Existem muitas práticas que podem elevar o nível de segurança de um sistema. Estarei listando algumas mais comuns e importantes.
Força das Senhas
Uma prática bastante recomendada é recomendar/obrigar o usuário (principalmente os com acesso ao sistema de administração) a escolher uma senha com uma força razoavelmente forte, contendo letras minúsculas, maiúsculas, números e talvez até símbolos, por exemplo 3sSa.e.Minh4$3nH4
. Isso dificulta bastante na hora de quebra-la.
Faça com que Senhas expirem
A prática de expirar a senha é muito comum hoje em dia, principalmente em ambientes corporativos. Isso mantém o ambiente em constante atualização, podendo até ser possível atualizar hashs de seguranças de tempos em tempos. Por exemplo pesquisando a senha 3sSa.e.Minh4$3nH4
no site How Secure is my Password, mostra que para um computador comum quebrar essa senha pode demorar 39 quadrilhões de anos, mas digamos que o hacker possua inúmeros computadores zumbis, então esse número pode ser reduzido consideravelmente, mas se você possui uma rotina de segurança que obriga as senhas serem atualizadas de 6 em 6 meses, você estenderá o tempo de quebra da sua segurança em até um tempo infinito.
Não Criptografe apenas com md5
Utilizando o app MD5 Decrypt do site Hash Killer é possível quebrar hashs simples, com apenas números ou letras, como por exemplo 123456
, carlos12
. Por isso é incentivado utilizar no mínimo um salt na senha antes de criptografa-la.
Eu não vou ficar reescrevendo a teoria da relatividade, então aqui tem uma pergunta e resposta sobre hashs de segurança..
Evite o nome Admin
Utilizar o endereço meusite.com/admin
ou admin.meusite.com
é muito óbvio, dê preferências a nomes alternativos como mspanel
(abreviação para MeuSitePanel) ou algo do tipo, um nome fácil de ser lembrado e que não existe links de entrada, mas também que não seja tão óbvio. Também, se possível, restrinja o acesso por IP.
SSL
Se possível invista em Certificados Digitais, mas para um sistema interno você mesmo pode gerar suas chaves de segurança. Então veja o que vale mais a pena para o tipo de sistema.