Аудит безопасности и защита сайта

Если исключить утечку доступов (паролей от сервера или сайта) по причине халатности администратора либо заражения его компьютера вирусом, то останутся следующие распространённые варианты:

• Ботнет — При использовании уязвимой версии движка сайта или его модулей, сайт рискует быть взломан автоматически — чьим-то ботнетом или просто автоматическим скриптом. Ботнет — это сеть заражённых компьютеров, которые действуют по заранее описанному сценарию - применяют различные скрипты к случайным сайтам. Как правило - это сайты на Wordpress, Joomla, 1C-Битрикс и прочих популярных движках. Если сайт успешно взломан, то хакер-владелец ботнета сразу узнает об этом, но займётся Вашим сайтом тогда, когда он ему станет интересен. Либо просто будет проводить с Вашего сервера атаки других сайтов и рассылку спама. Разумеется, вы можете стать ответственным за это. А можете и не узнать об этом никогда.
• Целевая DDoS-атака — Чаще всего является атакой от конкурентов. Это атака большим количеством запросов к сайту либо другим сервисам, которая временно выводит сайт из строя, затрудняет доступ клиентов к нему и мешает работе менеджеров вашей организации. При этом типе атаке, как правило, злоумышленник не получает никакого несанкционированного доступа. Однако, если Вас атакуют методом DDoS, значит в этом кто-то заинтересован. Следовательно — он может поискать и более серьёзные уязвимые места Вашего сайта.
• Целевой взлом — Это происходит реже, однако, если кому-то стала интересна Ваша клиентская база / данные пользователей / перехват оплаты клиентов / возможность зашифровать Ваш сайт и вымогать у Вас деньги — шансы стать жертвой сильно повышаются. В этом случае, даже если Ваш сайт уже "нашёл" чей-то ботнет, это не значит, что его владелец "закрыл за собой" уязвимость. Следующий взломщик вполне может перебрать все публично известные уязвимости к движку Вашего сайта (узнать движок и версию совсем несложно) и получить доступ. В случае неудачи, он может и самостоятельно найти новую уязвимость, вне зависимости от того, на каком движке Ваш сайт. Однако это уже довольно сложный путь, который требует серьёзных навыков.
• Сопутствующий взлом — Часто происходит на хостингах. К сожалению, большинство хостеров (даже огромных, вроде GoDaddy или Hetzner) думают о деньгах, но никак не о Вашей безопасности. В целом, в мире очень мало программистов и администраторов, которые хоть немного пригодны для того, чем они занимаются, с позиции кибербезопасности. Вам могут описать на главной странице сайта что угодно про защиту, но они очень плохо защищают пользователей друг от друга. Это значит, что, когда взламывают один сайт на виртуальном или физическом сервере, то могут взломать и другие сайты, находящиеся на нём (например — Ваш). Уменьшить эту вероятность, используя публичный хостинг, можно соблюдением прав доступа к файлам сайта и запретом некоторых команд (если это позволяет хостер), но это не даст никакой гарантии.