Базовая защита сервера сайта

Базовая защита сервера — работы, после которых сервер перестаёт быть лёгкой целью: вход по ключам вместо паролей, запрет входа root по сети, SSH на своём порту, автоблокировка перебора, межсетевой экран, регулярные обновления безопасности, запрет исполнения PHP в папках загрузки и вынос резервных копий из публичной папки. От 45 000 ₽, от 5 рабочих дней.

Обсудить задачу

Сроки: от 5 рабочих дней
Стоимость: от 45 000 ₽
Кому подходит: Сайтам и порталам на своём сервере или VPS, которые настраивали один раз при запуске, и тем, кто уже разбирался с последствиями заражения

Сервер сайта сканируют постоянно, независимо от того, знает о нём кто-нибудь или нет. За одни сутки на наш собственный сервер пришло 117 529 запросов, из них 494 — это перебор чужих адресов: .env во всех вариантах написания, .git/config, .aws/credentials, вход в чужие админки, файлы с дампами базы и архивы резервных копий. Адресов, с которых это шло, — 29. Ни один из них не знал, что за сайт отвечает по этому адресу: перебирают всё подряд, по списку.

Смысл базовой защиты не в том, чтобы отбиться от целевой атаки, а в том, чтобы не попасть в улов такого перебора. Большинство взломов, которые мы разбирали, начинались не со сложного взлома, а с открытой двери: пароль root по SSH, дамп базы в публичной папке, возможность выполнить загруженный файл как скрипт.

Что именно закрывается

Вход на сервер переводится на ключи, вход по паролю и вход root по сети отключаются. SSH переносится на свой порт — это не защита, а способ убрать фоновый перебор из журналов. Ставится автоматическая блокировка адресов, с которых идёт подбор, с белым списком ваших адресов, чтобы вы не остались снаружи.

Межсетевой экран оставляет открытыми только нужные порты. На практике наружу обычно смотрит лишнее: панель управления окружением, база данных, почтовые порты, иногда phpMyAdmin, поставленный когда-то для разовой задачи.

Отдельная часть работ — публичная папка. В ней не должно быть ничего, что можно выполнить и чего нельзя показывать: архивов, дампов, файлов с настройками, копий конфигурации. А в папках, куда сайт пишет загруженные файлы, выключается выполнение PHP. Это та самая настройка, из-за отсутствия которой заражение возвращается после чистки: закладку удалили, а положить новую можно снова.

Чего эти работы не делают

Это базовая защита, а не аудит безопасности приложения и не постоянный мониторинг. Мы не ищем уязвимости в коде сайта, не проводим тестирование на проникновение и не обещаем, что сервер после работ нельзя взломать. Мы закрываем то, через что ломают массово, и оставляем вам отчёт с проверкой, которую можно повторить самостоятельно.

Если сайт уже заражён, порядок другой: сначала разбор и чистка, потом защита. С обновлениями порядок тот же: если версия PHP или платформы давно не менялась, их планируют отдельными работами, а не делают заодно.

Что входит в услугу

Снимок состояния: какие службы слушают сеть, что доступно снаружи, кто и как заходит по SSH, что лежит в публичной папке
Доступ: вход по ключам, запрет входа root по сети, отдельная учётная запись вместо общего пароля, свой порт SSH
Автоблокировка перебора: fail2ban на вход по SSH, на админку сайта и на почту, с белым списком ваших адресов
Межсетевой экран: наружу открыто только нужное, панель окружения, база и служебные порты закрыты
Обновления: что обновляется само, что руками, и порядок, при котором обновление не роняет сайт
Публичная папка: запрет исполнения PHP там, куда сайт пишет файлы, закрытие дампов, архивов и файлов с настройками
Резервные копии: перенос за пределы сервера и проверка восстановлением, а не наличием архива
Журналы: ротация, срок хранения и что в них смотреть, если что-то случилось
Отчёт: что сделано, что осталось и почему, с командами для самостоятельной проверки

