Jak ochránit administraci webu Joomla! před útoky

Proč je potřeba administraci Joomla! chránit zvlášť?

Přihlašovací stránka administrace je běžně dostupná na adrese:

https://www.vasedomena.cz/administrator

Tuto adresu znají administrátoři i automatizované útočné nástroje. Robot může opakovaně zkoušet hesla, vyhledávat zranitelnosti přihlašovacího procesu nebo zneužívat bezpečnostní chybu v některém nainstalovaném rozšíření.

Cílem zabezpečení není pouze skrýt přihlašovací formulář. Je potřeba:

• omezit počet osob, které se k formuláři vůbec dostanou,
• zabránit prolomení účtu při úniku hesla,
• automaticky blokovat opakované pokusy,
• zaznamenávat podezřelé události,
• omezit oprávnění jednotlivých uživatelů,
• zabránit vytvoření dalšího administrátora,
• rychle odhalit změny citlivých účtů a souborů.

1. Aktualizujte Joomla! a všechna nainstalovaná rozšíření

Sebelépe chráněné přihlašovací okno nepomůže, pokud útočník využije známou zranitelnost v jádře Joomla!, komponentě, pluginu nebo šabloně. První podmínkou bezpečné administrace jsou proto pravidelné aktualizace.

V administraci kontrolujte zejména:

• Systém → Aktualizace → Joomla,
• Systém → Aktualizace → Rozšíření,
• platnost licenčních klíčů placených rozšíření,
• podporovanou verzi PHP,
• bezpečnostní oznámení výrobců komponent a šablon.

2. Zapněte vícefaktorové ověření

Vícefaktorové ověření neboli MFA přidává k heslu druhý způsob ověření. I kdyby útočník získal správné uživatelské jméno a heslo, bez dalšího faktoru by se do administrace neměl přihlásit.

Moderní verze Joomla! podporují vícefaktorové ověření přímo v jádře. Podle konfigurace lze používat například:

• kód z autentizační aplikace,
• bezpečnostní klíč,
• WebAuthn nebo passkey,
• záložní ověřovací kódy.

MFA zapněte minimálně všem uživatelům ve skupině Super Users a administrátorům, kteří mohou instalovat rozšíření nebo měnit globální konfiguraci.

3. Každý správce musí mít vlastní účet

Jeden společný účet používaný majitelem webu, programátorem, redaktorem a marketingovou agenturou znemožňuje dohledat, kdo provedl konkrétní změnu. Současně stačí únik jediného hesla a účet je kompromitován.

• Každý správce má vlastní uživatelské jméno.
• Každý používá vlastní jedinečné heslo.
• Každý má nastavené MFA.
• Po ukončení spolupráce je účet okamžitě zablokován.
• Uživatelské akce jsou dohledatelné v logu.

4. Omezte počet účtů Super User

Redaktor, který mění články, nepotřebuje instalovat komponenty nebo upravovat globální konfiguraci. Joomla! nabízí propracovaný systém oprávnění ACL, pomocí kterého lze každému uživateli přidělit pouze nezbytná práva.

5. Chraňte adresář administrator dalším heslem přes .htaccess

Na serverech Apache lze před přihlašovací formulář Joomla! přidat ještě jednu vrstvu HTTP autentizace. Návštěvník nejprve uvidí systémové přihlašovací okno prohlížeče a teprve po zadání správných údajů se dostane k běžnému přihlášení Joomla!.

Do adresáře /administrator se vloží soubor .htaccess například s tímto obsahem:

AuthType Basic
AuthName "Chranena administrace"
AuthUserFile /absolutni/cesta/mimo/web/.htpasswd
Require valid-user

Soubor .htpasswd obsahuje uživatelské jméno a bezpečně vytvořený hash hesla. Měl by být uložený mimo veřejný adresář webu, nikoli přímo vedle souborů Joomla!.

6. Povolte přístup do administrace pouze z vybraných IP adres

Pokud správci používají pevnou veřejnou IP adresu, lze přístup do adresáře /administrator povolit pouze z této adresy. Všechny ostatní požadavky server odmítne ještě před spuštěním Joomla!.

Apache 2.4 a novější

Do souboru /administrator/.htaccess můžete vložit například:

Require ip 203.0.113.25
Require ip 198.51.100.44

Každý řádek představuje jednu povolenou veřejnou IP adresu.

Starší syntaxe Apache

Order Deny,Allow
Deny from all
Allow from 203.0.113.25
Allow from 198.51.100.44

Kdy není omezení podle IP vhodné?

