychologiczną prowadzone są jednocześnie w cyberprzestrzeni. W tym samym czasie państwa zachodnie w swoich koncepcjach bezpieczeństwa główny nacisk kładą na cyberbezpieczeństwo, z pominięciem całego obszaru bezpieczeństwa informacyjnego. Podobna sytuacja ma również miejsce w Polsce. Jest tak mimo faktu udokumentowanych przypadków koordynacji cyberataków z atakami informacyjnymi, jak przed wyborami w Niemczech, Francji czy Stanach Zjednoczonych czy też atakami na same media czy też organizacje pozarządowe lub ich działaczy.
Przykładanie uwagi do cyberbezpieczeństwa przy jednoczesnym pomijaniu komponentu informacyjnego i psychologicznego jest jednym z głównych wyzwań Zachodu, ale nie jedynym. Najsłabszym elementem każdego systemu pozostaje człowiek i niezależnie od państwowych regulacji w pierwszej kolejności to sami użytkownicy powinni myśleć o swoim bezpieczeństwie. W sposób szczególny dotyczy to nie tylko osób prywatnych, ale NGOsów, mediów, dziennikarzy, blogerów, analityków czy pracowników instytucji państwowych i ich kierownictwa – słowem każdego, kto pracuje z informacją lub może wywierać wpływ na przestrzeń informacyjną danego państwa.
Z wyjątkową uwagą należy odnosić się zwłaszcza do własnych stron internetowych oraz ich zabezpieczania, niezależnie czy mówimy o funkcjonowaniu dużych mediów ogólnokrajowych, czy też o blogach lub lokalnych projektach. Agresor informacyjny jest w stanie w określonych sytuacjach wykorzystać różne źródła informacji i podjąć wobec nich atak, aby oddziaływać na określone grupy wyznaczonego przez siebie docelowego audytorium – nie zawsze chodzi bowiem o całe społeczeństwo. Dotyczyć to może np. regionów przygranicznych, ale i miejsc, gdzie planowana będzie strategiczna dla państwa inwestycja (jak chociażby elektrownia atomowa lub baza wojskowa).
Należy przy tym pamiętać, że utrata dostępu do swojej strony to niekoniecznie najgorsze, co może się wydarzyć. Innym scenariuszem może być modyfikacja wcześniej publikowanych treści bez wiedzy autorów czy administratorów i użycie tego do ich dyskredytowania, wykorzystanie kont pocztowych do ataków DDoS lub rozsyłania spamu, co może także podważać reputację lub zaufanie do danego medium lub strony, ale i sabotowanie pracy dziennikarzy czy zdobywanie informacji na temat: planowanych publikacji, które jeszcze nie zostały zamieszczone na stronie, godzin pracy, nawyków, przyzwyczajeń czy adresów IP tak dziennikarzy, jak i administratorów, itd. Warto więc pamiętać o pewnych standardach i nawykach przy pracy z portalami internetowymi.
Przekrój zabezpieczeń do WordPressa
System WordPress, jako jeden z najpopularniejszych systemów zarządzania treścią na stronach internetowych, często jest obiektem ataków hakerów z całego świata. Liczne zalety aplikacji, takie jak przystępność, elastyczność czy łatwość do opanowania, są jednocześnie wadą, jeśli oceniamy system pod kątem bezpieczeństwa. Twórcy WordPressa starają się zapewnić jak najwięcej zabezpieczeń. Działania te nie gwarantują jednak pełnej ochrony, dlatego też warto samodzielnie wdrażać rozwiązania, które zapewnią maksymalne bezpieczeństwo administrowanych stron.
Aktualizacje WordPressa
WordPress to system, który dynamicznie się zmienia. Dlatego wciąż powstają nowe wersje, zawierające zarówno nowe funkcje, jak poprawki, zwiększające bezpieczeństwo. Dlatego warto na bieżąco aktualizować WordPressa oraz zainstalowane wtyczki, rozszerzenia i motywy. W ten sposób otrzymujemy zabezpieczenie przed błędami, które pojawiają się w różnych miejscach. Warto pamiętać, że odkładanie w czasie aktualizacji niesie ze sobą ryzyko. Rozsądnym podejściem jest też usuwanie niepotrzebnych, nieużywanych dodatków i wtyczek, ponieważ takie elementy są najbardziej podatne na cyberataki.
Regularne kopie bezpieczeństwa
Wykonywanie kopii zapasowych wszystkich danych to sposób na to, by nie utracić bazy danych, w razie ataku na stronę. Zazwyczaj za backup danych odpowiadają dostawcy usług hostingowych, jednak jeśli strona często się zmienia, można wykonywać dodatkowe kopie danych. Jest to możliwe dzięki instalacji dodatkowej aplikacji do tworzenia kopii zapasowych w systemie WordPress.
