Auch wenn im Moment ein aktiver DNN-Hoster in den USA sich als Panikmacher versucht: DotNetNuke ist sicher! Sowohl die Plattform als auch die Programmiermethoden verhindern schon im Ansatz die typischen Angriffsmöglichkeiten, auch wenn eine 100%-Sicherheit nicht gewährleistet werden kann.
Dies soll aber nicht zu Leichtsinn verleiten, d.h. einige Sicherheitsrichtlinien sollte jeder Administrator verfolgen, um das Risiko zu minimieren:
- Die Sicherheitshinweise auf DotNetNuke.com abonnieren und beachten. Nicht jede Warnung bedeutet ein notwendiges Update, aber man sollte die Bedingungen genau analysieren und mit der eigenen Umgebung abgleichen. U.u. ist ein Upgrade günstiger, als ein erfolgreicher Angriff.
- Verfügbare Sicherheitsaktualisierungen umgehend einspielen, soweit sie relevant ist. Hier ist zügig zu handeln, ungenutzte Zeit seit der Veröffentlichung birgt oft zusätzliche Risiken.
- Regelmäßig Sicherungen erstellen. Dies sollte für jede professionelle Web-Site eine Selbstverständlichkeit sein, nur so kann man nach Angriffen schnell auf einen sicheren Stand zurückgehen
- Nur installieren was notwendig ist - unnötige Module und andere Erweiterungen erhöhen das Risiko und mindern die Performance
- Nur Erweiterungen aus vertrauenswürdigen Quellen einsetzen - nicht alles, was billig ist (oder umsonst) ist den Installationsaufwand und das damit verbundene Risiko wert.
- Nicht mehr benötigte Erweiterungen löschen
- Rechte so vergeben, dass jeder genau das machen kann, was er machen soll.
- Bei Unklarheiten Experten fragen - klar, dass auch hier Vertrauen eine wichtige Rolle spielt!
Wer das beachtet, sollte auch mit seinem DNN-Portal sicher schlafen können.
PS: Shaun Walker hat angekündigt, dass in Kürze DNN 4.8.3 veröffentlicht wird, um die gefundenen moderaten Sicherheitslücken zu schließen.