Entendendo o monitoramento cont\u00ednuo de seguran\u00e7a e a conformidade<\/h2>\n
Seu site tem um valor imenso para determinados grupos. Os usu\u00e1rios mal-intencionados n\u00e3o veem seus produtos e servi\u00e7os \u2014 veem dados e oportunidades de ganho. Em 2022, a SiteLock descobriu<\/a> que um site m\u00e9dio sofria cerca de 100 ataques por dia.<\/p>\n Portanto, \u00e9 fundamental monitorar sua seguran\u00e7a continuamente e, ao mesmo tempo, verificar seu n\u00edvel de conformidade. As m\u00e1s inten\u00e7\u00f5es s\u00e3o din\u00e2micas, o que significa que voc\u00ea precisa avaliar, rastrear e fazer com que suas medidas de seguran\u00e7a evoluam constantemente. Por exemplo, o OWASP Top 10<\/a> monitora quais tipos de ataques mal-intencionados s\u00e3o os mais populares, e essa lista muda a cada pesquisa.<\/p>\n H\u00e1 muitos outros motivos pelos quais voc\u00ea tamb\u00e9m desejar\u00e1 implementar o monitoramento cont\u00ednuo de seguran\u00e7a:<\/p>\n Para sites WordPress, sua estrat\u00e9gia de monitoramento e conformidade tem import\u00e2ncia e desafios ainda maiores:<\/p>\n A boa not\u00edcia \u00e9 que voc\u00ea pode integrar facilmente o monitoramento de seguran\u00e7a ao seu fluxo de trabalho existente e combin\u00e1-lo com as notifica\u00e7\u00f5es de atualiza\u00e7\u00e3o do WordPress. Melhor ainda, voc\u00ea pode controlar isso por meio da API da Kinsta<\/a>.<\/p>\n Para os clientes da Kinsta, a API<\/a> representa a melhor maneira de automatizar e aproveitar muitos aspectos do seu servidor de hospedagem. Oferecemos muitos endpoints para todos os tipos de tarefas. Por exemplo, voc\u00ea pode gerenciar sites, usu\u00e1rios e depend\u00eancias, como temas e plugins de sites. Al\u00e9m disso, voc\u00ea pode buscar registros e acessar as mesmas m\u00e9tricas de aplicativos no painel MyKinsta<\/a>:<\/p>\n Naturalmente, integrar a API da Kinsta em seu fluxo de trabalho com o WordPress ser\u00e1 muito f\u00e1cil, dado nosso grande foco em hospedagem de WordPress<\/a>. Voc\u00ea descobrir\u00e1 como fazer isso mais adiante. Oferecemos uma maneira proativa e program\u00e1tica de lidar com seu monitoramento de seguran\u00e7a para as principais facetas do WordPress. Isso inclui atualiza\u00e7\u00f5es do site, logging e muito mais.<\/p>\n Grande parte disso se encaixa com os pontos em que voc\u00ea deve focar quando se trata de seguran\u00e7a no WordPress. Vamos dar uma olhada nisso a seguir.<\/p>\n Em seus arquivos principais, o WordPress \u00e9 uma plataforma forte e segura, gra\u00e7as \u00e0 sua base de c\u00f3digo desenvolvida e ao seu rigoroso embasamento em pr\u00e1ticas seguras. Para o pr\u00f3prio sistema de gerenciamento de conte\u00fado (CMS), h\u00e1 maneiras oficiais de relatar vulnerabilidades:<\/p>\n De fato, h\u00e1\u00a0tamb\u00e9m<\/span>\u00a0<\/span>uma maneira de os usu\u00e1rios finais denunciarem temas \u2014 um bot\u00e3o em destaque na p\u00e1gina do reposit\u00f3rio:<\/span><\/p>\n Fica claro que o WordPress est\u00e1 atento \u00e0 seguran\u00e7a, e com foco em algumas \u00e1reas-chave no que diz respeito \u00e0 base de c\u00f3digo principal:<\/p>\n Para ajudar a monitorar algumas dessas facetas, voc\u00ea pode usar a tela Site Health no painel WordPress:<\/p>\n Quanto \u00e0 conformidade, o WordPress oferece um template padr\u00e3o de pol\u00edtica de privacidade para cada instala\u00e7\u00e3o. A plataforma principal tamb\u00e9m incentiva o uso de formul\u00e1rios de divulga\u00e7\u00e3o de vulnerabilidades<\/a>. Construir com base em tudo isso usando a API da Kinsta oferece uma seguran\u00e7a robusta \u2014 e mostraremos a voc\u00ea como fazer isso a seguir.