Security Watchtower

Security watchtower houdt kwetsbaarheden in de gaten in de platforms, plugins en onderliggende technologie van je webshop. Jij legt vast wat je draait, WISEPIM vergelijkt dat met een database van bekende kwetsbaarheden, en een mens beoordeelt elke waarschuwing voordat die naar je toe gaat. Het zit in elk abonnement, ook in Free. Wat deze pagina je oplevert: je ziet in één oogopslag welke bekende kwetsbaarheden gelden voor de exacte versies die je draait, leest in gewone taal wat elke kwetsbaarheid betekent en wat je moet doen, en krijgt een beoordeelde mail als iets je webshop raakt. Waar vind je het: ga naar Instellingen > Security watchtower. Het is het laatste item in de projectzijbalk, onder Team. Je hebt een geselecteerd project nodig; zonder project zegt de pagina “Selecteer een project om Security watchtower te openen.” Drie tegels bovenaan vatten het project samen: Vastgelegde technologieën, Bevestigde overeenkomsten en Recente beoordeelde waarschuwingen.

​

Je beveiligingsmails

De schakelaar Mail mij goedgekeurde beveiligingswaarschuwingen staat standaard aan voor elke WISEPIM-gebruiker. Je kunt hem altijd uitzetten. Het is een persoonlijke instelling: elk lid van het project beslist voor zijn eigen adres. Een waarschuwingsmail gaat alleen de deur uit als twee dingen kloppen:

• Iemand bij WISEPIM heeft de waarschuwing beoordeeld en goedgekeurd.
• De kwetsbaarheid raakt een versie die in je project is vastgelegd en geverifieerd.

​

Je technologieën vastleggen

De sectie Vastgelegde technologieën toont de exacte producten en pakketten die je webshop draait, met hun versies. Zonder bekende versie kan WISEPIM niet zeggen of een kwetsbaarheid je raakt, dus deze lijst is de basis van alles op deze pagina.

​

Automatisch vinden via je koppelingen

Test je een winkelkoppeling onder Integratie-instellingen, dan leest de watchtower de technologie erachter uit en legt die voor je vast: Het automatisch vinden heeft een nette, openbare HTTPS-URL van de winkel nodig. Vastleggingen uit een koppeling krijgen dezelfde badges als handmatige, dus controleer ze en pas aan wat niet klopt.

​

Een technologie handmatig toevoegen

Klik op Technologie toevoegen om het formulier Technologiegegevens te openen. Vul in:

• Technologiefamilie: een doorzoekbare kiezer over de catalogus van 184 families. Filter op categorie: Runtimes, Bibliotheken, Infrastructuur, Databases en cache, Berichtenwachtrijen, Zoeken, Frameworks, Frontend, E-commerce, Contentbeheer, PIM en productdata, Automatisering, Marketing, Analyse, Beheer, Identiteit en toegang, Samenwerking, ERP en magazijn, Betalingen, CRM, Verzending en AI-diensten. Zoek op pakketnaam, zoals symfony/http-kernel, of op een alias, zoals postgres.
• Product of pakket: de exacte naam uit het ecosysteem. Voor Composer-pakketten is dat de vendor en het pakket, zoals shopware/core. Voor WordPress-plugins en -thema’s is het de exacte naam of de slug op wordpress.org, zoals elementor. API-versies zijn geen geïnstalleerde softwareversies.
• Geïnstalleerde versie: de versie die je draait, bijvoorbeeld 6.5.8.2.
• Momenteel in gebruik: zet dit uit voor software die je vastgelegd houdt maar niet meer draait. Die verschijnt dan als Inactief.
• Bewijs van de versie: waar je de versie hebt gelezen, bijvoorbeeld composer.lock, je hostingpaneel of de voettekst van de beheeromgeving.
• Ik heb deze versie gecontroleerd op de actieve installatie: vink dit aan zodra je de versie op de live winkel hebt gecontroleerd, niet op een stagingkopie.

Klik op Technologie opslaan. Elke vastlegging toont een statusbadge: De pagina toont de eerste 300 technologieën. Is je inventaris groter, neem dan contact op met support om de rest te bekijken.

​

Bekende kwetsbaarheden in je stack

Deze sectie toont tot 50 bekende kwetsbaarheden voor de technologie die je hebt vastgelegd. Die je versies raken komen eerst, gevolgd door oudere problemen die je misschien nog niet kent. Een vermelde kwetsbaarheid betekent niet dat je installatie geraakt is. Elke vermelding heeft een of meer badges: Elke kaart legt het probleem in gewone taal uit:

• Wat het is: de kwetsbaarheid in een of twee zinnen.
• Wat er kan gebeuren: het realistische gevolg voor een webshop.
• Wat je kunt doen: de oplossing, met de release die het probleem verhelpt.

