SiteSecure: на страже онлайн-бизнеса

Сергей Иванов: Всем привет! В эфире программа «Бизнес online» и я, Сергей Иванов. Любой коммерческий сайт постоянно подвергается угрозе заражения вредоносным ПО, а это может привести к потере трафика, к потере конверсии, многим другим серьезным последствиям и даже к блокировке. О том, как этого избежать, как с этим бороться, мы поговорим сегодня с нашим экспертом — генеральным директором и сооснователем компании SiteSecure Максимом Лагутиным. Максим, привет!
Максим Лагутин: Привет!

Максим Лагутин, основатель сервисов Б-152 и SiteSecure.
Родился в 1989 году в городе Балашов Саратовской области.
В 2011 году окончил Российский государственный университет туризма и сервиса по специальности «Организация и технология защиты информации».
В 2012 году окончил бизнес-школу RMA по специальности «Менеджмент в сфере интернет-технологий».
С 2010 года — основатель и гендиректор компании Б-152.
В 2012 году стал сооснователем компании SiteSecure. В конце 2014 года занял пост ее гендиректора.

С. И.: Максим, от того, как ты сейчас ответишь на мой вопрос, мы узнаем, будет ли наша передача передачей ужасов, хоррором или более или менее приличной. Скажи, пожалуйста, какая сейчас ситуация в Рунете с заражением и безопасностью, уязвимостью сайтов?
М. Л.: Да, это очень актуальный вопрос. Мы буквально на прошлой неделе опубликовали наше исследование, которое привели совместно с Ruward и с iTrack.

Мы проанализировали порядка 30 тыс. коммерческих сайтов, которые нам выдали, и, собственно, получили весьма интересные результаты. Каждый седьмой сайт, так или иначе, имеет уязвимость.

С. И.: Он не обязательно заражен, но имеет уязвимость?
М. Л.: Под уязвимостью я понимаю не какую-то дыру в коде, а те или иные проблемы, которые есть с сайтом. Это или внесение его в черный список спама (многие письма с его IP-адреса будут уходить в спам), или блокировка, или иные проблемы, которые могут быть у сайта. И это влияет на его трафик, на его конверсию, на заработок им денег.
С. И.: Но на твой взгляд, если сайт имеет ту или иную уязвимость, то сколько ему ждать того момента, когда у него возникнут проблемы? Или проблемы уже есть, просто владелец их не замечает? Почему так все спокойно живут, если каждый седьмой сайт?..
М. Л.: Когда я начал этим глубоко заниматься, я вывел для себя одно правило: люди не видят проблем. Скажем, когда мы едем на автомобиле, мы не всегда знаем, что там что-то скоро сломается. По каким-то признакам, по звукам мы можем это определить, но когда грянет гром, мы не знаем. Здесь то же самое. Нет простых инструментов для того, чтобы вовремя выявить проблему и как-то устранить ее на ранних стадиях. Как правило, всё доводят до поздней стадии. Примеры? Это DDoS-атака на сайт, в результате которой сайт блокируется. Это внесение сайта в черные списки Роскомнадзора, Google, «Яндекса» и, в случае с поисковиками, его блокировка. Это уже критичный случай. Или когда на сайте есть порнобаннер или мобильный редирект, который перенаправляет трафик на другие ресурсы.
С. И.: А как ты считаешь, коммерческие сайты лучше защищены, чем некоммерческие? Для них статистика получше?
М. Л.: Она немного получше, потому что над некоторыми из коммерческих сайтов все-таки работают профессионалы в области веб-разработки, в области создания сайтов. Они закладывают некие принципы безопасности при разработке, при сдаче проектов в продакшн и т. д. Обычные сайты, личные, некоммерческие делаются, как правило, без вливания денежных средств, на коленке, собственными силами, и некоторые базовые принципы безопасности, даже банальные, туда не закладываются. Тем более когда используются бесплатные CMS, которые поддерживаются сообществом. Но сообщество — это не коммерческая компания, которая вкладывает деньги в безопасность своей CMS-системы.
