Como impedir infecção por malware

Para se proteger de malware, é preciso estar em vigilância constante. Este artigo contém dicas e sugestões para impedir infecções por malware. No entanto, ele não é completo, e o Google incentiva os proprietários de sites a conduzir uma pesquisa mais abrangente.

Como monitorar a integridade do seu site

Muitos dos recursos do Search Console podem ajudar você a identificar possíveis problemas. Exemplo:

• Faça uma pesquisa no Google com o operador site: para ver quais páginas encontramos no seu site. É importante fazer isso periodicamente para ver se páginas ou conteúdo inesperados não foram inseridos no seu site. Caso apareçam páginas desconhecidas ou tópicos que não foram escritos por você, talvez seu site tenha sido invadido. Se você ainda não conhece o operador de pesquisa site:, ele é uma forma de restringir a pesquisa a um site específico. Por exemplo, a pesquisa site:developers.google.com retornará resultados somente do site Google Developers.
• O relatório de problemas de segurança mostra as páginas do site que foram invadidas e identificadas pelo Google, bem como as instruções sobre como corrigir o problema.
• Se o Google detectar malware no seu site, você verá uma notificação no painel de mensagens do Search Console. Para receber rapidamente as notificações, encaminhe as mensagens para seu e-mail.

Lista de verificação de segurança

Além de monitorar seu site regularmente, também recomendamos o seguinte:

Todos os proprietários de sites

• Escolha boas senhas. As diretrizes da Conta do Google podem ajudar nisso.
• Escolha com muito cuidado os provedores de conteúdo terceirizados. Confirme que os apps e anúncios de terceiros no site são de fontes confiáveis e legítimas. Essas fontes oferecem informações de contato e suporte no site delas.
• Entre em contato com sua empresa de hospedagem ou plataforma de publicação para receber suporte. A maioria das empresas tem grupos de suporte responsivos e/ou páginas de segurança. Caso uma página de segurança ou um site tenha um feed RSS, inscreva-se para ficar em dia com as atualizações.
• Mantenha todos os seus computadores em segurança, principalmente quando estiver trabalhando em um site. Certifique-se de que sua estação de trabalho local tenha softwares atualizados, esteja livre de vírus, cavalos de troia ou malwares similares e tenha um software antivírus atualizado instalado.

Proprietários de sites com acesso ao servidor

• Verifique a configuração do seu servidor. Existem dicas de configuração de segurança no site do Apache, e a Microsoft tem alguns recursos sobre IIS na central de tecnologia (links em inglês). Algumas dessas dicas incluem informações sobre permissões de diretório, inclusões no lado do servidor, autenticação e criptografia.
• Faça uma cópia de backup do seu arquivo .htaccess ou de outros mecanismos de controle de acesso, dependendo da plataforma do seu site. Use o arquivo de backup para recuperar se o seguinte falhar. Lembre-se de excluir o arquivo de backup após a conclusão.
• Fique sempre em dia com as atualizações e os patches mais recentes do software. Há diversas ferramentas que facilitam a criação de um site, mas cada uma apresenta um risco de ser explorada. Uma falha comum de diversos proprietários de sites é instalar um fórum ou um blog no site e depois esquecê-lo. Da mesma forma que é importante levar um carro para revisão, é fundamental ter as atualizações mais recentes para qualquer software instalado. Faça uma lista de todos os softwares e plug-ins usados no seu site e controle os números da versão e as atualizações. Mesmo que você tenha cuidado e mantenha todos os componentes do site atualizados, você ainda pode estar vulnerável caso seu Web hoster não tenha instalado as correções mais recentes do sistema operacional. Esse problema não afeta somente sites pequenos. Houve avisos em sites de bancos, equipes esportivas, empresas e até órgãos do governo.
• Fique de olho nos arquivos de registros. Tornar isso um hábito traz muitos benefícios, sendo que um deles é mais segurança. Por exemplo, parâmetros de URL desconhecidos, como =http: ou =//, ou picos no tráfego para redirecionar URLs no seu site podem indicar que um hacker está explorando redirecionamentos abertos. Além disso, lembre-se de que os hackers normalmente tentam alterar os arquivos de registro. Execute ações para proteger esses arquivos contra ataques. Por exemplo, é possível mover esses arquivos dos locais padrão, dificultando a localização para os hackers.
• Verifique seu site em busca de vulnerabilidades comuns. Evite ter diretórios com permissões abertas. Isso é como deixar a porta da frente da sua casa aberta.

  Além disso, procure vulnerabilidades de XSS ou scripting em vários locais, e injeção de SQL (links em inglês).

• Use protocolos seguros. O Google recomenda o uso de SSH e SFTP para transferência de dados, em vez de protocolos de texto sem formatação como telnet ou FTP. SSH e SFTP usam criptografia e são bem mais seguros.
• Acompanhe as últimas notícias de segurança. O blog de segurança on-line do Google (em inglês) tem informações úteis sobre segurança on-line e indica outros recursos. O site do órgão governamental americano de proteção a ameaças digitais US-CERT (United States Computer Emergency Readiness Team, site em inglês) conta com alertas e dicas de segurança técnica.