• Připojujete se z mobilních dat.
• Poskytovatel vám často mění veřejnou IP adresu.
• Administraci používá více lidí z různých míst.
• Pracujete na cestách nebo přes veřejné sítě.
• Web běží za proxy nebo CDN a server nerozpoznává skutečnou IP návštěvníka.

V takovém případě je praktičtější VPN, dodatečné heslo, MFA nebo kombinace několika jiných metod.

7. Skryjte vstup pomocí tajné adresy nebo parametru

Často se mluví o „změně adresy administrace Joomla!“. Ve skutečnosti není vhodné fyzicky přejmenovávat adresář /administrator, protože by mohly přestat fungovat aktualizace, odkazy i rozšíření.

Pomocí pravidel v .htaccess nebo bezpečnostního rozšíření lze ale vyžadovat tajný parametr, speciální vstupní adresu nebo jinou podmínku, bez které server přístup odmítne.

Jednoduchá doplňková ochrana vstupní adresy může na Apache vypadat například takto:

RewriteEngine On

RewriteCond %{REQUEST_URI} ^/administrator/?$ [NC]
RewriteCond %{QUERY_STRING} !(^|&)vstup=TAJNY_RETEZEC(&|$) [NC]
RewriteRule ^administrator/?$ - [F,L]

Vstupní URL by potom byla například:

https://www.vasedomena.cz/administrator/?vstup=TAJNY_RETEZEC

8. Použijte dodatečné přihlašovací okno RSFirewall!

RSFirewall! obsahuje funkci Backend Password, která před běžné přihlášení Joomla! vloží další ověření. Návštěvník musí nejprve zadat dodatečné heslo a teprve potom se zobrazí přihlašovací formulář administrace.

V konfiguraci lze zvolit dvě varianty:

Příklad adresy s parametrem může vypadat takto:

https://www.vasedomena.cz/administrator/?vstup=TAJNE_HESLO

Funkci najdete v konfiguraci RSFirewall! v části Backend Password.

9. Automaticky blokujte opakované pokusy o přihlášení

Při brute-force útoku robot zkouší velké množství kombinací uživatelských jmen a hesel. Bez omezení může přihlašovací formulář zatěžovat tisíci pokusů.

RSFirewall! umožňuje automaticky přidat IP adresu na blocklist poté, co překročí nastavený počet neúspěšných přihlášení do administrace.

• Nastavte rozumný počet povolených pokusů.
• Zapněte automatické blokování podezřelé IP adresy.
• Vlastní důvěryhodné IP adresy přidejte do safelistu.
• Kontrolujte, zda nedochází k blokování legitimních uživatelů.
• Nenechávejte blokace bez pravidelné revize.

10. Přidejte CAPTCHA do přihlášení administrace

CAPTCHA pomáhá odlišit člověka od automatizovaného robota. Sama o sobě nezabrání cílenému útoku ani přihlášení s ukradeným heslem, ale může výrazně snížit počet jednoduchých automatizovaných pokusů.

RSFirewall! umožňuje zobrazovat CAPTCHA při každém přihlášení do /administrator. Důvěryhodné IP adresy lze podle konfigurace vynechat pomocí safelistu.

11. Vynucujte HTTPS v administraci i na celém webu

Přihlašovací údaje se nesmí přenášet přes nešifrované HTTP. HTTPS chrání hesla, cookies a obsah administrátorské relace během přenosu mezi prohlížečem a serverem.

• SSL certifikát je platný.
• HTTP se automaticky přesměruje na HTTPS.
• Administrace není dostupná přes nešifrované připojení.
• Web neobsahuje smíšený obsah.
• Certifikát se automaticky obnovuje.

12. Zkraťte životnost administrátorské relace

Dlouho aktivní relace může být zneužita na opuštěném počítači nebo při odcizení cookies. V globální konfiguraci Joomla! nastavte přiměřenou dobu, po jejímž uplynutí bude neaktivní správce automaticky odhlášen.

Správci by se zároveň měli po dokončení práce ručně odhlásit a neměli by administraci používat na nedůvěryhodných nebo veřejných počítačích.

13. Logujte přihlášení a bezpečnostní události

Bez záznamů nelze zpětně zjistit, kdy útok začal, z jaké IP adresy přišel nebo který uživatel provedl nebezpečnou změnu.

Joomla! nabízí protokol akcí uživatelů a RSFirewall! může zaznamenávat neúspěšná přihlášení, zablokované útoky a další bezpečnostní události. Na závažné události lze nastavit také e-mailová upozornění.

