Vazamento de dados e segurança no WHMCS

[Thiago Santos]

Olá pessoal!

Ultimamente a nova moda é vazar os dados dos clientes mundo a fora. Eu tenho muito receio quanto à isso, e penso seriamente em contratar uma empresa de segurança para testar meu WHMCS e prevenir qualquer ameaça antes que ela aconteça. Afinal, nesses casos, backup é básico, mas o vazamento de dados, não tem como fugir, depois de vazado, já eras.

Como vocês lidam com isso? Pelo que vejo, não há nenhuma brecha de segurança no WHMCS em si, mas quanto mais hooks e módulos vamos adicionando, essa segurança pode ir diminuindo. Vocês já contrataram algum serviço hacker para testes? Se sim, podem indicar?

Atualmente eu sempre peço para os clientes ativarem o 2FA, é o mínimo hoje em dia, mas e na questão do lado do servidor, como proteger ao máximo o DB?

[DELTA SERVERS]

Boa tarde!

Creio que tudo é baseado nesse assunto, O BOM E GRÁTIS! Quando você ver algo muito atrativo e ainda grátis para seu WHMCS, cuidado.

[edvan]

17 minutos atrás, Thiago Santos disse:

Olá pessoal!

Ultimamente a nova moda é vazar os dados dos clientes mundo a fora. Eu tenho muito receio quanto à isso, e penso seriamente em contratar uma empresa de segurança para testar meu WHMCS e prevenir qualquer ameaça antes que ela aconteça. Afinal, nesses casos, backup é básico, mas o vazamento de dados, não tem como fugir, depois de vazado, já eras.

Como vocês lidam com isso? Pelo que vejo, não há nenhuma brecha de segurança no WHMCS em si, mas quanto mais hooks e módulos vamos adicionando, essa segurança pode ir diminuindo. Vocês já contrataram algum serviço hacker para testes? Se sim, podem indicar?

Atualmente eu sempre peço para os clientes ativarem o 2FA, é o mínimo hoje em dia, mas e na questão do lado do servidor, como proteger ao máximo o DB?

Para um público empresarial o 2FA é resistente... imagine para um público mais leigo? Quase impossível.

Já para o lado do administrador na minha visão a restrição por IP ou  alteração da pasta administrativa é suficiente para evitar invasões.

Hoje vejo clientes utilizando bypass para burlar sistema de licenciamento e nem sabe o que se passa por trás desse tipo de hacking.

[rubensk]

On 9/6/2018 at 1:08 PM, Thiago Santos said:

Olá pessoal!

Ultimamente a nova moda é vazar os dados dos clientes mundo a fora. Eu tenho muito receio quanto à isso, e penso seriamente em contratar uma empresa de segurança para testar meu WHMCS e prevenir qualquer ameaça antes que ela aconteça. Afinal, nesses casos, backup é básico, mas o vazamento de dados, não tem como fugir, depois de vazado, já eras.

Como vocês lidam com isso? Pelo que vejo, não há nenhuma brecha de segurança no WHMCS em si, mas quanto mais hooks e módulos vamos adicionando, essa segurança pode ir diminuindo. Vocês já contrataram algum serviço hacker para testes? Se sim, podem indicar?

Atualmente eu sempre peço para os clientes ativarem o 2FA, é o mínimo hoje em dia, mas e na questão do lado do servidor, como proteger ao máximo o DB?

A instalação default do WHMCS é bem insegura... eles ensinam como melhorar isso, só que vejo pouca gente fazendo. Se você já fez, já está num nível razoavelmente bom. 

 

[Thiago Santos]

Eu segui todas recomendações do desenvolvedor, mas ainda assim, não me sinto seguro com ele. Claro, não sou expert na ferramenta, pode ser uma paranoia minha, mas sempre fico com o pé atrás.

[rubensk]

9 minutes ago, Thiago Santos said:

Eu segui todas recomendações do desenvolvedor, mas ainda assim, não me sinto seguro com ele. Claro, não sou expert na ferramenta, pode ser uma paranoia minha, mas sempre fico com o pé atrás.

Para ir além disso, uma solução seria um WAF como o ModSecurity.