Klap Toon de originele meldingstekst uit om de bronmelding te lezen zoals die is gepubliceerd, of klik op Lees de originele melding om hem bij de bron te openen. Past er niets, dan zegt de sectie “Er zijn nog geen bekende kwetsbaarheden die bij je vastgelegde technologie passen. Dat bewijst niet dat je webshop er geen heeft.”

​

Hoe het koppelen werkt

Het koppelen is bewust voorzichtig. Een waarschuwing is alleen iets waard als hij klopt.

• Versies worden gekoppeld op exacte nummers of numerieke bereiken uit de melding. Een onbekende versie wordt nooit gekoppeld.
• WordPress-core wordt nooit gekoppeld aan een kwetsbaarheid in een plugin of thema. Een plugin wordt alleen gekoppeld als je hem met zijn exacte naam of slug hebt vastgelegd.
• Diensten die de leverancier beheert, worden nooit gekoppeld.

​

Dekking en databronnen

De watchtower volgt Magento en Adobe Commerce, WooCommerce en WordPress, Shopware, PrestaShop, OpenCart, PHP, MySQL en MariaDB. Voor WordPress bevat hij ook meer dan 42.000 plugin- en themameldingen van Wordfence Intelligence, inclusief kwetsbaarheden waarvoor nog geen oplossing is. De bronnen zijn CVE.org, de CISA-catalogus Known Exploited Vulnerabilities, OSV, meldingen van uitgevers op GitHub, NVD en Wordfence. Elke kaart noemt zijn bron en licentie onder Databronnen en licenties. De monitor controleert elke 15 minuten op nieuwe en gewijzigde meldingen.

​

Begrijp je technologiestack

Onder de inventaris stelt Begrijp je technologiestack gerelateerde onderdelen voor die het controleren waard zijn, op basis van de architectuur van wat je hebt vastgelegd. Elk voorstel noemt de relatie:

• Breidt dit platform uit: een plugin, app of thema die binnen een platform draait dat je hebt vastgelegd.
• Gebouwd op deze technologie; controleer de geïnstalleerde release: een afhankelijkheid die met het platform wordt meegeleverd.
• Kan dit onderdeel gebruiken; controleer de configuratie: een optioneel onderdeel dat vaak voorkomt maar niet gegarandeerd is.

Het voorstel vertelt ook of dat onderdeel al is vastgelegd voor dezelfde verbinding, elders in het project, of helemaal niet. Elk voorstel heeft een eigen knop, zoals MySQL toevoegen, die het formulier opent met de familie al gekozen. Bekijk de technologiecatalogus opent de volledige lijst van 184 families, met Waarschijnlijk in je stack gemarkeerd.

​

Waarschuwingsgeschiedenis en de mail

Recente beoordeelde waarschuwingen toont je laatste 20 goedgekeurde waarschuwingsmails die de mailprovider heeft geaccepteerd. Acceptatie door de provider bevestigt niet dat de mail in je inbox is beland, dus kijk in je spammap als je er een verwacht en hij ontbreekt. Een waarschuwingsmail:

• Heeft een onderwerp dat begint met “Security watchtower:”.
• Begint met de opmerking dat dit niet betekent dat je webshop is gehackt, omdat het gaat om een bekende kwetsbaarheid in een versie die je draait, niet om een inbraak.
• Bevat dezelfde secties Wat het is, Wat er kan gebeuren en Wat je kunt doen als de kaart op deze pagina, en vermeldt waar dat geldt dat de kwetsbaarheid volgens CISA actief wordt misbruikt.
• Heeft een knop Lees de originele melding en een afmeldlink per project, die hetzelfde doet als de schakelaar hierboven uitzetten.

Elke geaccepteerde waarschuwing verschijnt ook als belmelding in de app als het meldingstype Security watchtower aanstaat.

​

Wat het niet is

Security watchtower is een vroegtijdige waarschuwingsdienst. Het is geen penetratietest, het scant je webshop niet op inbraken en het installeert geen patches. Een waarschuwing wijst een bekende kwetsbaarheid aan in een geverifieerde versie; je team blijft verantwoordelijk voor het beoordelen van het advies, het installeren van de update en het controleren van het resultaat. Kent WISEPIM je versie niet, dan gaat het niet gokken.

​

Rechten

• Projectbewerkers, beheerders en de eigenaar beheren de vastgelegde technologieën.
• Kijkers zien de pagina en de kwetsbaarheden, maar kunnen alleen hun eigen mailvoorkeur wijzigen. De pagina zegt dat ook: “Een projecteditor kan technologieën beheren. Je kunt je eigen mailvoorkeur beheren.”
• De mailschakelaar is altijd persoonlijk, welke rol je ook hebt.

​

Actie ondernemen op wat je vindt

​

Gerelateerd