С. И.: По данным TrustWave, за 2013 год вирусами заражено 15% сайтов, причем 45% всех атак приходится на интернет-магазины. Несмотря на то что, по твоим словам, они лучше защищены, угроза для них существует и вполне реальна. Сказывается как-то именно нацеленность атак на коммерческие сайты?
М. Л.: Да, я поясню. Я об этом люблю иногда напоминать. Рунет вырос, денег в нем стало много. И сейчас рост рынка, Рунета, продолжается, но замедляется. Рынок на данной стадии насыщен деньгами. И, естественно, где деньги, там и злоумышленники. Где у нас деньги? Это интернет-банки, платежные системы и интернет-магазины. Там купля-продажа, там ввод данных о карте, кошельках любых электронных денег. Поэтому все атаки направлены на интернет-магазин.
С. И.: Основная цель атак — это именно выуживание денег? Получить данные карт, получить возможности?
М. Л.: Тут уже вопрос о классификации злоумышленников.
С. И.: Да, расскажи, кто эти злоумышленники.
М. Л.: Кто как зарабатывает деньги? Одни зарабатывают на том, что взламывают сайты и воруют данные кредитных карт, кошельков.
С. И.: Прямое выкачивание денег?
М. Л.: Да, вывод теми или иными способами. Второе — это заказные DDoS-атаки, чтобы сайт-конкурент перестал работать. За это платят человеку, человек выводит, грубо говоря, из строя сайт. И конкурент пляшет, радуется…
С. И.: А другой плачет.
М. Л.: Да.
С. И.: Максим, ты описал страшную картину, но ты именно с этой ситуацией борешься. Чем занимается компания SiteSecure? Как вы защищаете своих клиентов?
М. Л.: SiteSecure решает одну из тех проблем, о которых я упоминал, — помогает выявлять проблемы на ранних стадиях. Мы всеми возможными инструментами, которыми обладаем, — которые мы сами создали, взяли с рынка, доработали, — производим мониторинг работы сайта: проверяем его на присутствие в различных черных списках, на уязвимости, даже на уязвимости в коде, на наличие вирусов, на наличие мобильных редиректов и всего остального.
С. И.: А если атака или иное неприятное событие уже произошло?
М. Л.: Тогда наши специалисты помогают устранить последствия. Мы даже помогаем принять превентивные меры. В некоторых случаях мы можем быстрее Google или «Яндекса» определить, что есть проблема. Мы можем заранее уведомить человека о том, что на его сайте есть некий вредоносный код. И за промежуток времени до проверки сайта Google или «Яндексом» мы уведомим и поможем устранить эту проблему, тем самым обезопасив сайт от более серьезных проблем.
С. И.: А как происходит сама работа с клиентами? Вы мониторите весь Рунет? Как вы обнаруживаете сайты с вредоносным кодом или уязвимые сайты?
М. Л.: Если говорить о клиентах, то они к нам приходят сами или через наших партнеров. Это SEO-компании, веб-студии и digital-компании.
С. И.: Те самые клиенты, которые считают, что у них в данный момент все хорошо, с ними еще ничего не случилось, и которые, тем не менее, к вам обратились?
М. Л.: Скажем так, они приходят бьют рукой в грудь, говорят: «У нас все хорошо, все здорово». Мы говорим: «О'кей, зайди на наш сайт, у нас есть там бесплатный сканер. Введи домен сайта, и мы просто прогоним тебя по некоторым проверкам и скажем, все хорошо или нет». Чаще всего всё не настолько хорошо, но и, опять же, не настолько плохо. Есть некоторые проблемы, которые могут в дальнейшем усугубить всю ситуацию.
С. И.: А можно сразу вредоносный код обнаружить?
