UpHeron Vulnerability Monitoring

Разберете, когато сайтът ви спре, забави се или използва плъгин или тема с известна уязвимост. Повечето хакнати сайтове на WordPress използват такъв, за който вече има поправка: UpHeron ви казва веднага щом уязвимостта бъде публикувана и какво да направите.

Активирайте плъгина и UpHeron започва да наблюдава сайта: без акаунт, без регистрация, безплатно. На всеки пет минути проверява от интернет дали сайтът работи и колко бързо отговаря. Всеки ден, както и веднага след като инсталирате или обновите нещо, сравнява WordPress, всеки инсталиран плъгин и тема, PHP, сървъра на базата данни и уеб сървъра с основните бази данни с уязвимости.

Достъпност и време за отговор

• Настройки → UpHeron → „Uptime“ показва дали сайтът работи, достъпността му за последните 24 часа, 7, 30 и 90 дни, времето за отговор при последната проверка и за последния ден, графика за последните 24 часа и по една лента за всеки от последните 90 дни.
• Всеки срив: кога е започнал, колко е продължил и защо (изтекло време за отговор, страница с грешка, отказана връзка).
• Кога изтичат TLS сертификатът и домейнът на сайта.
• Имейл, когато сайтът спре и когато отново заработи.
• Кутия най-горе в таблото на wp-admin: дали сайтът работи, ping, достъпност за 24 часа и 30 дни, времената за отговор за последните 24 часа, лента за всеки ден и отворените известия за сигурност.

Статус за посетителите

Добавете [upheron_status] в страница, публикация или джаджа, за да покажете на посетителите дали сайтът работи, достъпността му и лента за всеки ден, като на страница за статус. В раздела „Uptime“ изберете какво да показва и как да изглежда, с преглед на живо: дали сайтът работи, достъпност, лентите и за колко дни, време за отговор, последните сривове, заглавие и вид — карта или един ред за горната или долната част на сайта.

Джаджата показва и логото на UpHeron с връзка към публичната страница за статус на сайта в upheron.com, за да могат посетителите да проверят сайта отвън, дори докато не работи. Изключете „Show link to status page on upheron.com“ в раздела „Uptime“, ако не искате това.

Shortcode-ът чете копие, което плъгинът пази, така че никога не забавя страница, и не показва нищо, докато UpHeron не е измерил сайта.

Известия най-горе в wp-admin

• Една лента изброява всички отворени проблеми, като най-спешните са първи: активно използвани от атакуващи уязвимости, после версии, които вече не получават поправки за сигурност, а след това по сериозност.
• Отворете всяко известие за подробности: какво е засегнато, коя версия го поправя, оценката за сериозност, кога е публикувано и кога атакуващите са започнали да го използват, с връзка към бюлетина.
• Бутон „Update to …“, когато WordPress вече предлага поправената версия.
• Скривайте известията едно по едно или всички наведнъж, с отмяна („Undo“). Скриването е за всеки потребител поотделно, а скритото известие се връща само, ако стане по-сериозно (по-висока сериозност или атакуващите започнат да го използват).
• Свийте лентата до един ред и изберете на кои екрани да се показва и от каква сериозност нагоре.
• Известните уязвимости се показват и под засегнатите плъгини на екрана „Разширения“.
• Настройки → UpHeron изброява всички отворени проблеми, скритите, достъпността на сайта и кога е проверен за последно.

Известия по имейл

UpHeron изпраща имейли до администраторския адрес на сайта, след като го потвърдите (UpHeron първо изпраща имейл за потвърждение, а всяко известие има връзка за отписване). В Настройки → UpHeron променете адреса и минималната сериозност, за която да получавате имейл, или изключете имейлите при срив. UpHeron проверява и дали сайтът работи, на всеки пет минути.

Искате Slack, Microsoft Teams, Discord, webhooks, страници за статус или другите си сайтове на едно място? Добавете сайта към безплатен акаунт в UpHeron, когато пожелаете, заедно с историята му. Не е задължително.

