CraftRank

Bezpieczeństwo RexOS Shield

Ataki zatrzymują się w drzwiach, na długo zanim dotrą do serwera.

Każde żądanie do tej strony przechodzi przez 12 warstw ochrony, od krawędzi sieci po kod, który na nie odpowiada. Prawdziwi gracze i wyszukiwarki przechodzą niezauważenie.

Porozmawiaj z nami o ochronieZobacz, jak sprawdzane jest żądanie
  • Monitoring 24 godziny na dobę
  • Pokrycie OWASP Top 10
  • Tylko HTTPS, z HSTS
  • Logowanie dwuetapowe
  • Atakujący zgłaszani z dowodami

Co Shield zatrzymał w tym tygodniu

Liczone na tej stronie przez sam Shield. Zweryfikowane wyszukiwarki i prawdziwi odwiedzający nie są wliczani.

Zablokowane dziennie55,942 w 7 dni
  1. 7,011Nd
  2. 8,291Pn
  3. 7,842Wt
  4. 8,359Śr
  5. 10,260Cz
  6. 12,986Pt
  7. 1,193Dziś

Dzisiaj, według typu

Scrapery SEO
980
Ataki zatrzymane przez firewall
181
Złośliwe boty i fałszywe przeglądarki
25
Sfałszowane żądania na wejściu
5
Zbanowani powracający atakujący
1
Nieudane weryfikacje człowieka
1

2,990 zweryfikowanych wizyt wyszukiwarek i crawlerów AI wpuszczonych dzisiaj

Zgłoszone w tym miesiącu, według kategorii

  • Port Scan110
  • Web App Attack110
  • Exploited Host54
  • Bad Web Bot37

Jak sprawdzane jest żądanie

Każda wizyta pokonuje tę drogę w kilka milisekund. Żądanie, które nie przejdzie kroku, nie idzie dalej.

  1. Krawędź

    Sfałszowane i uszkodzone żądania są odrzucane.

  2. Reputacja

    Znane złośliwe sieci są odrzucane.

  3. Sprawdzenie przeglądarki

    Przeglądarka musi pasować do swojego urządzenia i sieci.

  4. Zapora

    Nagłówki, formularze i treści API są rozpakowywane i sprawdzane.

  5. Limity

    Flood i zgadywanie haseł są spowalniane.

  6. Aplikacja

    Strona jest budowana wyłącznie z bezpiecznych zapytań.

  7. Kontrola wycieków

    Odpowiedź jest sprawdzana, zanim opuści serwer.

Wszystkie siedem zaliczone: strona zostaje wyświetlona. Wyszukiwarki i roboty AI są weryfikowane w kroku 3 i nigdy nie są spowalniane.

Co zatrzymuje

Ataki, które widzimy najczęściej, i co dzieje się z każdym z nich.

ZagrożenieJak to wyglądaCo robi Shield
SQL injectionPolecenia bazy danych ukryte w formularzu, linku lub wywołaniu API.Rozpakowywane, wykrywane i blokowane, zanim wykona się jakiekolwiek zapytanie.
Cross-site scripting (XSS)Kod skryptu wstawiony w opinię, profil lub link.Blokowane na wejściu, a każda strona escapuje to, co wyświetla.
Zdalne wykonanie koduPolecenia powłoki lub kod wysyłane, by serwer je wykonał.Wykrywane w każdym polu i blokowane na firewallu.
Próby dostępu do tajnych plikówŻądania plików .env, kopii zapasowych, wp-config i narzędzi administracyjnych.Blokowane od razu. Powtarzające się skanery są banowane i zgłaszane.
Zgadywanie hasełTysiące logowań ze zmieniających się adresów.Spowalniane, potem blokowane. Logowanie dwuetapowe zatrzymuje skradzione hasła.
Scrapery i fałszywe botyBot podszywający się pod Googlebota lub zwykłą przeglądarkę.Sprawdzany pod kątem sieci i urządzenia. Fałszywe są zatrzymywane.
Nadużycia Tor i proxyAtaki ukryte za Tor, VPN i wynajętymi serwerami.Najpierw weryfikacja człowieka. Większość automatycznych narzędzi na tym się poddaje.
Floody aplikacyjneSeria ciężkich żądań, która ma spowolnić stronę.Limity żądań na adres, a potem automatyczna blokada.
Spam i oszustwaFałszywe opinie, spam w zgłoszeniach i nadużycia zamówień lub nagród.Sprawdzane przy wysłaniu. Oszukańcze zamówienia są oznaczane i zgłaszane.

Ukryte ataki są najpierw rozpakowywane

Atakujący maskują swój kod, żeby ominąć proste filtry. Shield dekoduje każdą warstwę, zanim podejmie decyzję. Te trzy przykłady to prawdziwe testy z naszego ostatniego audytu.