<\/p>\n Se voc\u00ea deseja obter uma configura\u00e7\u00e3o que envolva monitoramento cont\u00ednuo de seguran\u00e7a, a melhor abordagem provavelmente ser\u00e1 a program\u00e1tica. A API da Kinsta oferece muitos endpoints diferentes para ajudar nesse processo, embora n\u00e3o seja a \u00fanica abordagem (mais sobre isso adiante).<\/p>\n Vamos apresentar a voc\u00ea uma abordagem t\u00edpica de monitoramento de seguran\u00e7a usando a API. Come\u00e7aremos obtendo suas chaves de API e depois passaremos para as outras \u00e1reas.<\/p>\n Sem as chaves de API, voc\u00ea n\u00e3o pode acessar nenhum aspecto dos seus sites. Para gerar uma nova chave API, v\u00e1 at\u00e9 o painel MyKinsta e acesse a tela Configura\u00e7\u00f5es da empresa > Chaves API<\/strong>. Se esta \u00e9 a primeira vez que voc\u00ea est\u00e1 aqui, a tela provavelmente estar\u00e1 em branco:<\/p>\n Aqui, clique no bot\u00e3o Criar chave API<\/strong> e preencha os campos para definir uma data de validade e um nome para sua chave:<\/p>\n Ap\u00f3s clicar no bot\u00e3o Gerar<\/strong>, voc\u00ea poder\u00e1 copiar sua chave API. Lembre-se de que voc\u00ea n\u00e3o a ver\u00e1 novamente, e, portanto, certifique-se de mant\u00ea-la segura e protegida:<\/p>\n Com sua nova chave API em m\u00e3os, voc\u00ea pode come\u00e7ar sua explora\u00e7\u00e3o conectando-se com a API da Kinsta.<\/p>\n Recomendamos que voc\u00ea mantenha a documenta\u00e7\u00e3o da API em m\u00e3os enquanto navega pelos endpoints dispon\u00edveis. Nem todos ser\u00e3o adequados para o monitoramento de seguran\u00e7a, mas h\u00e1 alguns que voc\u00ea usar\u00e1 mais do que outros:<\/p>\n Apresentaremos mais endpoints na pr\u00f3xima se\u00e7\u00e3o, em que voc\u00ea os usar\u00e1 para desenvolver o seu processo.<\/p>\n Antes de tocar em uma linha de c\u00f3digo, \u00e9 uma boa ideia planejar com anteced\u00eancia para solidificar seus objetivos. Observe quais endpoints est\u00e3o dispon\u00edveis, combine isso com o que voc\u00ea quer que o seu processo de monitoramento de seguran\u00e7a seja, e ent\u00e3o procure fazer tudo se encaixar.<\/p>\n Por exemplo, talvez voc\u00ea queira um modo regular de verificar se os arquivos principais, os temas e os plugins de WordPress est\u00e3o desatualizados<\/a>. O endpoint Aqui est\u00e1 um script Python r\u00e1pido para voc\u00ea autenticar o acesso \u00e0 API e buscar um site. Primeiro, definimos algumas vari\u00e1veis principais. Observe que normalmente voc\u00ea n\u00e3o incluiria sua chave API e o ID da empresa em seu c\u00f3digo. Neste caso, fazemos isso somente visando brevidade e clareza.<\/p>\n Com as vari\u00e1veis definidas, podemos definir os cabe\u00e7alhos de autentica\u00e7\u00e3o, e da\u00ed focar em validar o acesso. Com tr\u00eas fun\u00e7\u00f5es curtas podemos validar o token, retornar uma lista de sites e buscar um site espec\u00edfico:<\/p>\n Uma fun\u00e7\u00e3o Com o acesso aos seus sites completo, voc\u00ea pode procurar trazer outros endpoints para casos de uso espec\u00edficos.<\/p>\n H\u00e1 muitas maneiras de usar os endpoints da API da Kinsta para monitoramento cont\u00ednuo e automatizado. Buscar seus registros de erros a intervalos regulares \u00e9 uma excelente maneira de ser proativo em rela\u00e7\u00e3o \u00e0 seguran\u00e7a do seu site.<\/p>\n Voc\u00ea pode come\u00e7ar com o mesmo processo de autentica\u00e7\u00e3o e busca de sites da etapa anterior. Quando tiver o site de que precisa, uma fun\u00e7\u00e3o curta poder\u00e1 acessar a API e retornar os registros de erros:<\/p>\n Se voc\u00ea quiser automatizar isso, poder\u00e1 encontrar um pacote ou biblioteca para ajudar. Por exemplo, o Python tem o pacote Naturalmente, aqui voc\u00ea pode extrapolar para trabalhar com qualquer endpoint que desejar, como A hospedagem da Kinsta incorpora seguran\u00e7a ao painel MyKinsta e \u00e0 sua arquitetura avan\u00e7ada. Por esse motivo, os usu\u00e1rios n\u00e3o poder\u00e3o instalar a maioria dos plugins de seguran\u00e7a<\/a>. Para ativar o mesmo n\u00edvel de funcionalidade, voc\u00ea normalmente usaria as ferramentas da Kinsta, como o bloqueio de IP.