Какво се проверява

• Ядрото на WordPress, включително версии, които вече не получават поправки за сигурност
• Всеки инсталиран плъгин и тема, активни или не (файловете на неактивния плъгин също са на сървъра), включително платените
• PHP, MySQL или MariaDB и уеб сървърът (Apache, nginx, LiteSpeed и други)
• Скриптове и сървърен софтуер, които се виждат на публичната начална страница на сайта, например собствено копие на jQuery в темата: UpHeron чете страницата веднъж седмично и когато натиснете „Check now“

Данните за уязвимостите идват от WPVulnerability, бюлетините за сигурност на самия WordPress, CVE Program, NVD, OSV, каталога на CISA с активно използвани уязвимости и endoflife.date.

Не натоварва сайта

Нищо не се изпълнява в публичната част на сайта, освен shortcode-а за статус там, където го добавите, който показва съхранено копие на достъпността. wp-admin и shortcode-ът никога не чакат UpHeron; отчетите, проверките и обновяването на копията се изпълняват във фонов режим с WP-Cron.

Външни услуги

Този плъгин е частта в WordPress на UpHeron (https://upheron.com), услуга за наблюдение, предоставяна от Symelo LTD. Когато плъгинът бъде активиран на работещ (production) сайт, той сам започва да използва UpHeron: с активирането на плъгина вие се съгласявате с това. На тестови (staging), development и локални сайтове (wp_get_environment_type()), на сайтовете в мрежа без основния, както и когато UPHERON_AUTO_REGISTER е false, нищо не се изпраща, докато администратор не натисне „Start monitoring“ в Настройки → UpHeron. Всички заявки отиват от вашия сървър до upheron.com/api/v1/wordpress през HTTPS и се представят с user agent UpHeron-WordPress/<version>, който съдържа адреса на сайта ви.

• Регистриране. Няколко секунди след активирането (или след „Start monitoring“) плъгинът изпраща адреса и името на сайта ви, администраторския имейл адрес на сайта (за известията), адреса на маршрута за проверка на плъгина и версиите на WordPress, PHP и плъгина. След това UpHeron прочита еднократен код от /wp-json/upheron/v1/verify на сайта ви, което доказва, че заявката идва от вашия сайт, и плъгинът получава токена за достъп на сайта. Ако сайтът се премести на друг адрес, плъгинът регистрира новия.
• Отчети. Веднага след регистрирането, минута след като плъгини, теми или WordPress бъдат инсталирани, обновени, активирани, деактивирани или изтрити, и веднъж дневно плъгинът изпраща: адреса и името на сайта ви, версията на плъгина, версиите на WordPress, PHP (и датата, на която е компилиран PHP), сървъра на базата данни и уеб сървъра, както и името на папката, името на файла, името, версията и дали е активен за всеки инсталиран плъгин и тема.
• Находки. Плъгинът чете отворените находки и статуса на сайта от UpHeron, когато се отвори екранът с настройките му, няколко пъти след отчет, докато UpHeron го проверява, и веднъж дневно. Изпраща се само токенът за достъп на сайта.
• Достъпност. Плъгинът чете достъпността на сайта от UpHeron (състоянието му, времената за отговор, историята на достъпността, сривовете и изтичането на сертификата и домейна), когато се отвори разделът „Uptime“, най-много на всеки пет минути във фонов режим, докато се показва shortcode-ът за статус или кутията в таблото, и веднъж дневно. Изпраща се само токенът за достъп на сайта. Shortcode-ът показва на посетителите това съхранено копие; браузърите им никога не се свързват с UpHeron.
• Известия по имейл. UpHeron изпраща имейли до адреса за известия, след като той бъде потвърден. Промяната на адреса или на настройките за известия в Настройки → UpHeron ги изпраща до UpHeron. „Manage in the UpHeron dashboard“ отваря upheron.com, където можете да добавите сайта към акаунт.
• Спиране. Натискането на „Stop monitoring“ или изтриването на плъгина казва на UpHeron да спре да приема токена. Сайт без акаунт в UpHeron тогава се изтрива в UpHeron заедно с историята си; сайт в акаунт запазва монитора си там. Деактивирането на плъгина не изпраща нищо.
• Страница за статус. Веднага след регистрирането (и веднъж дневно, докато тя не съществува) плъгинът моли UpHeron да публикува страницата за статус на сайта в upheron.com, която показва името на сайта, дали работи и достъпността му; джаджата за статус води към нея. Изключете „Show link to status page on upheron.com“ в раздела „Uptime“, преди да бъде публикувана, за да остане непубликувана, или натиснете „Remove“ до нея в раздела „Settings“, за да я изтриете.
• Обновления. Копието, изтеглено от upheron.com, чете подписания файл за обновления на плъгина на upheron.com/wordpress/update.json два пъти дневно (вижте „Обновления“). Тази заявка съдържа версиите на плъгина и на WordPress, не и адреса на сайта ви. Копието от WordPress.org не го прави.
• Check now. Натискането на „Check now“ изпраща отчета и моли UpHeron да прочете отново публичната начална страница на сайта ви.
• Проверки на достъпността. Докато UpHeron наблюдава сайта, собствените му сървъри отварят адреса на сайта ви на всеки пет минути, за да проверят дали работи и колко бързо отговаря, и четат публичната начална страница веднъж седмично (и при „Check now“) за скриптовете и сървърния софтуер, които се виждат на нея. Плъгинът не участва в това.