Logowanie
Wielu użytkowników WordPressa zapomina, że wybranie nietypowego loginu, zmiana ID administratora, jak również ustawienie skomplikowanych haseł to najprostsze sposoby, by uniknąć wielu ataków brute-force. Są to ataki, które polegają na sprawdzaniu wszystkich możliwych kombinacji loginów i haseł. Używanie standardowych loginów takich jak „admin”, „administrator”, z automatu ułatwiają hakerom zadanie. Najlepiej nie używać w charakterze loginu swojego adresu mailowego czy nazwy użytkownika. Warto również ustawić mocne hasło, czyli takie, które zawiera małe i wielkie litery oraz cyfry i znaki specjalne. W tym pomagają najprostsze programy, np. LastPass czy KeePass.
Ograniczenie dostępu do panelu logowania
Ponieważ panel logowania do WordPress jest miejscem podatnym na ataki, dobrze jest go dodatkowo zabezpieczyć. Jedną z metod jest zabezpieczenie katalogu wp-admin dodatkowym hasłem. W ten sposób konieczność podania dodatkowych danych uwierzytelniających stworzy dodatkową barierę.
Wtyczki zabezpieczające
Dobrym sposobem na zwiększenie bezpieczeństwa strony na WordPress jest instalacja dodatkowej wtyczki zabezpieczającej. Wtyczki pozwalają w automatyczny sposób wprowadzić liczne ustawienia, które znacznie zwiększają ochronę strony. Bardzo dobrą wtyczką jest np. All In ONE WP Security & Firewall, która między innymi zmienia prefix tabel w bazie danych, pozwala na wyświetlanie zalogowanych użytkowników dostępnych online, umożliwia wykonanie kopii zapasowych, ukrywa panel administracyjny, skanuje zmiany w plikach, ukrywa informacje dotyczące zastosowanej wersji WordPress i ma kilkadziesiąt innych funkcji. Równie dobrze działa iThemes Security Pro – wtyczka, która generuje złożone hasła, wykrywa zmiany w plikach, umożliwia ustawienie autoryzacji dwukierunkowej czy też zablokowanie panelu sterowania w dowolnym momencie.
Ochronę przed złośliwym oprogramowaniem i włamaniami na stronę zapewni też Wordfence Security, Sucuri Security czy SecuPress. Kopie zapasowe pozwoli wykonać wtyczka VaultPress, z kolei do skanowania strony w poszukiwaniu zagrożeń doskonałe są takie wtyczki jak WP Security Ninja.
Dobrym rozwiązaniem zwiększającym bezpieczeństwo jest też zastosowanie Lookam, który nie tylko oferuje funkcjonalności wtyczek, ale też zapewnia obsługę ze strony doświadczonych programistów.
Certyfikat SSL
WordPress umożliwia korzystanie z szyfrowanego połączenia https przez przeglądarkę. Zastosowanie narzędzia, jakim są certyfikaty SSL pozwala na zachowanie poufności przesyłanych danych. Szyfrowanie komunikacji jest podstawą dla firm, które drogą elektroniczną pobierają i przetwarzają dane osobowe, przekazują poufne informacje lub też prowadzą sprzedaż w sieci.
Podsumowanie
Praca z WordPress to przyjemność dla administratorów, twórców treści, a także samych użytkowników strony. W dobie agresywnych działań informacyjnych i psychologicznych, należy jednak pamiętać o odpowiednim zabezpieczeniu dostępu do systemu i bieżącym dbaniu o aktualność dodatkowego oprogramowania. Jest to tym istotniejsze, że dana strona może stać się nie tylko obiektem jednorazowego ataku, ale tak ona sama, jak i jej infrastruktura mogą stać się narzędziami operacji informacyjnych przeciwko innym podmiotom, państwom czy politykom, a w ten sposób stworzyć zagrożenie dla współobywateli. Jak pokazują przykłady z Katalonii czy wyborów prezydenckich w USA, może także chodzić o ich bezpieczeństwo fizyczne, zdrowie i życie.
Aby przez długie lata móc cieszyć się stabilnym działaniem i bezpiecznym korzystaniem ze stron należy także pamiętać, że poza dbaniem o własne bezpieczeństwo, na organizacjach pozarządowych, aktywistach, mediach i dziennikarzach ciąży także szczególna odpowiedzialność społeczna. Są oni na pierwszych liniach frontu ataków informacyjnych i dezinformacji. Poza utratą ważnych danych, swoich czy partnerów, na szali jest jeszcze reputacja i zaufanie. Te ostatnie, wraz z wiarą w systemy demokratyczne, zaufanie do ładu i porządku publicznego oraz instytucji państwowych są głównymi celami operacji informacyjnych i psychologicznych, projektowanych indywidualnie pod państwa zachodnie, w tym Polskę.
Projekt „Cyberbezpieczeństwo a bezpieczeństwo informacyjne” jest wspólnym przedsięwzięciem Fundacji Centrum Analiz Propagandy i Dezinformacji oraz Firmy MillStudio.pl.
