Scansione di sicurezza: configurazione e aiuto

Requisiti

Richiede PrestaShop 1.7 o successivo e PHP 7.1 o successivo.

Security Scan è distribuito con licenza AFL-3.0. Installa lo ZIP del rilascio tramite "Modules" > "Module Manager" > "Upload a module". Apri "Security Scan" > "Scan & Report". Il modulo aggiunge "History" e "Settings", inclusi "Configuration" e "System Check".

Lo scanner rileva problemi e fornisce passaggi di correzione manuale. Non blocca richieste, non corregge file del negozio, non cambia impostazioni di sicurezza e non rimuove malware. L'esecuzione di una scansione salva il report e il riepilogo nella tabella del database del modulo.

Apri "Security Scan" > "Settings" > "Configuration".

Fai clic su "Save settings", poi su "Back to scan".

Il limite del campione di codice statico è di 1.200 file PHP con la scansione approfondita attiva e di 300 quando è disattivata. Il limite del campione per il malware è di 2.500 file con la scansione approfondita attiva e di 600 quando è disattivata. Sono scansioni limitate, non ispezioni complete di ogni file.

Prima scansione

1. Apri "Security Scan" > "Scan & Report".
2. Fai clic su "Run scan now".
3. Controlla punteggio, data, durata della scansione e risultati.
4. Leggi prima i risultati "Critical" e "High", poi "Medium" e "Low".
5. Esamina ogni elemento interessato e segui i passaggi di correzione manuale applicabili.
6. Fai clic su "Re-scan now" dopo aver applicato le correzioni.

Il report è raggruppato come segue:

Lo scanner non confronta tutti i file del core con gli hash dei rilasci ufficiali. I suoi pattern di malware e controlli del codice possono non rilevare problemi e possono segnalare codice legittimo. Un risultato pulito significa che questi controlli non hanno trovato problemi del tipo che cercano.

Punteggio e cronologia

Il punteggio parte da 100. Il peso assegnato a ogni problema rilevato viene sottratto dal punteggio, che rimane compreso tra 0 e 100.

Apri "Security Scan" > "History" per confrontare gli ultimi 30 riepiloghi salvati. Ogni riga mostra data, punteggio, valutazione, numero di problemi e origine dell’esecuzione. "History" è un elenco di riepiloghi; la pagina della scansione mostra l'ultimo report.

Usa il punteggio per decidere cosa controllare per primo. Non certifica che il negozio sia sicuro e non è un test di penetrazione né un report di risposta a un incidente. Se sospetti una compromissione attiva, conserva le prove e organizza un'indagine sull'incidente prima di rimuovere file.

Funzionamento locale

La scansione normale legge file locali, configurazione e dati del database tramite una protezione che consente solo query di lettura. Memorizza i risultati localmente. Quando i controlli degli URL pubblici sono attivi, esegue anche richieste protette al negozio stesso. Il percorso di scansione locale non carica il report su mypresta.rocks.

Flotta gestita

La registrazione alla flotta è facoltativa e non serve per le scansioni locali. Il controller "Fleet Connector" esiste ma è nascosto nel menu laterale. Aprilo tramite il link di connessione fornito dal tuo flusso di gestione della flotta.

In quella schermata, inserisci "Hub URL" e "Enrollment token" del tuo hub Security Revolution, poi fai clic su "Connect this shop". Dopo la registrazione, usa "Poll hub now" per verificare la connessione e controlla "Connector status", "Last poll" e "Last error".

La registrazione collega il negozio a un flusso di report remoto e consente richieste di scansione firmate e autorizzate tramite consenso. I risultati condivisi attraverso quel flusso esulano dal funzionamento solo locale descritto sopra. Proteggi i token di registrazione e interrogazione.

Il modulo non include un comando CLI dello scanner né una pianificazione automatica delle scansioni. Se gestisci il server, puoi inizializzare il negozio desiderato e chiamare il servizio dal tuo script PHP:

require '/var/www/html/config/config.inc.php';
require _PS_MODULE_DIR_ . 'mprsecurityscan/vendor/autoload.php';

$run = \MPRSecurityScan\Service\ScanRunner::runAndStore('cron', null, [
    'allow_network' => false,
    'deep_scan' => true,
]);

echo 'Scan #' . (int) $run['id_scan'] . ' stored' . PHP_EOL;

Sostituisci il percorso di inizializzazione con quello effettivo del negozio. Esegui lo script con un account che possa leggere i file del negozio e accedere al suo database. L'argomento cron identifica l'origine dell'esecuzione salvata; non crea un'attività pianificata.

Conferma la prima esecuzione

Controlla che la data del report cambi, che compaia un punteggio e che "History" acquisisca una riga. Esamina gli errori dei controlli segnalati oltre ai risultati. Dopo una correzione manuale, esegui un'altra scansione e confronta il controllo interessato.

Problemi comuni

• I controlli di esposizione non danno risultati. Controlla l'interruttore "Confirm exposure by self-checking public URLs", il dominio del negozio e la capacità del server di raggiungere il proprio indirizzo pubblico. Con l'interruttore disattivato, la scansione non può sapere se un file è raggiungibile dall'esterno.
• La scansione richiede troppo tempo. Disattiva "Deep scan (code & malware heuristics)" e riprova. Controlla il limite di esecuzione dell'hosting e l'accesso ai file se continua a non riuscire.
• Un avviso sul codice o sul malware sembra errato. Confronta il file indicato con una fonte nota come pulita. Una corrispondenza di pattern da sola non giustifica l'eliminazione.
• Nessuna cronologia o errore della tabella del modulo. Apri "Security Scan" > "Settings" > "System Check" ed esamina il risultato dell'infrastruttura del modulo.

Salva i report che ti servono prima di disinstallare tramite "Module Manager". La disinstallazione rimuove il menu del modulo, le sue tabelle dichiarate, inclusi la cronologia delle scansioni e i record del connettore, e la sua configurazione. La reinstallazione non ripristina quella cronologia.

• Pagina dello strumento
• Guida allo scanner
• Security Revolution