<div dir="ltr"><div class="gmail_default">
















<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">Web Informant,
November 11, 2016: Simple steps to secure your SMB network</span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">If you run your
own small business network, chances are your security could be better. Consider
these two news stories that I posted this week on my <a href="http://inside.com/security">Inside Security newsletter</a>: <span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">ITEM #1: A group
of hackers <a href="https://securityledger.com/2016/11/lets-get-cyberphysical-ddos-attack-halts-heating-in-finland/">shut
down the heating system on a block of apartments in Finland</a> last month. The
issue was a lack of any firewall protecting the HVAC unit, which was controlled
by a computer that had a public IP address. You can bet now they have one to
protect their systems. <span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">ITEM #2: An auto
dealership CRM used by more than 100 dealers has <a href="https://mackeeper.com/blog/post/299-car-dealership-provider-leaky-crm">leaked
their customers’ and employees’ data online</a>, mainly because their backups
were all unencrypted and accessible to hackers. <span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">Many small
businesses don’t have basic security measures such as encrypted backups (let
alone any backups) or firewalls, and these news nuggets should give them pause.
I wanted to take things a step further and recently spent some time hardening
my network doing three simple tasks. All of them can be accomplished in under
an hour, if you have some basic knowledge and skills, and if you are careful at
following the various instructions and interpreting the results. Nevertheless,
it took me a lot longer: either because of my own stupidity or sunspots or
whatever.<span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">The three tasks
are to harden your WordPress installation, do a better job of scanning your
ports, and add a basic level of security to your email domain. Let’s review
what is involved. <span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><b><span style="font-family:georgia;color:rgb(26,26,26)">WordPress
hardening  </span></b><span style="font-family:georgia;color:rgb(26,26,26)"><span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">There are two
basic ways to run a WordPress blog: one is by using your own server and the
other is by using the free hosting service and having a server at
<a href="http://YourDomain.Wordpress.com">YourDomain.Wordpress.com</a>. I have used both and <a href="http://blog.strom.com/wp/?p=1091"><span style="color:rgb(0,122,204)">get into
the pros and cons here in a previous post</span></a>. Assuming you have control
over your own server, there are numerous sites that keep track
of WordPress plugins and other vulnerabilities, we will just mention
a few here:<span></span></span></p>

<p class="MsoNormal"><span style="font-family:symbol;color:rgb(26,26,26)">·<span style="font-variant-numeric:normal;font-stretch:normal;line-height:normal;font-family:"times new roman"">       </span></span><span style="font-family:georgia;color:rgb(26,26,26)"><a href="https://wpvulndb.com/"><b><span style="color:rgb(0,122,204);text-decoration:none">Securi maintains
this site</span></b></a> and they recently discuss a DDos attack on v4.5.3
and XSS and SQL injection attacks. It is always a good idea to stay current
with WordPress versions.</span><span style="font-family:symbol;color:rgb(26,26,26)"><span style="font-variant-numeric:normal;font-stretch:normal;line-height:normal;font-family:"times new roman"">   </span></span><span style="font-family:georgia;color:rgb(26,26,26)"> </span></p>

<p class="MsoNormal"><span style="font-family:symbol;color:rgb(26,26,26)">·<span style="font-variant-numeric:normal;font-stretch:normal;line-height:normal;font-family:"times new roman"">       </span></span><span style="font-family:georgia;color:rgb(26,26,26)">If you want some motivation about
making your WP site more secure, you <a href="https://premium.wpmudev.org/blog/wordpress-security-tips"><span style="color:rgb(0,122,204)">should read these suggestions</span></a> from
WPMUDEV. Some are easy to implement, others will take some time.</span></p>

<p class="MsoNormal"><span style="font-family:symbol;color:rgb(26,26,26)">·<span style="font-variant-numeric:normal;font-stretch:normal;line-height:normal;font-family:"times new roman"">       </span></span><span style="font-family:georgia;color:rgb(26,26,26)">This <u>site has a description
of a few vulnerabilities </u>with detailed information on how they are
compromised (they also have a free WP plug-in to protect your site). If you get
into tracking vulnerabilities, they also have a bug-bounty program.<span></span></span></p>

<p class="MsoNormal"><span style="font-family:symbol;color:rgb(26,26,26)">·<span style="font-variant-numeric:normal;font-stretch:normal;line-height:normal;font-family:"times new roman"">       </span></span><span style="font-family:georgia;color:rgb(26,26,26)">And <u>Network World has an
article </u>that goes into best practices about operating your WP
site. You can also review many of these on the <a href="https://codex.wordpress.org/Hardening_WordPress"><span style="color:rgb(0,122,204)">WordPress
Codex</span></a> that are more of a general security nature too.<span></span></span></p>