Sledujte především:

• opakovaná neúspěšná přihlášení,
• přihlášení z neobvyklé země nebo IP adresy,
• vytvoření nového administrátora,
• změnu skupiny uživatele,
• instalaci nového rozšíření,
• změny globální konfigurace,
• změny citlivých souborů,
• vypnutí bezpečnostních pluginů.

14. Použijte aplikační firewall nebo WAF

Webový aplikační firewall filtruje podezřelé požadavky ještě předtím, než mohou zasáhnout zranitelné rozšíření nebo přihlašovací formulář. Může blokovat některé pokusy o SQL injection, path traversal, škodlivý JavaScript nebo nahrání nebezpečného souboru.

Ochranu lze provozovat:

• jako rozšíření uvnitř Joomla!, například RSFirewall!,
• na úrovni hostingu nebo serveru,
• prostřednictvím reverzní proxy nebo CDN,
• kombinací serverové a aplikační ochrany.

15. Chraňte nejdůležitější účty před neoprávněnou změnou

Útočník, který získá omezený přístup do administrace, se může pokusit změnit heslo hlavního správce, přidat ho do jiné skupiny nebo vytvořit nový účet s oprávněním Super User.

RSFirewall! nabízí funkci ochrany vybraných uživatelů pomocí uloženého bezpečného stavu. Pokud se chráněný účet neočekávaně změní, rozšíření může původní nastavení obnovit.

Současně lze podle konfigurace:

• zakázat vytváření nových uživatelů administrace,
• chránit vybrané účty před změnou,
• omezit přístup k instalátoru Joomla!,
• nastavit oprávnění pro správu samotného RSFirewall!,
• upozornit správce na bezpečnostní událost.

16. Mějte funkční zálohu a připravený plán obnovy

Ochranná opatření snižují riziko útoku, ale nemohou zaručit stoprocentní bezpečnost. Proto je nezbytné mít pravidelné zálohy souborů i databáze a ověřený postup obnovy.

• Záloha obsahuje soubory i databázi.
• Alespoň jedna kopie je mimo produkční server.
• Záložní archiv není veřejně dostupný.
• Obnova byla vyzkoušena na testovací doméně.
• Jsou bezpečně uložené přístupy k hostingu, DNS a doméně.
• Existuje seznam kroků pro případ kompromitace.

Jaké kombinace zabezpečení administrace doporučujeme?

Kontrolní seznam ochrany administrace Joomla!

• Joomla! používá aktuální podporovanou verzi.
• Všechna rozšíření a šablony jsou aktualizované.
• Nepoužívaná rozšíření byla odinstalována.
• Každý správce má vlastní účet.
• Neexistuje administrátorský účet s názvem admin.
• Účty Super User používají jedinečná silná hesla.
• Pro všechny správce je zapnuté MFA.
• Počet účtů Super User je omezený.
• Bývalí pracovníci nemají aktivní přístup.
• Administrace funguje pouze přes HTTPS.
• Je nastavená přiměřená délka relace.
• Je zapnuté logování neúspěšných přihlášení.
• Opakované útoky jsou automaticky blokovány.
• Na závažné události chodí upozornění.
• Administrace je chráněna dalším heslem nebo IP adresou.
• Pravidla .htaccess byla otestována.
• Je dostupný nouzový přístup přes FTP nebo hosting.
• Citlivé účty jsou chráněné před změnou.
• Je omezené vytváření nových administrátorů.
• Je nastavena pravidelná záloha mimo server.
• Obnova zálohy byla úspěšně otestována.

Časté dotazy k ochraně administrace Joomla!

Shrnutí: administraci Joomla! chraňte několika nezávislými vrstvami

Základem ochrany administrace je aktuální Joomla!, aktualizovaná rozšíření, samostatné účty správců, silná hesla a vícefaktorové ověření. Tyto kroky by měly být povinné na každém firemním webu.

Další úroveň představuje ochrana adresáře /administrator. Na serveru Apache lze použít heslo přes .htaccess, povolit pouze vybrané IP adresy nebo vyžadovat tajný parametr. RSFirewall! nabízí podobnou ochranu prostřednictvím dodatečného backendového hesla a přihlašovacího popupu.

Automatické blokování opakovaných pokusů, CAPTCHA, firewall, logování, ochrana administrátorských účtů a pravidelné zálohy potom pomáhají útok zastavit, včas odhalit nebo alespoň omezit jeho následky.