O krok za złodziejami
Osoby zajmujące się bezpieczeństwem systemów prawie zawsze są o krok za złodziejami. W tym artykule chcę poruszyć kwestię, która często jest pomijana w kontekście zabezpieczeń wielu systemów e-commerce — monitoringu dedykowanego dla właścicieli sklepów.
Monitoring sklepu internetowego — skazany na Ciebie
Gdy pojawia się temat monitoringu sklepu internetowego, wielu właścicieli firm otwiera szeroko oczy i mówi, że hostingodawca monitoruje serwery, a to powinno wystarczyć, więc czemu ja się mam tym zajmować?
Prowadzenie biznesu w takim przeświadczeniu może doprowadzić do negatywnych konsekwencji. Tak się składa, że firmy hostingowe nie zajmują się dbaniem o to, by Twój e-commerce był bezpieczny. Ich zadania sprowadzają się do sprawdzania, czy procesory nie są przeciążone, czy na dysku jest wystarczająco dużo miejsca i jak wygląda sytuacja innych tego typu parametrów. Musisz mieć na uwadze, że Twoje środowisko jest całkowicie odizolowane, a każda, nawet najmniejsza luka w zabezpieczeniach, jest wyłącznie Twoim problemem.
Monitorować — ale co?
Dla każdego właściciela sklepu internetowego najważniejszym parametrem jest to, czy sklep sprzedaje. Składanie nowych zamówień to nie jedyny proces, który powinien być przez nas monitorowany. Znaczenie ma również to, czy sklep dostaje powiadomienia o płatnościach. Należy także pamiętać o tym, by w przypadku posiadania kilku systemów płatności sprawdzać każdy z nich z osobna.
Kwestie drugorzędne związane są z rejestracją użytkowników, dodawaniem produktów do koszyka i każdym innym procesem, o którym jest w stanie pomyśleć właściciel sklepu internetowego.
Monitorować — ale gdzie?
Wiele sklepów prowadzących sprzedaż przez Internet ma wbudowane statystyki. Dlaczego nie powinno się rozszerzać tej przydatnej funkcjonalności o monitoring?
Powodów można wymienić kilka:
monitoring powinien być niezależny od monitorowanej aplikacji — możemy to porównać do sytuacji, gdy podłączasz monitoring zasilania instalacji elektrycznej i zasilasz go z tej instalacji, bez żadnego zapasowego źródła zasilania. W takich okolicznościach, gdy Twój sklep przestanie działać, po prostu się o tym nie dowiesz,
podobnie jak zbieranie statystyk, monitoring potrafi być obciążającym procesem — sklepów lepiej jest dodatkowo nie obciążać,
system monitoringu może obsługiwać wiele sklepów czy systemów — nie tylko jeden. Co więcej, może zajmować się także monitoringiem wydarzeń w sklepach stacjonarnych (IoT)!
monitoring może być skonfigurowany przez niezależnych dostawców, dzięki czemu nie wpłynie na proces rozwoju sklepu.
Monitorować — ale jak?
Prawie wszystkie aplikacje, które dotychczas zostały stworzone, przechowują informacje w różnego rodzaju bazach danych — nie ma znaczenia czy w formie pliku, czy wieloserwerowego klastra.
Nam zależy na tym, by monitorować dane, które pojawiają się w bazach danych. W momencie, gdy w sklepie internetowym pojawia się zamówienie, w bazie danych, w tabeli odpowiedzialnej za przechowywanie danych o zamówieniach, tworzony jest nowy wpis. Analogicznie — gdy przychodzi powiadomienie o dokonaniu płatności, tworzony jest kolejny wpis powiązany z zamówieniem. Właśnie takie informacje możemy monitorować.
Kluczem do skutecznego monitoringu są przede wszystkim zawiadomienia o anomaliach.
Jest wtorek, godzina 12:00, a od godziny nie pojawiło się żadne zamówienie? Wysyłamy powiadomienie na czacie.
Przez ostatnie dwa dni nie zostało złożone żadne zamówienie z jednego z popularniejszych systemów płatności? Wysyłamy maila do właściciela sklepu.
W ciągu całego tygodnia nie było żadnej rejestracji klienta? Wysyłamy automatyczne zgłoszenie do firmy, która stworzyła sklep.
Monitorować można właściwie każdy aspekt działania sklepu internetowego. Najlepsze jest to, że system sam może porównywać aktualne dane z danymi historycznymi. Nie będzie błędem stwierdzenie, że wielu właścicieli sklepów nieraz odkryło, że budżet na ich kampanię reklamową magicznie się skończył. Wystarczyłoby, aby monitoring wysłał powiadomienie, że ilość odwiedzin zmniejszyła się o 20% w stosunku do poprzedniego tygodnia.
W sobotę o godzinie 22:00 jeden z pracowników zalogował się do panelu administracyjnego? W tej sytuacji SMS z systemu monitoringu mógłby uratować dane klientów z niejednego systemu.
Monitorować — ale czym?
Cały temat sprowadza się do narzędzi, które możemy wykorzystać w monitoringu. Ich lista jest naprawdę długa, a omówienie każdego z nich mogłoby zająć cały artykuł. Z tego powodu przedstawiam dwa narzędzia, które, moim zda-niem, są najpopularniejsze w e-commerce i sprawdzą się idealnie w monitorowaniu praktycznie każdego sklepu internetowego.
Jest to bardzo elastyczne narzędzie stworzone w PHP. Doświadczony administrator jest w stanie zaprojektować reguły do monitorowania niemalże wszystkich elementów, które uznane zostaną za istotne. Narzędzie umożliwia monitorowanie niezliczonej liczby systemów, co sprawia, że docenia je wiele firm parających się administracją serwerów.