Плъгинът никога не изпраща съдържанието, потребителите, клиентите, поръчките, настройките или паролите ви. Базите данни с уязвимости се проверяват от UpHeron, никога от вашия сайт.

Условия за ползване и Политика за поверителност на UpHeron.

За разработчици

• define( 'UPHERON_AUTO_REGISTER', false ); или филтърът upheron_auto_register: наблюдението не започва само (по подразбиране: работещи сайтове и основният сайт на мрежа).
• upheron_capability (филтър): правото, нужно за започване и спиране на наблюдението, промяна на известията и преглед на находките (по подразбиране manage_options).
• upheron_http_timeout (филтър): време за изчакване на заявките към UpHeron в секунди (по подразбиране 15).
• upheron_registering (действие): плъгинът е помолил UpHeron да наблюдава сайта.
• upheron_reported (действие): след като UpHeron е приел отчет.
• upheron_connection_lost (действие, $message, $in_account): UpHeron е спрял да приема токена на сайта (премахнат от акаунта си или от UpHeron след месец без отчети).
• upheron_more_from_symelo (филтър): продуктите в „More from Symelo LTD“ в раздела „Support“.
• define( 'UPHERON_API', 'http://localhost:3000/api/v1/wordpress' ); насочва плъгина към копие на UpHeron за разработка.

Shortcode: [upheron_status], както е настроен в раздела „Uptime“. Атрибутите променят това за една страница: days (от 7 до 90), show (кое да е от status,uptime,bars,response,incidents), title, style (card или badge) и branding (yes или no, логото на UpHeron с връзка към страницата за статус на сайта).

REST API за администратори под /wp-json/upheron/v1/: status, findings, refresh, uptime (?refresh=1), report, inventory, alerts, settings, email-alerts, email-alerts/resend, start, start/collect, stop, claim. verify е публичен: UpHeron чете от него еднократния код, докато сайтът се регистрира.

WP-CLI: wp upheron status, wp upheron uptime [--refresh], wp upheron start, wp upheron stop, wp upheron report [--scan], wp upheron findings [--refresh].

Обновления

Новите версии и списъкът с промени са на страницата на плъгина: https://upheron.com/wordpress

Копието, изтеглено от upheron.com, само намира новите версии и ги предлага в Табло → Обновления, с автоматичните обновления на WordPress, ако ги включите: два пъти дневно чете подписания файл за обновления на плъгина (https://upheron.com/wordpress/update.json) и инсталира нова версия само когато подписът и контролната ѝ сума съвпадат. Заявката съдържа версиите на плъгина и на WordPress, не и адреса на сайта ви. Копието от WordPress.org не прави това: него го обновява WordPress.org.

1. Инсталирайте и активирайте плъгина.
2. Това е всичко: на работещ сайт UpHeron започва наблюдението до няколко секунди, а Настройки → UpHeron показва първите резултати скоро след това.
3. Потвърдете имейла, който UpHeron изпраща до администраторския адрес на сайта, за да получавате известия по имейл. На тестов (staging) сайт или сайт за разработка натиснете „Start monitoring“ в Настройки → UpHeron.