М. Л.: Да. Даже так: можно сразу обнаружить мобильный редирект, который считается сейчас вредоносным кодом, или то, что сайт заблокирован в «Яндексе». Человек может заливать деньги в контекстную рекламу, в продвижение, а сайт будет заблокирован, и можно об этом просто не узнать. Об этом постоянно говорят веб-студии, наши партнеры. Мы все-таки нацелены на продажу, на реализацию нашего продукта через партнеров. Грубо говоря, позвонить и пообщаться с представителями каждого сайта в Рунете проблематично, их больше 4 млн. Есть партнер, которому это интересно. Одна из главных проблем — это когда с сайтом что-то не так, человек, не глубоко погруженный в интернет, начинает звонить в веб-студию или хостинг-провайдеру и ругаться. Хотя веб-студия не давала никаких гарантий безопасности сайта, она не обещала, что будет решать его проблемы и т. д. И для веб-студии это головная боль — утихомирить клиента. А техподдержка — это та услуга, которая не очень интересна самим веб-студиям.
С. И.: А у вас не было такого, что сами веб-студии еще на этапе создания сайта обращались к вам?
М. Л.: У нас есть такие клиенты.
С. И.: Веб-студии сразу говорят: «Мы вам создадим не просто красивый и функциональный сайт, но еще и защищенный». Так?
М. Л.: Да. Мало того, мы сейчас уже проводим партнерские работы с некоторыми CMS с рынка. Скоро вы об этом, я думаю, узнаете. Мы интегрируемся непосредственно в CMS на этапе разработки. Мы уже есть там и готовы обеспечивать мониторинг и безопасность сайта.
С. И.: Более ранней стадии не придумаешь. Правильно ли я понимаю, Максим, что SiteSecure — это «облачное» автоматизированное решение?
М. Л.: Да. Для того чтобы начать с ним работать, нужно зайти на наш сайт, зарегистрироваться и ввести только доменное имя сайта. Этого хватит, чтобы уже работали некоторые проверки сайта и некоторая безопасность обеспечивалась.
С. И.: Сама эта процедура бесплатна?
М. Л.: Месяц бесплатно мы даем всем. Абсолютно любой может зайти на сайт и полным функционалом бесплатно 30 дней пользоваться. Это нормально, потому что этот продукт новый для Рунета. Поэтому мы даем всем бесплатно то, что у нас есть, чтобы они посмотрели, что это такое.
С. И.: То есть это выглядит так: я со своим сайтом захожу к вам в «облако», проверяю его, мне выдаются некие первичные рекомендации или, скажем так, некие оценки по поводу уязвимости, сообщается, нахожусь ли я в черных списках каких-либо?
М. Л.: Да.
С. И.: И дальше я уже понимаю, что мне стоит перейти на некое абонентское обслуживание, правильно? В автоматическом режиме, находясь у вас на абонентском обслуживании, я постоянно вижу возможную или уже реализованную угрозу для моего сайта. А если я что-то меняю на сайте, это также отслеживается, насколько это влияет на уязвимость, на защищенность, правильно?
М. Л.: Да, я поясню. Система не один раз оценивает сайт, а потом просто вы там что-то делаете. Она постоянно его мониторит, делает по несколько проверок в день. У каждого вида проверок своя частота. Какая-то производится один раз в день, какая-то — два раза, какая-то — каждые пять минут. И это постоянно отслеживается. У нас есть некий бэкап, мы отслеживаем также и изменения файлов, как внутренних, так и внешних. Мы можем сразу понять, откуда пришла атака, кто ее произвел, кто зашел в это время, кто что-то поменял и из-за чего у нас появился вирус на сайте. Система это может делать. Когда уже есть проблема, у нас в системе есть некоторые виды подсказок, которые позволяют нам что-то делать быстро.
С. И.: Есть рекомендации?
М. Л.: Да, есть.
С. И.: «Ваше изменение повлияло на защищенность сайта».