<\/p>\n Embora a API da Kinsta ofere\u00e7a uma maneira “bare metal” de fornecer pontos de contato para monitoramento e automa\u00e7\u00e3o de seguran\u00e7a, h\u00e1<\/em> a oportunidade de combinar isso com alguns plugins selecionados. Por exemplo, embora n\u00e3o permitamos que voc\u00ea habilite o registro de tr\u00e1fego dele (pois causa alto IOPS), <\/span>o restante do plugin Wordfence<\/a> pode ser \u00fatil.<\/span><\/p>\n De fato, o Wordfence oferece alguns endpoints pr\u00f3prios para aprova\u00e7\u00e3o de IP e importa\u00e7\u00e3o de configura\u00e7\u00f5es<\/a>. Esse \u00faltimo pode ser interessante se voc\u00ea quiser replicar configura\u00e7\u00f5es “boas” conhecidas em v\u00e1rios sites diferentes. No entanto, a Wordfence CLI<\/a> oferece muito mais possibilidades de combina\u00e7\u00e3o com nossa API.<\/p>\n O uso desses dois juntos est\u00e1 al\u00e9m do escopo deste artigo, mas \u00e9 poss\u00edvel gerar um child process usando o Node.js<\/a> para executar scripts Python, s\u00f3 para dar um exemplo.<\/p>\n Isso significa que voc\u00ea poder\u00e1 ter uma maneira program\u00e1tica de executar e automatizar a funcionalidade do Wordfence juntamente com a da Kinsta. O plugin Sucuri Security<\/a> tamb\u00e9m tem uma API simples<\/a> que permite escanear um site.<\/p>\n Voc\u00ea pode (obviamente) usar plugins de uma maneira mais direta. Por exemplo, o WP Activity Log<\/a> amplia a funcionalidade de logging da Kinsta. Ele permite que voc\u00ea registre quase todas as a\u00e7\u00f5es que ocorrem em seu site, inclusive para plugins de terceiros.<\/p>\n Se quiser integrar a API da Kinsta com os plugins em seu site, voc\u00ea precisa geralmente de acesso \u00e0 API do plugin. Todavia, nem todos os plugins oferecem isso, ent\u00e3o voc\u00ea pode ter algumas restri\u00e7\u00f5es em seus plugins favoritos.<\/p>\n Como uma empresa que exibe seus controles, subprocessos e conformidade<\/a>, a Kinsta conhece muito a respeito do trabalho envolvido. Quando se trata de padr\u00f5es de conformidade, atendemos aos padr\u00f5es do SOC 2 Tipo 2<\/a>, do GDPR e da CCPA.<\/p>\n Para aumentar a confian\u00e7a dos usu\u00e1rios, seu site tamb\u00e9m deve atender a esses padr\u00f5es. O GDPR<\/a> foi o primeiro a afetar quase todos os sites. Essa regulamenta\u00e7\u00e3o da Uni\u00e3o Europeia (UE) estabelece diretrizes sobre como voc\u00ea coleta, processa e armazena dados pessoais. A CCPA<\/a> \u00e9 outra legisla\u00e7\u00e3o com sentido semelhante. Para sites WordPress, a p\u00e1gina integrada de pol\u00edtica de privacidade e as ferramentas de exporta\u00e7\u00e3o de dados podem ajudar, junto com a implementa\u00e7\u00e3o de notifica\u00e7\u00f5es de cookies.<\/p>\n Se voc\u00ea trabalha em finan\u00e7as, sa\u00fade ou outros setores semelhantes, ter\u00e1 de seguir outros atos, padr\u00f5es, diretrizes e diretivas:<\/p>\n A infraestrutura da Kinsta pode ser um alicerce s\u00f3lido para toda a sua estrat\u00e9gia de conformidade, e a API da Kinsta tamb\u00e9m pode se encaixar com a do WordPress. Voc\u00ea pode at\u00e9 querer analisar aspectos como o File Integrity Monitoring (FIM)<\/a>\u00a0usando ferramentas, servi\u00e7os e plugins de terceiros.<\/p>\n Para concluir este artigo, daremos algumas dicas gerais de uso da API da Kinsta com o WordPress. Quando se trata de seguran\u00e7a e conformidade no seu site, \u00e9 importante maximizar a efic\u00e1cia de ambos para que voc\u00ea obtenha o maior benef\u00edcio.