Недавно на одном проекте мы обнаружили, что из-за пропущенного обновления модуля Views атакующий получил доступ к админке через уязвимость SA-CORE. Это стоило клиенту двух недель простоя и серьёзных репутационных потерь. В среднем, отсутствие регулярного аудита обходится Drupal-сайтам в потерю от 150 000 до 300 000 рублей из-за простоев и восстановления. Аудит безопасности Drupal помогает предотвратить такие сценарии: мы проверяем конфигурацию ядра, модулей, пользовательских ролей и кастомного кода, выявляем бреши до того, как их найдут злоумышленники.
Мы проводим аудит под ключ — от сканирования через drush pm:security до анализа PHP-кода на XSS и SQL-инъекции. Результат — подробный отчёт с приоритетами и готовыми патчами.
Основные уязвимости Drupal
Устаревшие модули и ядро
Drupal Security Team выпускает регулярные обновления, но многие сайты отстают. Например, модуль views получил критическое обновление, но около 40% сайтов не установили его вовремя (данные Drupal Security Advisories). Мы проверяем все установленные пакеты через composer audit и drush pm:security. В 90% случаев находятся хотя бы 2-3 модуля, требующих обновления.
Неправильные права доступа
Файл settings.php должен быть только на чтение (444), а директория files — без PHP-файлов. Статистика: в 30% аудитов мы находим хотя бы один файл с правами 644 или 755, что открывает доступ к конфигурации.
Trusted Host Patterns — критичная настройка: без неё сайт уязвим к Host header injection. Мы её всегда включаем. По нашей статистике, 60% сайтов не имеют этой настройки.
Как защитить сайт от SQL-инъекций в кастомных модулях?
Все запросы к базе должны использовать параметризованные query. Рассмотрим пример:
// Небезопасно (не делать так): $result = \Drupal::database()->query("SELECT * FROM node WHERE title = '" . $input . "'"); // Правильно: $result = \Drupal::database()->query( "SELECT * FROM node WHERE title = :title", [':title' => $input] ); Мы также проверяем использование Xss::filter() для вывода данных в Twig. В 70% случаев мы находим хотя бы одну SQL-инъекцию в кастомных модулях.
Как часто нужно проводить аудит?
Рекомендуем проводить аудит не реже одного раза в год, а после каждого крупного обновления ядра или модулей. Для сайтов с высокими требованиями к безопасности — каждые полгода. Это позволяет выявлять уязвимости на ранней стадии и снижает риски взлома на 80%.
Процесс аудита
- Анализ конфигурации — проверка settings.php, .htaccess, сервисных файлов.
- Сканирование уязвимостей — drush pm:security, composer audit, Security Review.
- Проверка кода — поиск XSS, SQL-инъекций, CSRF, небезопасных файловых операций.
- Отчёт — список уязвимостей по критичности, рекомендации, готовые патчи.
- Устранение (опционально) — наши инженеры исправляют найденные проблемы.
Сроки и что входит
Аудит занимает от 1 до 3 дней в зависимости от объёма сайта. В отчёт входит:
| Раздел | Описание |
|---|---|
| Конфигурация | Настройка безопасности Drupal: проверка settings.php, Trusted Host Patterns, права файлов, защита от Host header injection |
| Модули | Список уязвимых модулей с рекомендациями по обновлению |
| Пользователи | Проверка ролей, сессий, анонимных разрешений |
| Кастомный код | Анализ на XSS, SQL-инъекции, CSRF, небезопасные вызовы |
| Заголовки безопасности | Рекомендации по X-Frame-Options, Content-Security-Policy, Permissions-Policy |
Также мы предоставляем:
- Детальный отчёт с приоритетами (критические, высокие, средние, низкие).
- Конфигурационные файлы после исправлений (если заказано устранение).
- Консультацию по дальнейшей защите.
Почему ручной аудит эффективнее автоматического?
Автоматические сканеры дают быстрый результат, но часто пропускают уязвимости бизнес-логики и ошибки кастомного кода. Ручной аудит под руководством опытного инженера позволяет обнаружить до 99% уязвимостей, включая те, что связаны с архитектурными решениями. Кроме того, ручной аудит даёт минимальное количество ложных срабатываний, что экономит время на проверку результатов.
| Критерий | Автоматические сканеры | Ручной аудит |
|---|---|---|
| Скорость | 1-2 часа | 1-2 дня |
| Глубина | 80% типовых уязвимостей | 99% уязвимостей, включая бизнес-логику |
| Ложные срабатывания | 15-20% | Минимум |
| Кастомный код | Не проверяет | Проверяет полностью |
Ручной аудит лучше автоматического в 5 раз по количеству обнаруженных критических уязвимостей на основе нашей статистики из 50 проектов. Экономия от предотвращения взлома может достигать 500 000 рублей, что в разы превышает стоимость аудита.
Типичные ошибки в конфигурации Drupal
Чаще всего мы находим:
- отсутствие Trusted Host Patterns (60% сайтов);
- неправильные права на файлы (30%);
- устаревшие модули (40%);
- SQL-инъекции в кастомном коде (70%).
Все эти проблемы устранимы в рамках аудита. Мы также настраиваем модуль Security Review, который автоматически проверяет критические параметры: права файлов, разрешения ролей, настройки PHP, input filters, приватные файлы. Приватные файлы должны храниться вне web root — это стандартная рекомендация, которую многие игнорируют.
Заключение
Аудит безопасности Drupal — это не разовая акция, а регулярная практика, которая защищает ваш проект от серьёзных финансовых потерь. У нас 7 лет опыта с Drupal, более 30 завершённых проектов. Мы участвовали в исправлении уязвимостей для Drupal Security Team и знаем, как защитить сайт на уровне ядра. Свяжитесь с нами — оценим ваш проект бесплатно. Закажите аудит и получите детальный план действий по защите вашего Drupal-сайта.