М. Л.: Не в случае с изменениями пока, к сожалению. Это работает в том случае, если есть какая-то легкая проблема. Чтобы она не стала более серьезной, мы даем некие рекомендации. Но если проблема уже есть и владелец сайта хочет что-то с ней сделать, то он может связаться с нашими специалистами, и мы поможем ему.
С. И.: А ты можешь в двух словах рассказать, по каким параметрам вы мониторите сайты клиентов?
М. Л.: Я сейчас маленькую ремарку сделаю: основная наша цель — это не супертехнологии, которые не поймет конечный клиент, а хорошо упакованный понятный продукт.
С. И.: User-friendly, ага.
М. Л.: Да. Мы ориентированы на бизнес-задачи. Основная бизнес-задача наших клиентов заключается в том, чтобы сайт работал, приносил доход и чтобы трафик не уменьшался. Отсюда все наши проверки. Это проверка на воровство трафика, проверка на скрытые iframe, это проверка на вирусы. Если есть вирус, то его, скорее всего, будут блокировать разные антивирусные и поисковые системы. Вы часто можете не узнать, если у вас стоит Avast, что Kaspersky блокирует ваш сайт, просто потому, что Avast его не блокирует. И вы об этом так просто не узнаете. Мы также проводим проверку на оплату домена. Это звучит довольно-таки смешно…
С. И.: Многие об этом забывают.
М. Л.: Вспомните ситуацию с Ulmart, которая произошла весной 2014 года, когда там не было продления.
С. И.: Банально забыли заплатить.
М. Л.: И у Тинькова такое же было, да? Это потери, и об этом надо напоминать. Мы делаем проверку на присутствие сайта в черном списке Google, «Яндекса», Роскомнадзора. Так как мы и наши партнеры обладаем лицензией на услуги связи, мы можем за сутки до блокировки сайта предупредить его об этом.
С. И.: Реально можно предотвратить блокировку? Роскомнадзор такая структура, которую уже так просто быстро не остановить…
М. Л.: Нет, Роскомнадзор уведомляет за какое-то время, просит человека удалить тот контент…
С. И.: К которому претензии?
М. Л.: Да, запрещенный контент. Если человек в течение некоторого времени контент не удаляет, сайт блокируется. А часто просто это письмо не доставляется на адрес электронной почты. Это самая большая проблема. На адрес электронной почты сайта отправили, но письмо не дошло или просмотрели. Сайт заблокирован, потом уже хватаются за голову. Мы за сутки можем предупредить, чтобы человек мог успеть связаться с Роскомнадзором. В случае с Google и «Яндексом» мы видим, что сайт помечен как вредоносный в Google Chrome и в «Яндекс.Браузере». Об этом мы тоже говорим. Это уже более серьезная проверка на уязвимости в коде. Именно уязвимости в коде — это та первопричина, из-за которой заражается сайт. Если есть дыры в коде, то через них, собственно, злоумышленники проникают в сайт и заражают его.
С. И.: Что происходит дальше? Мы говорим о том, что ваш клиент — это в первую очередь представитель бизнеса, ему нужно, чтобы сайт работал. Он получает информацию о воровстве трафика, об уязвимости в коде, об iframe, о пометке «вредоносный» в «Яндексе» или в Google. Что дальше? Ему дают рекомендации или просто сообщают об этом, а дальше он уже разбирается сам?
М. Л.: Это зависит от тарифа, который он выбрал.
С. И.: Об этом мы сейчас поговорим, да.
М. Л.: Первый — это мониторинг. Чем больше функционала, естественно, тем выше тариф.
С. И.: Давай сразу с тарифами разберемся: на каком тарифе у вас происходит просто информирование?
М. Л.: На тарифе «Мониторинг угроз» происходит «легкий» мониторинг: продление домена, блокировка в Google и «Яндексе»…
С. И.: И размер тарифа?
