Magento 2-module – Beveiligingsscanner en detectie van schadelijke code

Handleiding voor de module Kowal_SecurityScan

Overzicht

De module breidt Magento 2 uit met een beveiligingsmonitoringlaag voor applicatiebestanden, geselecteerde databasetabellen, verdachte URL's en optionele incidentanalyse via OpenAI.

Rapporten worden opgeslagen in de tabel kowal_securityscan_report en kunnen per e-mail worden verzonden.

Belangrijkste functies

• scan van wijzigingen in Magento-bestanden met vergelijking met een snapshot,
• heuristische scan van bestanden php, phtml, php5, inc, phar, js, html, htm, svg, htaccess,
• analyse van PHP-tokens via token_get_all(),
• scan van geselecteerde databasetabellen op schadelijke HTML, JavaScript, SVG, data: URI's en verdachte URL's,
• integratie met Google Safe Browsing API,
• optionele OpenAI-analyse voor detecties,
• configureerbare allowlists voor domeinen, bestanden, inhoudspatronen en regels,
• rapporten met kant-en-klare suggesties voor allowlists en export van genormaliseerde JSON-configuratie.

Vereisten

• Magento 2,
• beschikbare module kowal/base,
• werkende Magento-cron,
• correct geconfigureerde e-mailverzending,
• optioneel: OpenAI API-sleutel en Google Safe Browsing API-sleutel.

Installatie

1. Pakketrepository toevoegen

Voeg de Kowal Composer-repository toe:

Toegangsgegevens voor de Composer-repository, het e-mailadres van de klant en de licentietoken, ontvangt u per e-mail na aankoop. Ze zijn ook beschikbaar in het klantenpaneel na inloggen op kowal.store. Vervang TWOJ_EMAIL_KLIENTA door het e-mailadres van uw account en TWOJ_TOKEN door de ontvangen token. Voer de commando's uit in de hoofdmap van Magento.

composer config repositories.kowal composer https://repo.kowal.store

Als de repository autorisatie vereist:

composer config http-basic.repo.kowal.store 'TWOJ_EMAIL_KLIENTA' 'TWOJ_TOKEN'

2. Pakket installeren

composer require kowal/module-securityscan

3. Module activeren

php bin/magento module:enable Kowal_SecurityScan
php bin/magento setup:upgrade
php bin/magento cache:flush

Voer in een productieomgeving de standaard Magento-deploymentstappen uit, conform uw implementatieproces.

Cron en scanschema

De module registreert een eigen cron-groep securityscan.

• kowal_securityscan_filecheck - dagelijks om 00:00,
• kowal_securityscan_malwarecheck - dagelijks om 01:00,
• kowal_securityscan_dbcheck - dagelijks om 02:00,
• kowal_securityscan_cleanup_reports - dagelijks om 02:30.

Zonder werkende Magento-cron worden automatische scans niet uitgevoerd.

Scans handmatig starten

Gebruik voor het handmatig starten van scans:

php bin/magento kowal_securityscan:filecheck
php bin/magento kowal_securityscan:malwarecheck
php bin/magento kowal_securityscan:dbcheck

Dit is de aanbevolen testmethode na installatie en na configuratiewijzigingen.

Configuratie

Configuratiepad:

Stores -> Configuration -> kowal -> kowal_security

Algemene instellingen

• Włącz moduł
• Adres e-mail do raportów
• Adres e-mail nadawcy
• Retencja raportow w dniach
• Google Safe Browsing API Key
• Allowlista domen
• Allowlista plikow
• Allowlista wzorcow bazy
• Allowlista reguł plikow
• Allowlista reguł bazy

Minimale configuratie

1. schakel de module in,
2. stel het e-mailadres van de rapportontvanger in,
3. stel het e-mailadres van de rapportafzender in,
4. controleer of Magento-e-mailverzending werkt,
5. controleer of Magento-cron werkt.

OpenAI-analyse

De sectie Analiza OpenAI maakt het mogelijk rapporten uit te breiden met risicobeoordeling en aanbevelingen voor acties.

Beschikbare velden:

• Włącz analizę AI,
• OpenAI API Key,
• Model OpenAI,
• Maksymalny kontekst dla AI.

Inschakelen

1. schakel Włącz analizę AI in,
2. vul OpenAI API Key in,
3. sla de configuratie op,
4. ververs het configuratieformulier,
5. selecteer het model.

Standaardgedrag

• standaardmodel: gpt-4.1-mini,
• standaard contextlimiet: 12000,
• waarden lager dan 2000 worden verhoogd naar 12000,
• de maximale contextlimiet is 50000.

Als OpenAI is uitgeschakeld of de sleutel ontbreekt, blijft de module werken en gebruikt deze lokale heuristieken.

Google Safe Browsing

Als u Google Safe Browsing API Key invult, zal de module:

• URL's controleren die in bestanden en database zijn gedetecteerd,
• het basisadres van de webshop controleren.

Het ontbreken van een sleutel blokkeert de basisscans niet, maar schakelt alleen deze stap uit.

Scan van bestandswijzigingen

filecheck werkt op basis van een snapshot dat wordt opgeslagen in:

var/security_scan_hashes.json

Bij de eerste uitvoering:

• wordt een snapshot gemaakt,
• is er nog geen vergelijking van wijzigingen,
• meldt het rapport dat de referentiebasis is aangemaakt.

Volgende uitvoeringen rapporteren wijzigingen van het type ADDED, MODIFIED en REMOVED.

Overgeslagen worden onder andere:

• var/,
• generated/,
• vendor/,
• pub/static/,
• node_modules/.