<p class="MsoNormal"><span style="font-family:symbol;color:rgb(26,26,26)">·<span style="font-variant-numeric:normal;font-stretch:normal;line-height:normal;font-family:"times new roman"">       </span></span><span style="font-family:georgia;color:rgb(26,26,26)">Finally, you should download
the <a href="https://www.wordfence.com/"><b><span style="color:rgb(0,122,204);text-decoration:none">Wordfence</span></b></a> plug-in and
use it to protect your server. They also have on their site details about
general security topics, including an article about how <a href="https://www.wordfence.com/blog/2016/08/hacking-wordpress-botnet/"><b><span style="color:rgb(0,122,204);text-decoration:none">WP-based botnets</span></b></a> get
started. Their plug-in is free for basic services, and you can upgrade if you
want more. I had some trouble when I first installed the plug-in and got to
inadvertently test their support team, which was excellent. When I re-installed
it, it worked fine.</span><br></p>

<p class="MsoNormal" style="margin-bottom:21pt"><b><span style="font-family:georgia;color:rgb(26,26,26)"><br></span></b></p><p class="MsoNormal" style="margin-bottom:21pt"><b><span style="font-family:georgia;color:rgb(26,26,26)">Scan your ports</span></b><br></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">For many years I
have been a big fan of <a href="https://www.grc.com/x/ne.dll?rh1dkyd2"><span style="color:rgb(0,122,204)">Steve Gibson’s Shields Up</span></a> port scanner.
It is well worth using, because it is simple, free, and will take just a moment
to look at your network router and see what open ports you have. The big limitation
is that it only scans the first 1000 ports: that was fine years ago when the
Internet was just a gleam in Al Gore’s eye, but now life has gotten more
complex. I would also suggest using <a href="http://iotscanner.bullguard.com/"><span style="color:rgb(0,122,204)">BullGuard scanner</span></a>,
which will scan more ports. When I did this on my Uverse-connected network, it
found port 7547 open. I hadn’t seen this port before and <a href="http://www.pcworld.com/article/2861232/vulnerability-in-embedded-web-server-exposes-millions-of-routers-to-hacking.html"><span style="color:rgb(0,122,204)">found this mention on PC World</span></a>, which has to
do with the embedded webserver that is used to manage my Uverse DSL modem.
There isn’t much you can do about it, unless you want to switch to a cable ISP
connection.<span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><b><span style="font-family:georgia;color:rgb(26,26,26)">Secure your email
server</span></b><span style="font-family:georgia;color:rgb(26,26,26)"><span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">I have written
extensively on using email encryption for your day-to-day emails, but there is
another way to approach better email security and that is by adding an
automatic digital signature to each outgoing email headers using a protocol
called DKIM, which stands for Domain Keys Identified Mail. Most email hosting
providers now support this protocol, <a href="https://support.google.com/a/answer/174124"><span style="color:rgb(0,122,204)">Google’s
help page starts here</span></a> for their hosting services. DKIM is a lot
like the public/private key infrastructure that PGP and others use to encrypt
messages. You have your choice of key lengths (choose the longer and more
secure 2048-bit keys if your provider supports them).<span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">Google’s help
pages are very explicit as to the steps you need to take. You basically need to
do three tasks: first, you obtain a key from your email hosting provider. Then,
you add a DNS entry for your domain provider (which is my case is my ISP). Then
you want to take a few days and check to make sure that you did this correctly,
using <a href="http://dkimvalidator.com/"><span style="color:rgb(0,122,204)">this
verification service</span></a>.<span></span></span></p>

<p class="MsoNormal" style="margin-bottom:21pt"><span style="font-family:georgia;color:rgb(26,26,26)">Good luck with
securing your domain and servers. Feel free to share other simple tips here as
well.<span></span></span></p>

<p class="MsoNormal"><span style="font-family:times"><span>This piece has a lot of hyperlinks, you might want to read and comment on it here: </span></span></p>

<p class="MsoNormal"><span style="font-family:"helvetica neue";color:rgb(102,102,102);background-image:initial;background-position:initial;background-size:initial;background-repeat:initial;background-origin:initial;background-clip:initial;background-color:rgb(241,241,241)"> </span><span style="font-family:times"><a href="http://blog.strom.com/wp/?p=5659"><span style="font-family:"helvetica neue";color:rgb(0,115,170);background-image:initial;background-position:initial;background-size:initial;background-repeat:initial;background-origin:initial;background-clip:initial;background-color:rgb(241,241,241)">http://blog.strom.com/wp/?p=5659</span></a><span></span></span></p>

<p class="MsoNormal"> </p>

</div>
</div>