М. Л.: Бесплатно для всех.
С. И.: Ага, бесплатный тариф.
М. Л.: Это freemium. Потом идет «Базовая защита». Там уже действуют абсолютно все наши проверки, которые есть, плюс гарантируется реакция нашей технической поддержки на проблемы.
С. И.: Это за сколько денег?
М. Л.: Это за 2,5 тыс. руб. через сайт и за 2 тыс. руб. через наших партнеров. Выгоднее покупать все-таки через партнеров.
С. И.: Понятно.
М. Л.: И есть тариф «Максимальная защита», который у нас продается индивидуально. В него входит защита от DDoS-атак, постоянный аудит кода и быстрая реакция на возникающие проблемы.
С. И.: Вы помогаете клиенту справиться с проблемами?
М. Л.: Да, но это уже для более крупных клиентов. Мы поняли, что такая услуга просто необходима. У нас есть ресурсы ее оказывать. Рынок уже насыщен деньгами, это большая ценность в глазах злоумышленников. Почему вообще злоумышленники это делают?
С. И.: Да, можешь немножко рассказать вообще, кто они? Я забыл тебя спросить об этом в самом начале.
М. Л.: Кто эти злоумышленники? Это люди, которые обогащаются тем или иным способом. «По фану» делать вирусы, заражать сайты и проводить DDoS-атаки — этого уже давно нет. Это финансовый и политический инструмент. Это делается для политики и для личного обогащения. Почему заражаются сайты? Я когда людям объясняю, люди удивляются. У человека есть интернет-магазин, созданный на коленке, Joomla, чем-то еще, на любой другой CMS. Когда сайт заражают, владелец думает, что лично его заразили, что это относится лично к нему. Он начинает это очень серьезно воспринимать: «Меня заразили!»
С. И.: Он не знает, что на самом деле идет такое квадратно-гнездовое покрытие.
М. Л.: Да. Как это делается? Ну, вы знаете, а я для зрителей расскажу. Неким сканером, собранным на коленке или профессионально, злоумышленники сканируют много-много сайтов на предмет выявления CMS или веб-серверов, в которых есть уязвимости. Сканер выдает список доменов, хакер нажимает еще одну кнопочку, и все сайты по этой уязвимости заражаются. Всё.
С. И.: Ничего личного.
М. Л.: Ничего личного. Для чего он заражает? Чтобы потом заражать компьютеры, брать из них пароли или другую информацию.
С. И.: А ботнеты, например, так же формируются?

М. Л.: Ботнеты созданы для DDoS-атак и для других атак. В том числе для заражения можно сделать ботнет. Можно сделать майнинг биткойнов, это очень модная тема.

С. И.: Я сижу, а на меня работает полстраны, майнят мне биткойны? Какая прелесть!
М. Л.: А видеокарта, да, майнит биткойны. Очень забавный бизнес. Бывает и такое, что заражают для воровства трафика. Это тоже делается массово, хотя можно и штучно. Это относится уже к некоему «черному SEO». Хакер заражает сайт и, допустим, с мобильного, с iOS-системы весь трафик идет на сайт конкурента или на любой другой сайт. Владелец сайта не заходит на него со своего iPhone никогда, при этом там есть мобильная версия, допустим. А мобильные пользователи переходят на другой сайт. Владелец даже не подозревает об этом, потому что он привык заходить со своего ноутбука, даже, может, с Chrome или с Internet Explorer. Смотрит — все хорошо. А что творится с Firefox, с Opera, он не знает.
С. И.: В тот момент, когда мы еще перед передачей с тобой общались, ты рассказывал, как созванивался с клиентом, говорил, что его сайт заражен, а он почему-то думал, что именно вы его и заразили. Часто такое встречается?
