ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
wirtualne patchowanie (virtual patching)
Blokowanie prób wykorzystania znanej podatności regułą zapory aplikacyjnej (WAF), zanim powstanie poprawka w kodzie wtyczki czy motywu — albo gdy nie powstanie w ogóle.
TAB. 1Nazwaobie formy
| Po angielsku | virtual patching |
|---|---|
| Po polsku | wirtualne patchowanie (virtual patching) |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | wirtualna poprawka (pojedyncza reguła, nie proces) · wirtualne poprawki · reguła WAF blokująca wykorzystanie podatności |
| Odmiana | to wirtualne patchowanie, tego wirtualnego patchowania, o wirtualnym patchowaniu (sekurak zapisuje człon w cudzysłowie: wirtualnego „patchowania" — sygnał świeżego zapożyczenia, w tekście redakcyjnym cudzysłów można pominąć); pojedyncza reguła: ta wirtualna poprawka, tej wirtualnej poprawki, te wirtualne poprawki; ten virtual patch, tego virtual patcha (rzadziej, w tekstach fachowych nieodmienne) |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „wirtualna poprawka (ang. virtual patch)", „procedury wirtualnego «patchowania»", „procedury wirtualnych poprawek" (sekurak) |
|---|
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL (EN) | „Wirtualna poprawka (ang. virtual patch) to wdrażanie w warstwie zabezpieczeń mechanizmu umożliwiającego wykrycie i zablokowanie złośliwego kodu, zanim dotrze do chronionego zasobu.” | sekurak.pl |
| PL | „Na podstawie zasad określonych przez OWASP wyróżnia się sześć faz procedury wirtualnego „patchowania"” | sekurak.pl |
| PL | „Stosowanie procedury wirtualnych poprawek buduje kolejną warstwę bezpieczeństwa” | sekurak.pl |
| PL | „nie należy polegać wyłącznie na wirtualnym patchowaniu jako alternatywie dla aktualizacji oprogramowania” | sekurak.pl |
| PL | „aktualizacje bezpieczeństwa czy bardziej kolokwialnie łatanie podatności” | wiedza.cert.pl |
TAB. 4Obok w tej dziedzinie6
| utwardzanie pliku wp-config.php | wp-config hardening | Zabezpieczenie głównego pliku konfiguracyjnego WordPressa, zawierającego dane dostępowe do bazy: ustawienie unikalnych kluczy i soli, wyłączenie edytora plików w panelu (DISALLOW_FILE_EDIT) oraz zablokowanie dostępu do pliku z zewnątrz. |
| webshell | web shell | Skrypt wgrany na serwer strony, który przez zwykłe żądanie HTTP pozwala napastnikowi wykonywać polecenia i operacje na plikach — najczęstsza postać backdoora na WordPressie. |
| weryfikacja uprawnień | capability check | Sprawdzenie po stronie serwera — w WordPressie funkcją current_user_can() — czy uwierzytelniony użytkownik ma prawo wykonać daną operację, czyli właściwa kontrola autoryzacji, odrębna od nonce'a i przez niego niezastępowalna. |
| WPCS | WordPress Coding Standards (WPCS) | Zestaw reguł PHP_CodeSniffer sprawdzających, czy kod wtyczki lub motywu trzyma się oficjalnych standardów kodowania WordPressa. Poza stylem zawiera reguły bezpieczeństwa: weryfikację nonce, sanityzację i escapowanie danych oraz przygotowane zapytania SQL — to na nich opiera się automatyczna kontrola kodu przed wdrożeniem. |
| wpis na czarną listę (blacklisting) | blacklisting | Oznaczenie domeny jako niebezpiecznej przez Google Safe Browsing, przeglądarki lub filtry pocztowe, skutkujące ostrzeżeniem dla odwiedzających i gwałtowną utratą ruchu. |
| wtyczka bezpieczeństwa | security plugin | Wtyczka łącząca funkcje ochrony i wykrywania (zapora aplikacyjna, skaner plików, blokada prób logowania, powiadomienia, rejestr zdarzeń) — uzupełnienie, a nie zamiennik aktualizacji, kopii zapasowych i poprawnie napisanego kodu. |