<\/p>\n Uma abordagem simples \u00e9 usar o endpoint “autentica\u00e7\u00e3o”<\/a> para verificar se sua chave API \u00e9 v\u00e1lida:<\/p>\n Al\u00e9m disso, voc\u00ea desejar\u00e1 manter suas credenciais de API sempre confidenciais, especialmente se armazenar seu c\u00f3digo em um reposit\u00f3rio Git remoto<\/a>. A pr\u00e1tica mais segura \u00e9 armazenar essas chaves fora da raiz do site e usar um dos seguintes<\/span>\u00a0<\/span>m\u00e9todos<\/span>:<\/span><\/p>\n Entretanto, al\u00e9m de proteger suas chaves de API, h\u00e1 muitas outras coisas que voc\u00ea pode fazer para tornar o uso combinado da API da Kinsta com o WordPress mais seguro:<\/p>\n Acima de tudo, mantenha-se antenado com as pr\u00e1ticas de seguran\u00e7a atuais e empregue as mais fortes. Al\u00e9m disso, leia sobre vulnerabilidades recentes e os patches de software que as combatem em seus temas e plugins. Com um procedimento de atualiza\u00e7\u00f5es regulares, combinado com a automa\u00e7\u00e3o do monitoramento de seguran\u00e7a e conformidade, usando a API da Kinsta, voc\u00ea obter\u00e1 uma configura\u00e7\u00e3o resiliente.<\/p>\n\n
\n
Uma breve introdu\u00e7\u00e3o \u00e0 API da Kinsta<\/h2>\n
![\"O](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/mykinsta-dashboard.png\")
Pr\u00e1ticas t\u00edpicas de WordPress para seguran\u00e7a e conformidade<\/h2>\n
\n
![\"O](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/report-theme-button.png\")
\n
![\"A](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/site-health.png\")
Como implementar o monitoramento de seguran\u00e7a com a API da Kinsta<\/h2>\n
1. Obtenha suas credenciais de API<\/h3>\n
![\"A](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/api-key-dashboard.png\")
![\"A](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/create-api-key-dialog.png\")
![\"Uma](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/copy-api-key.png\")
2. Explore os endpoints dispon\u00edveis na API da Kinsta<\/h3>\n
\n
sites<\/code>.<\/strong> Use quando precisar obter uma lista de sites associados a uma empresa. Voc\u00ea pode retornar informa\u00e7\u00f5es b\u00e1sicas, como nome, ID e status.<\/li>\nbackups<\/code>.<\/strong> Voc\u00ea pode fazer e restaurar backups de qualquer um dos seus sites usando as solicita\u00e7\u00f5es GET<\/code> e POST<\/code>. Isso far\u00e1 parte da recupera\u00e7\u00e3o de desastres e das respostas a incidentes de seguran\u00e7a.<\/li>\nlogs<\/code>.<\/strong> Esse endpoint pode ser usado para registros simples de erros e de acesso. Ser\u00e1 um dos seus endpoints indicados para fins de monitoramento e depura\u00e7\u00e3o.<\/li>\n<\/ul>\n3. Valide sua conex\u00e3o e busque uma lista de sites<\/h3>\n
sites<\/code> \u00e9 a maneira de fazer isso. Contudo, voc\u00ea n\u00e3o acessar\u00e1 simplesmente um endpoint ou far\u00e1 uma solicita\u00e7\u00e3o de cada vez. \u00c9 a\u00ed que a flexibilidade da API da Kinsta pode brilhar.<\/p>\nimport requests\nimport os\n\n\n# Define the API key and company ID within the script\napi_token = 'API_KEY'\ncompany_id = 'COMPANY_ID'\n\n# Set the base URL for the Kinsta API\nbase_url = 'https:\/\/api.kinsta.com\/v2'\n\n# Set the headers for authentication\nheaders = {\n 'Authorization': f'Bearer {api_token}'\n}\n\n\ndef validate_token():\n \"\"\"Checks and authenticates an API token.\"\"\" \n url = f'{base_url}\/validate'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n print('API token is valid')\n else:\n print('API token is invalid')\n exit(1)\n\n\ndef get_sites():\n \"\"\"Fetches a list of sites based on the Company ID.\"\"\"\n url = f'{base_url}\/sites?company={company_id}'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n data = response.json()\n company_data = data.get('company', {})\n sites = company_data.get('sites', [])\n return sites\n else:\n print(f'Failed to fetch sites. Status code: {response.status_code}')\n return None\n\n\ndef get_single_site(site_id):\n \"\"\"Takes a URL template and response, checks the status code, and returns JSON data if present.