  • %2527%20UNION%2F**%2FSELECT%20password%20FROM%20usersodczytywane jako' union select password from usersZablokowano: SQL injection
  • &amp;lt;svg onload=alert(1)&amp;gt;odczytywane jako<svg onload=alert(1)>Zablokowano: Cross-site scripting (XSS)
  • ／ｅｔｃ／ｐａｓｓｗｄodczytywane jako/etc/passwdZablokowano: Dostęp do plików systemowych

Każda warstwa, jedno zadanie

Każda warstwa zamyka inną drogę wejścia. Razem chronią stronę, launcher i każde konto.

  • Filtrowanie na brzegu

    Złośliwe i sfałszowane żądania są odrzucane na brzegu, zanim uruchomi się aplikacja.

  • Analiza zagrożeń

    Ruch ze znanych złośliwych sieci jest blokowany na podstawie stale aktualizowanych list zagrożeń.

  • Zarządzanie botami

    Wielosygnałowa weryfikacja na komputerach i telefonach sprawdza, czy każda przeglądarka pasuje do swojego urządzenia i sieci. Roboty wyszukiwarek i AI są weryfikowane, a podszywający się zatrzymywani.

  • Kontrola proxy i anonimowości

    Odwiedzający przez Tor, VPN i sieci hostingowe lub przeglądarki zdradzające wynajęte proxy muszą przejść weryfikację człowieka, zanim zobaczą stronę.

  • Zapora aplikacji webowych

    Każde żądanie, łącznie z nagłówkami i treścią API, jest sprawdzane pod kątem wstrzyknięć, cross-site scripting i innych ataków z OWASP Top 10. Zakodowane i zaciemnione ładunki są najpierw rozpakowywane, więc sztuczki obejścia zawodzą.

  • Wykrywanie skanów i anomalii

    Próby szukania narzędzi administracyjnych, tajnych plików, kopii zapasowych i znanych exploitów są od razu blokowane. Pułapki ujawniają roboty łamiące zasady.

  • Ochrona kont

    Próby brute-force i credential stuffing są spowalniane i blokowane. Logowanie dwuetapowe chroni konta na stronie i w launcherze oraz jest obowiązkowe dla zespołu.

  • Ochrona przed wyciekiem danych

    Odpowiedzi wychodzące są sprawdzane, aby sekrety i wewnętrzne szczegóły nigdy nie opuściły serwera.

  • Utwardzanie serwera

    Wrażliwe pliki są niedostępne z sieci, a przesłane treści nigdy nie mogą zostać uruchomione na serwerze.

  • Ochrona przed spamem i oszustwami

    Opinie, zgłoszenia i wpisy są sprawdzane pod kątem spamu i automatycznych zgłoszeń. Zamówienia i nagrody są kontrolowane, aby nie dało się ich nadużyć.

  • Ochrona przed floodem i monitoring

    Flood na warstwie aplikacji uruchamia automatyczną blokadę. Każde zdarzenie bezpieczeństwa jest szczegółowo rejestrowane i przekazywane zespołowi w czasie rzeczywistym.

  • Zgłaszanie nadużyć

    Potwierdzeni atakujący, spamerzy i oszukańcze zamówienia są zgłaszani do globalnych baz danych nadużyć, każdy z kategorią i dowodami.

Dobre boty wchodzą, fałszywe zostają za drzwiami

Wyszukiwarki i asystenci AI są przepuszczani dopiero po potwierdzeniu, że pochodzą od prawdziwego właściciela. Każdy może skopiować nazwę bota, nikt nie skopiuje jego sieci.

  • Googlebot
  • Googlebot smartphone
  • Google-InspectionTool
  • Googlebot-Image
  • Bingbot
  • Applebot
  • DuckDuckBot
  • GPTBot
  • OAI-SearchBot
  • ChatGPT-User
  • ClaudeBot
  • Claude-User
  • PerplexityBot
  • MistralAI-User

„Googlebot” z wynajętego serwera jest blokowany.

Sprawdzone na prawdziwych atakach

Oto wyniki naszego ostatniego pełnego przeglądu.

Sprawdzono

1,260
ładunków ataku wysłanych do 7 różnych punktów wejścia. Wszystkie zablokowane.
0
błędnych blokad na 631 zwykłych opinii, komentarzy i wiadomości.
14
robotów wyszukiwarek i AI przetestowanych. Wszystkie przeszły, fałszywe nie.
Dane o zagrożeniach udostępniane AbuseIPDB Contributor Badge Spamhaus

Jak wygląda zgłoszenie nadużycia

Gdy atakujący zostanie potwierdzony, dowody trafiają do AbuseIPDB i Spamhaus, żeby inne strony też mogły go zablokować. Ten przykład używa adresu dokumentacyjnego.

IP 203.0.113.47 · Web App Attack, SQL Injection, Hacking
Blocked 14 requests in 3 minutes by RexOS Shield (web application firewall)
GET /search?q=1%27%20UNION%20SELECT%20password%20FROM%20users--
GET /.env · GET /wp-config.php.bak · GET /admin/phpinfo.php
User agent: python-requests/2.31 · Network: hosting provider

Jak chronimy konta i dane

Ochrona nie kończy się na firewallu. Te reguły są wbudowane w samą stronę.