Malwarescan in bestanden

malwarecheck scant applicatiebestanden op basis van:

• regex-regels met rule_id,
• PHP-tokenheuristieken,
• URL-controles via Safe Browsing.

Voorbeelden van detectietypen:

• file.obfuscated_eval_chain,
• file.command_execution_from_request,
• file.encoded_payload_blob,
• file.token.decode_execute_chain,
• file.token.include_from_request,
• file.inline_svg_or_event_handler.

In rapporten worden redenen weergegeven in het formaat:

[file.encoded_payload_blob] Encoded payload blob detected

Databasescan

dbcheck analyseert geselecteerde Magento-tabellen:

• cms_block,
• cms_page,
• core_config_data,
• email_template,
• newsletter_template,
• review_detail,
• catalog_product_entity_text.

Voorbeeldregels:

• db.inline_script_tag,
• db.html_event_handler,
• db.external_iframe,
• db.javascript_uri,
• db.data_uri_executable,
• db.embedded_svg_payload,
• db.javascript_dom_redirect.

De inhoud wordt vooraf genormaliseerd via:

• html_entity_decode,
• rawurldecode,
• normalisatie van whitespace,
• analyse van meerdere varianten van dezelfde content.

Geavanceerde configuratie: allowlists

Allowlists dienen om false positives te beperken zonder de hele module uit te schakelen.

1. Allowlist voor domeinen

Veld: kowal_security/general/allowlisted_domains

Formaat:

• één domein per regel, of
• een door komma's gescheiden lijst.

cdn.example.comstatic.example.org

Effect:

• URL's van deze domeinen worden niet als verdacht behandeld,
• Safe Browsing controleert ze niet.

2. Allowlist voor bestanden

Veld: kowal_security/general/allowlisted_file_patterns

Formaat:

• relatieve paden,
• ondersteuning voor globs.

app/code/Vendor/Module/Test/*pub/media/custom.js

Effect: bestanden die met het patroon overeenkomen, worden volledig overgeslagen door de malwarescan. Deze instelling heeft een brede reikwijdte.

3. Allowlist voor databasepatronen

Veld: kowal_security/general/allowlisted_db_patterns

Formaat:

• zinnen,
• HTML- of JS-fragmenten,
• items gescheiden door een nieuwe regel of komma's.

trusted-inline-widgetdata:image/svg+xml,<svg

Effect: een databaserecord dat zo'n fragment bevat, wordt overgeslagen door de DB-scan. Ook deze instelling heeft een brede reikwijdte.

4. Allowlist voor bestandsregels

Veld: kowal_security/general/allowlisted_file_rules

Voorkeursformaat:

sciezka_lub_glob | rule_id

Voorbeeld:

app/code/Vendor/Module/* | file.encoded_payload_blobpub/media/custom.js | file.javascript_redirect_or_rewrite

Achterwaartse compatibiliteit:

• oude items op basis van het volledige regellabel blijven werken,
• nieuwe items moeten rule_id gebruiken.

Effect: alleen de aangegeven regel voor het aangegeven pad wordt gedempt, terwijl de rest van de scan voor dit bestand actief blijft.

5. Allowlist voor databaseregels

Veld: kowal_security/general/allowlisted_db_rules

Voorkeursformaat:

tabela_lub_* | rule_id

Voorbeeld:

cms_block | db.inline_script_tag* | db.fetch_or_xhr_loader

Effect: alleen de aangegeven regel wordt gedempt, terwijl de overige regels voor dit record of deze tabel actief blijven.

Rapporten

Rapporten kunnen bevatten:

• een lijst met detecties,
• risicobeoordeling,
• indicatoren en aanbevelingen,
• kandidaten voor allowlists na handmatige verificatie,
• genormaliseerde allowlist-configuratie in JSON.

Allowlist-suggesties in rapporten

De rapportsectie kan items bevatten van het type:

- cms_block | db.inline_script_tag | pewnosc=MEDIUM | zasieg=LOW- app/code/Vendor/Module/* | file.encoded_payload_blob | pewnosc=MEDIUM | zasieg=LOW- data:image/svg+xml,<svg... | pewnosc=LOW | zasieg=HIGH

Interpretatie:

• zasieg=LOW - veiligere kandidaat,
• zasieg=HIGH - brede demping, alleen na harde verificatie,
• pewnosc=MEDIUM/HIGH - beter voorspelbare kandidaat voor configuratie,
• pewnosc=LOW - vereist voorzichtigheid.

JSON-export

Het rapport bevat ook de sectie Znormalizowana konfiguracja allowlist (JSON). Dit is een kant-en-klare, gededupliceerde set waarden om over te nemen in de configuratie.

Aanbevolen gebruik

1. start na installatie alle drie scans handmatig,
2. behandel de eerste filecheck als het opbouwen van de snapshot,
3. analyseer de rapporten en bevestig welke detecties echt zijn,
4. gebruik voor false positives eerst allowlisted_file_rules en allowlisted_db_rules,
5. gebruik pas wanneer nodig allowlisted_domains, allowlisted_file_patterns en allowlisted_db_patterns,
6. start na een configuratiewijziging opnieuw de juiste CLI-scan en controleer het resultaat.

Operationele opmerkingen

• filecheck rapporteert bij de eerste uitvoering nog geen wijzigingen als incident,
• de module werkt zonder OpenAI en zonder Safe Browsing, maar met minder analysediepte,
• allowlisted_file_patterns en allowlisted_db_patterns hebben een brede impact en moeten spaarzaam worden gebruikt,
• het voorkeursformaat voor regel-allowlists is rule_id, niet het volledige tekstlabel.