М. Л.: Да, это было интересно. Мы вручную составляем базу зараженных сайтов. Мы их не заражаем, а просто ищем, находим. Потом связываемся с владельцами, а они часто не понимают, кто звонит. Мы еще не так широко известны на рынке. И получается, что человек не понимает, кто ему звонит, он не знает такой проблемы. А если он думает, что это лично на него атака, он, как русский человек, пошлет на три буквы и бросит трубку. Вначале мы на это очень болезненно реагировали, но сейчас это в порядке вещей. Просто это непонимание человеком специфики и проблематики.
С. И.: А кого ты больше наблюдаешь среди своих клиентов? Все-таки владельцев сайтов или пока еще большое количество сеошников и других специалистов?
М. Л.: Я могу сказать, как работает наша воронка продаж, чтобы было более понятно. Лично я общаюсь со всеми, но в целом схема работает принципиально иным образом. Есть мы. Мы общаемся с веб-студиями, с SEO-компаниями, с digital-компаниями. Почему? К ним, как я говорил, приходят злые клиенты, недовольные: сайт лежит, что-то не так, вирус на сайте. Из-за этого тратятся время, деньги, ресурсы.
С. И.: И нервы.
М. Л.: Особенно нервы — самый главный ресурс. И веб-студии на этом часто не зарабатывают. Для них это что-то побочное. Многие веб-студии поддерживают сайты, делают SEO-продвижение, у них 100, 200, 300 сайтов. Это уже из топ-100 SEO-компаний. У каждого аккаунт-менеджера такой компании по 50 сайтов, и следить за каждым очень сложно. А технических специалистов мало. Поэтому нужно что-то автоматизированное. У более крупных компаний это есть, у середнячка нет, поэтому мы идем решать реальную проблему веб-студий. И когда решается проблема веб-студий, они предлагают это своим клиентам. Там сервис решает проблему конечного клиента, он доверяет компании, которая имеет опыт, имеет компетенции в этой сфере и необходимое понимание проблем. Как часто бывает? Звонит человек и говорит: «У вас вирус, нужно сделать…» И дальше следует технический перечень того, что надо сделать. Я так не хочу. Я как человек, который уже второй бизнес строит, могу сказать, что мне это неинтересно. Мне нужен результат. Когда сайт заражен, а ему специалисты по продажам предлагают: «Давай вылечим твой сайт. Давай?» Это неправильный подход. Надо говорить: «У тебя уже сейчас доход теряется». Допустим, если он заблокирован в «Яндексе». «Доход уменьшается. И если прямо сейчас что-то не сделать, ты будешь с каждой минутой терять деньги». Если ты бизнесмен и предприниматель, ты очень быстро это поймешь, без коммерческих предложений и т. д. В первую очередь мы решаем бизнес-задачу — как можно быстрее ввести сайт в рабочее состояние, чтобы он стал работать и приносил доход. Именно для этого и нужна информационная безопасность, чтобы доход не останавливался ни при каких обстоятельствах: ни от утечек, ни от чего-то другого.
С. И.: А если, предположим, я нахожусь у вас на абонентском обслуживании, если мой сайт попал в черный список, то я получаю об этом уведомление или уже готовое решение?
М. Л.: Если сайт попал в черный список, первое, что тебе приходит, — это уведомление о том, что ты попал в черный список.
С. И.: Дальше я должен совершать какие-то действия, обратиться к вам?
М. Л.: Дальше там есть некое сообщение об ошибке, так называемый алерт, просто текст. В нем описание проблемы на языке технаря, — там чуть-чуть, но это обязательно нужно делать, — а затем уже объяснение на уровне обычного человеческого понимания, что это за проблема и чем она грозит. Потом уже идет кнопка внизу «Связаться с нами». Нашим специалистам идет уведомление.
С. И.: Всякое решение индивидуально все-таки, да?
М. Л.: Да. Я поясню почему. Человек может сам справиться в проблемой. У каждой проблемы есть свой уровень критичности. Есть легкие, которые ждут годами, а есть серьезные.