\"\"\"\n url = f'{base_url}\/sites\/{site_id}'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n site = response.json()\n return site\n else:\n print(f'Failed to fetch site. Status code: {response.status_code}')\n return None\n<\/code><\/pre>\nmain<\/code> chamar\u00e1 cada um desses outros processos, usando alguma l\u00f3gica para enviar as informa\u00e7\u00f5es do site para um conjunto de vari\u00e1veis de ambiente:<\/p>\ndef main():\n validate_token()\n sites = get_sites()\n\n if sites:\n print(f'Number of sites: {len(sites)}')\n if len(sites) > 0:\n for site in sites:\n print(f'Site ID: {site[\"id\"]}')\n print(f'Site Name: {site[\"name\"]}')\n print(f'Site Display Name: {site[\"display_name\"]}')\n print(f'Site Status: {site[\"status\"]}')\n print('Site Labels:', site[\"site_labels\"])\n print('---')\n\n\n # Store site details in environment variables\n os.environ[f'SITE_ID_{site[\"name\"]}'] = site[\"id\"]\n os.environ[f'SITE_NAME_{site[\"name\"]}'] = site[\"name\"]\n os.environ[f'SITE_DISPLAY_NAME_{site[\"name\"]}'] = site[\"display_name\"]\n os.environ[f'SITE_STATUS_{site[\"name\"]}'] = site[\"status\"]\n os.environ[f'SITE_LABELS_{site[\"name\"]}'] = str(site[\"site_labels\"])\n\n\n print('Site details stored in environment variables.')\n else:\n print('No sites found')\n else:\n print('Failed to fetch sites')\n<\/code><\/pre>\n4. Comece a combinar endpoints para criar um monitoramento de seguran\u00e7a cont\u00ednuo<\/h3>\n
def get_error_logs():\n \"\"\"Fetches error logs up to 1,000 lines.\"\"\"\n url = f'{base_url}\/sites\/environments\/{company_id}\/logs?file_name=error&lines=1000'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n logs = response.json()\n return logs\n else:\n print(f'Failed to fetch error logs. Status code: {response.status_code}')\n return None\n<\/code><\/pre>\nschedule<\/code>, que executar\u00e1 uma tarefa em intervalos fixos. Para implementar isso, podemos criar outra fun\u00e7\u00e3o que imprima os registros e, em seguida, cham\u00e1-la usando schedule<\/code> em main<\/code>:<\/p>\ndef fetch_and_print_logs():\n \"\"\"Checks for error logs, and if present, prints them to screen.\"\"\"\n logs = get_error_logs()\n\n if logs:\n print('Error Logs:')\n for log in logs:\n print(log)\n print('---')\n\n\n# Schedule the log fetching task to run once a day at a specific time\nschedule.every().day.at('09:00').do(fetch_and_print_logs)\n\n\n#main.py\n\u2026\n\n while True:\n schedule.run_pending()\n time.sleep(1)\n<\/code><\/pre>\nbackups<\/code>, por exemplo. Com algum trabalho, voc\u00ea\u00a0tamb\u00e9m<\/span>\u00a0<\/span>poderia construir um sistema completo para automatizar e bloquear continuamente endere\u00e7os IP para o seu site \u2014 voc\u00ea tem muitos recursos <\/span>para isso!<\/p>\nUsando a API da Kinsta em conjunto com outros plugins de WordPress<\/h2>\n
![\"Imagem](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/wordfence-plugin.png\")
![\"O](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/wp-activity-log.png\")
Manter padr\u00f5es de conformidade com o WordPress e a Kinsta<\/h2>\n
![\"Vis\u00e3o](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/trust-kinsta.png\")
\n
Dicas otimizadas de uso da API da Kinsta com o WordPress para seguran\u00e7a e conformidade<\/h2>\n
const resp = await fetch(\n `https:\/\/api.kinsta.com\/v2\/validate`,\n {\n method: 'GET',\n headers: {\n Authorization: 'Bearer <API_KEY>'\n }\n }\n);\n\n\nconst data = await resp.text();\nconsole.log(data);\n<\/code><\/pre>\n\n
git crypt<\/code>, git-remote-gcrypt<\/code>, ou git secret<\/code>.<\/li>\n<\/ul>\n\n
Resumo<\/h2>\n