Как проходит работа

Снимок состояния Смотрим, что открыто наружу, какие службы запущены, как устроены доступы и что лежит в публичной папке. На этом шаге обычно и находится лишнее: открытая панель окружения, забытый phpMyAdmin, дамп базы рядом с сайтом.
Доступы Заводим ключи, закрываем вход root по сети и вход по паролю, переносим SSH на свой порт. Перед закрытием пароля проверяем, что вход по ключу работает у всех, кому он нужен, — включая ваших подрядчиков.
Фильтры и сеть Ставим автоблокировку перебора и настраиваем межсетевой экран. Белый список адресов согласуем заранее, чтобы не отрезать вас от собственного сервера.
Публичная папка и копии Закрываем исполнение PHP в папках загрузки, убираем из веб-дерева дампы, архивы и файлы с настройками, выносим резервные копии с сервера.
Проверка и отчёт Прогоняем сервер снаружи, сверяем, что закрытое действительно закрыто, и отдаём отчёт с командами, которыми вы сами это повторите через месяц.

Что вы получаете

Перебор паролей по SSH не доходит до сервера: входа по паролю нет, адреса с перебором блокируются автоматически
Наружу открыты только нужные порты, панель окружения и база доступны не всему интернету
Загруженный на сайт файл нельзя выполнить как скрипт — именно так чаще всего возвращается заражение после чистки
Резервная копия лежит не на том же диске, что и сайт, и проверена восстановлением
Есть отчёт с командами для самостоятельной проверки и список того, что осталось за рамками работ

Частые вопросы

Нестандартный порт SSH — это правда защита?

От целенаправленной атаки нет: порт находится сканированием за минуты. Он снимает фоновый шум — массовый перебор идёт по 22-му порту, и после переноса журнал входов перестаёт расти на сотни мегабайт. Защищают ключи и запрет входа по паролю, порт только разгружает сервер и журналы.

Сайт будет недоступен во время работ?

Нет. Работы идут по доступам, сети и правам, сайт при этом продолжает работать. Остановка может понадобиться на обновление версии PHP или базы, но это отдельные работы, и их мы согласуем заранее и делаем в окно, которое вы назовёте.

А если сервер уже заражён?

Тогда сначала чистка, потом защита — в обратном порядке смысла нет. Закрытые доступы не удалят уже загруженные закладки, а чистка без закрытия входа приводит к повторному заражению через неделю. Как это выглядит на практике, мы разобрали в отдельном кейсе.

Подойдёт ли это для обычного хостинга, а не своего сервера?

Частично. На общем хостинге нет доступа к настройкам SSH, межсетевому экрану и службам — там остаются права на файлы, запрет исполнения PHP в папках загрузки, вынос копий и настройка доступов к панели. Что именно применимо на вашем тарифе, видно по первому снимку состояния.

Почему Оверплан

Платиновый

Партнёр Битрикс24 — высший статус партнёрской программы, ТОП-2 в Ярославской области. По 1С-Битрикс — сертифицированный партнёр, ТОП-3 в области.

Топ-3 и Топ-29

По продажам облачного Битрикс24 в ЦФО и в общем рейтинге партнёров по России — по итогам 2025 года.

С 2021 года

Более 300 выполненных проектов. Свой штат разработчиков и аналитиков: растим специалистов от стажировки до руководителей направлений.

20+ приложений

Собственные решения в Битрикс24.Маркет: роботы, вычисляемые поля, проверка контрагентов. Мы не только настраиваем систему, но и расширяем её.

Сначала аудит

Начинаем с предпроектного исследования: смотрим процессы и данные, показываем состав работ, сроки и стоимость до начала разработки.

Остаёмся рядом

После запуска сопровождаем: следим за ошибками обмена, обучаем сотрудников, дорабатываем по мере роста бизнеса.