  • Hasła

    Przechowywane wyłącznie jako silne jednokierunkowe hashe. Nikt nie może ich odczytać, także my.

  • Logowanie dwuetapowe

    Na stronie i w launcherze, obowiązkowe dla administracji.

  • Sesje

    Ciasteczka są HttpOnly, bezpieczne i same-site, więc skrypty i inne strony nie mogą ich użyć.

  • Formularze

    Każdy formularz ma jednorazowy token, więc inne strony nie mogą go wysłać za ciebie.

  • Baza danych

    Każde zapytanie jest przygotowane, więc dane wejściowe nigdy nie staną się poleceniem.

  • Reguły przeglądarki

    HSTS, Content Security Policy, reguły ramek i referrera na każdej stronie.

  • Przesyłanie plików

    Obrazy i pliki nigdy nie mogą zostać uruchomione jako kod na serwerze.

  • Launcher

    Open source, budowany publicznie przez GitHub Actions.

Jak to dla ciebie konfigurujemy

  1. Powiedz nam, czego używasz

    Twoja strona, serwer, sklep lub panel oraz ataki, które widziałeś.

  2. Analizujemy twój ruch

    Uczymy się, co jest u ciebie normalne, więc prawdziwi gracze nigdy nie są blokowani.

  3. Shield startuje

    Ochrona jest włączana krok po kroku, z logami od pierwszej minuty.

  4. Stale obserwujemy

    Alerty, miesięczne raporty i pomoc, gdy zaczyna się atak.

Chcesz takiej samej ochrony dla swojego serwera lub strony?

Wdrażamy RexOS Shield dla sieci Minecraft, sklepów i stron społeczności. Napisz, co prowadzisz, a odpowiemy z planem.

Skontaktuj sięhelp@craftrank.org
  • Zapora i ochrona przed botami dopasowane do twojego ruchu
  • Wyszukiwarki i prawdziwi gracze nigdy nie są blokowani
  • Atakujący zgłaszani z dowodami
  • Szczegółowe logi i alerty w czasie rzeczywistym
  • Pomoc w trakcie ataku

Pytania

Czy ochrona spowalnia stronę?

Nie. Większość kontroli odbywa się przed zbudowaniem strony, więc zwykła wizyta nie jest wolniejsza.

Czy może zablokować Google lub prawdziwych graczy?

Zweryfikowane roboty wyszukiwarek i AI zawsze przechodzą, a zwykli odwiedzający przechodzą niezauważenie.

Co dzieje się z atakującymi?

Są blokowani i rejestrowani, a po potwierdzeniu zgłaszani do AbuseIPDB i Spamhaus z dowodami.

Czy mogę mieć tę ochronę dla własnego serwera lub strony?

Tak. Wdrażamy RexOS Shield dla sieci Minecraft, sklepów i stron społeczności. Skontaktuj się i napisz, co prowadzisz.

Czy to zatrzymuje ataki DDoS?

Zatrzymuje floody skierowane na samą stronę, takie jak serie żądań i floody logowania. Bardzo duże floody sieciowe musi przyjąć sieć hostingu, a my pomagamy to skonfigurować.

Czym to się różni od zwykłej wtyczki firewall?

Shield działa przed stroną, rozpakowuje zamaskowane ataki, sprawdza boty u ich prawdziwych właścicieli i przekazuje potwierdzonych atakujących do baz nadużyć.

Jak zgłosić problem z bezpieczeństwem?

Otwórz zgłoszenie w pomocy i zacznij temat od Security. Odpowiadamy szybko i wymieniamy autorów odpowiedzialnych zgłoszeń.

Znalazłeś lukę bezpieczeństwa?

Chętnie przyjmujemy zgłoszenia od badaczy i graczy, a odpowiedzialnych zgłaszających wymieniamy z nazwy.

Co robić

  • Otwórz zgłoszenie w pomocy i zacznij temat od Security
  • Opisz kroki, by to odtworzyć
  • Daj nam czas na naprawę, zanim to upublicznisz

Czego nie robić

  • Dostęp do cudzych danych lub ich zmiana
  • Nie uruchamiaj floodów ani testów obciążeniowych
  • Nie używaj automatycznych skanerów z dużą prędkością

Jeśli to zrobisz, aktywność zostanie zapisana i prześledzona do sieci, z której pochodzi. Możemy zgłosić ją wraz z dowodami temu dostawcy i do baz nadużyć; dostawca może ustalić abonenta stojącego za adresem. Poważne przypadki mogą zostać zgłoszone bezpośrednio właściwym organom, a za skutki prawne odpowiadasz ty.

W Polsce takie ataki są przestępstwem. Nielegalny dostęp do systemu (art. 267 Kodeksu karnego) jest zagrożony grzywną, karą ograniczenia wolności albo pozbawienia wolności do 2 lat, a zakłócanie pracy systemu informatycznego (art. 269a) karą pozbawienia wolności od 3 miesięcy do 5 lat.

Zgłoś lukę bezpieczeństwa