С. И.: Но если я уже в черный список попал, это уже вполне критично.
М. Л.: В таких случаях владелец сайта сразу жмет эту кнопку, мы связываемся и максимально быстро решаем проблему.
С. И.: В ручном режиме?
М. Л.: В ручном. У нас есть некие автоматизированные способы, но мы еще на начальной стадии. Мы гипотезы проверяем, мы сразу думаем об автоматизации. Все думают всегда об этом: как бы автоматизировать, лежать на диване, чтобы деньги капали, а работа работалась.
С. И.: Да-да, мечта.
М. Л.: Но не всегда это целесообразно. В плане безопасности это часто может приводить к серьезным проблемам. «Касперский» никогда вирус не удалит без вашего ведома. Легкие проблемы — да. Легкие мы сейчас тоже можем решить. Но серьезные, без того, чтобы человек нажал «Да» и вызвал нас, — никогда. Тем более в случае с «Яндексом» или с Google надо сначала подтвердить владение сайтом в «Яндекс» и Google, а уже оттуда послать запрос. Иначе чуда не будет.
С. И.: Продолжим рассмотрение ситуации. Итак, мой сайт попал в черный список. Сколько времени потребуется на снятие блокировки и в какую сумму это обойдется?
М. Л.: Если человек подписан у нас на срок от полугода до года, то бесплатно. Если менее, то уже будет стоить отдельных денег — до 10 тыс. руб., скажем так.
С. И.: А по времени?
М. Л.: Мы всегда закладываем 24 часа, чтобы человек сразу понимал, что могут быть всякие проблемы разной глубины. Но, как правило, мы их решаем за два-четыре часа.
С. И.: А вот интересно, каков сам механизм «обеления» в случае блокировки браузером, поисковой системой или антивирусом?
М. Л.: У нас система сама срабатывает, говорит, какие есть проблемы. Плюс все-таки алгоритмы Google и «Яндекса» накопительные, они накапливают опыт по сайтам, некие, грубо говоря, антивирусные базы и в чем-то лучше, возможно, смотрят, в чем-то опыт у них больше в этой сфере. Мы видим потенциальную угрозу и потом уже все это удаляем и делаем запрос. Как вирусы могут появляться? Если сайты заражаются массово в этом сегменте, кто-то ставит мобильный редирект, хочет увести трафик на чужой сайт, то он каждый день заражает эти сайты. Это дыра. Исправлять дыру на коленке — это плохо. Мы столкнулись с другой проблемой: CMS не обновляются.
С. И.: Коммерческие?
М. Л.: Любые. Они не обновляются владельцами сайтов. Это самая большая проблема, которую мы увидели, когда проводили исследование. Сайты, которые зарабатывают по 300 тыс. руб. в месяц, могут сидеть на старой версии Joomla 1.5, которую давно уже просто так не обновить, и спокойно себе живут. Думают: «О, у меня все хорошо. Пока работает, все хорошо».
С. И.: Насколько я знаю, выбор именно коммерческих CMS в основном аргументируется тем, что они постоянно обновляемые, да?
М. Л.: Да.
С. И.: Забывают?
М. Л.: Да, все верно. Коммерческие CMS, как я уже ранее говорил, конечно, защищены больше, потому что компания получает деньги за их реализацию. Естественно, она вкладывает в то, что нужно конечному пользователю, — в безопасность. В той или иной мере. У кого-то конкурентное преимущество — быстрая работа, у кого-то — максимальный функционал, у кого-то — полная защита. У всех по-разному. Плюс коммерческие CMS в России имеет некий, скажем так, пул своих партнеров, которые знают, что это за CMS, знают их частые проблемы, умеют с ними работать, умеют закладывать базовые элементы защиты в CMS. Именно поэтому они более безопасны.
С. И.: Тут твоя компания недавно публиковала интересный рейтинг сравнения безопасности различных CMS. А какая наиболее уязвимая для взлома?
