Olá, acabei de iniciar meu teste gratuito de 14 dias e gostei do que vi. Tenho uma pergunta sobre segurança:
Eu costumava usar um fórum "Simple Machines", vinculado ao meu site, mas provou ser um risco de segurança enorme, pois os spammers usavam o fórum como uma porta dos fundos para acessar meu site e, em seguida, derrubar meu site.
Eu planejo usar uma conta padrão do Discourse, hospedada pelo Discourse (entendi corretamente?)
Que tipo de firewall existe entre o fórum Discourse e meu site vinculado?
Meu site é hospedado pela Squarespace.
Agradeço antecipadamente pela sua ajuda e conselhos.
O Discourse é usado por muitas grandes empresas de tecnologia
É um sistema robusto. Você não pode hospedar um site Discourse no Squarespace, ele será hospedado pelo Discourse em seus servidores, é para isso que você está pagando e será uma entidade separada.
Nosso servidor físico foi invadido há alguns anos (99% por causa de um site antigo do Confluence). Quase tudo foi destruído, exceto o Discourse. Tivemos cerca de 4 spammers nos últimos 10 anos. Mas não somos famosos. Vi cerca de 2 spammers no próprio Discourse Meta nos últimos 3 meses, chegando a postar algo no fórum. Considero que ele foi construído à prova de spam desde o início. Acho que essa é até a ideia básica com que eles começaram.
Se os pesadelos vierem da integração ao incorporar um fórum como sistema de comentários em outro site, como o WordPress [1], não posso dar explicações técnicas — mas estou usando o Discourse dessa forma, e muitos outros também o fazem, sem problemas.
Se (e quando?) você estiver usando o Discourse de forma independente, como a maioria faz, seu site principal é apenas mais um link dentro do Discourse. Então, a segurança desse site/servidor vem do que acontece lá, é claro. E a segurança do Discourse hospedado é dor de cabeça da CDCK, não sua.
Mas aposto que existem mais instâncias auto-hospedadas do que as da CDCK, e novamente, outros podem lhe dar informações mais robustas, mas eu nunca ouvi falar de instâncias do Discourse terem sido quebradas ou hackeadas.
Não sei se fóruns hospedados sequer têm essa capacidade ↩︎
O Squarespace é um construtor de sites hospedado, não um lugar que hospedaria um site WordPress, mas ele tem provisões para incorporar fontes externas por meio de blocos de código e blocos de incorporação.
Não está claro o que SamM quis dizer especificamente com “spammers usariam o fórum como um backdoor para acessar meu site e depois derrubar meu site.” Spammers não querem derrubar o site, eles apenas querem inundá-lo com anúncios de lixo e clickbait. Se foi isso que aconteceu, então talvez o Simple Machines não tivesse as ferramentas do Discourse para controlar spam.
Mas a pergunta “Que tipo de firewall existe entre o fórum Discourse e meu site vinculado?” parece algo a ser perguntado ao Squarespace. Eles avisam que injetar código pode causar problemas de exibição além do controle deles, mas não imagino que um post de fórum incorporado cause mais danos do que isso.
Isso está um pouco fora do tópico, mas esse foi um problema real com o WordPress há alguns anos. Os primeiros ataques de spam funcionaram, mas devido a uma fraqueza bem conhecida, centenas de outros se seguiram, e esse servidor travou. Ou a mesma fraqueza foi explorada por script kiddies tentando sequestrar todo o sistema, e como eles eram em sua maioria apenas copy-and-pasters, seu código ruim e falta de habilidades quebraram tudo.
Uma realidade é que apenas uma minoria de spammers funciona como parasitas, enquanto a maioria age mais como bactérias ou vírus.
Essa não é a situação com o Discourse. Mas eu acho que tais situações estão por trás dessa preocupação.
De fato, muitas incógnitas. Como o software de fórum que eles usaram não tinha recursos reais de detecção/contenção de spam? E, claro, se estiver usando um construtor de sites, quais recursos o Squarespace oferece.
Uma resposta completa para esta pergunta literalmente preencheria um livro sobre segurança.
Mas vou dar-lhe uma resposta quase completa aqui depois de esclarecer alguns pontos sobre o que lhe aconteceu:
Isso parece que atacantes (não “spammers” - spammers apenas postariam spam) foram capazes de explorar o fórum Simple Machines e obter acesso remoto ao seu servidor no qual ele estava hospedado. Travar seu site apenas impediria o acesso a ele, em vez de permitir o acesso.
Presumivelmente, este servidor também hospedava outras coisas ou continha outros dados?
A melhor maneira de pensar sobre isso é em termos de “raio de explosão”. No caso de alguém obter acesso administrativo indevido ao seu fórum, eles teriam acesso a todos os dados do fórum.
Em particular PII (Informações Pessoais Identificáveis), mas também configuração ou outros segredos de API. Por exemplo, se outro serviço em seu domínio dependesse deste site para autenticação, isso poderia permitir que os atacantes fizessem um pivô para esse outro serviço.
No pior cenário, em que um atacante obtivesse acesso aos servidores de backend (geralmente conhecidos como execução remota de código), o raio de explosão também incluiria tudo o que fosse acessível pela conta de usuário sob a qual o serviço real está sendo executado. Várias proteções para limitar esse raio de explosão, como contêineres e execução de servidores com credenciais não administrativas, também ajudam a limitar essa exposição.
Para resumir, hospedar em um serviço gerenciado é o mais seguro para o seu site, pois somos responsáveis pela segurança do sistema.