М. Л.: Бесплатная.
С. И.: Они все, получается, одинаково уязвимы? Может быть, есть самая ужасная?

М. Л.: На нашем рынке самая ужасная CMS — это DataLife Engine. Была выложена ломаная система, грубо говоря, в общем доступе, и в ней содержался вредоносный код. Народ, этого не зная, качал, ставил на сайты. И теперь есть большое количество сайтов на DLE, которые заражены, имеют уязвимости.

С. И.: У вас одна рекомендация — сменить CMS и все, да?
М. Л.: Во-первых, она нелегально была взята. Во-вторых, CMS надо обновлять. У нас есть проверка на версию CMS, мы можем уведомлять человека о том, какая CMS у него установлена, старая или новая. Разработчики CMS не зря едят свой хлеб — они закрывают дыры. Когда мы сидим за компьютером, у нас обновляется Windows. В каждом пакете обновлений стабильно есть закрытие тех или иных уязвимостей и дыр. То же самое у CMS-разработчиков. Поэтому надо обновлять. При этом у них тоже есть проблема — не обновляют. Потому что надо платить каждый год, а владелец ресурса говорит: «Я не хочу. Я сделал сайт, зачем мне еще платить?»
С. И.: А какие бы ты, Максим, дал рекомендации нашим зрителям по выбору CMS? Любая коммерческая? Или все-таки у вас есть какие-то предпочтения именно как у «облачного» сервиса? С кем ты меньше имел проблем, с какой из них?
М. Л.: Скажем, если брать чистую CMS, «голую», то коммерческие CMS меньше имеют проблем по сравнению с некоммерческими, бесплатными. Но все зависит от рук того разработчика, от рук того веб-мастера, который разрабатывает и поддерживает. Чем прямее у него руки, тем лучше будет работать сам сервис на CMS, тем более безопасным он будет.
С. И.: «Талантливый» веб-мастер может завалить любую CMS, даже самую совершенную, да?
М. Л.: А у нас таких очень много сейчас. Бум конструкторов сайтов, поэтому сделать сайт сейчас может любой.
С. И.: Кстати, насчет конструкторов сайтов, каково твое отношение к ним с точки зрения безопасности?
М. Л.: С одним из них мы уже интегрировались. Это InSales — один из крупных игроков на рыке автоматизации разработки интернет-магазинов. Там, конечно, проблем меньше, но появляются другие риски. Если, грубо говоря, ломают целую платформу, не дай бог, то страдают все сайты.
С. И.: Все-таки конструктор — это вполне серьезная компания.
М. Л.: Да, я понимаю. Но все равно бывают проблемы. Во-первых, по опыту нашей работы. Во-вторых, по опыту предыдущих бизнесов. Чем больше что-то агрегируется, тем больше вероятность, что из-за этого одного что-то может полететь.
С. И.: Ну что ж, Максим, в завершение передачи мог бы ты как эксперт дать несколько компетентных советов владельцам сайтов, интернет-магазинов, не обладающим достаточной компетенцией в сфере информационной безопасности? Как минимизировать угрозы, что важно, на что обращать внимание?
М. Л.: Я сейчас не открою Америку, сказав, что забота о безопасности необходима. Не вложив в нее сейчас, потом вы потеряете больше. Скупой платит дважды. При тех ценах, которые мы предлагаем или которые есть у других, безопасность сейчас доступна даже для тех, кто в ней не разбирается. Для тех, у кого нет технических знаний для этого всего. Советую не экономить на безопасности и обновлять CMS.
С. И.: Ну что ж, спасибо, Максим! Надеюсь, что благодаря твоей компании Рунет станет в целом безопаснее и это время близко. На этом я прощаюсь с вами, уважаемые телезрители! Это была программа «Бизнес online». Пишите нам , предлагайте темы, задавайте вопросы. Всего вам доброго! Пока!