За последние пару лет заметил, что классические подходы к безопасности веб-сайтов стали давать сбой. Не хватает просто обновить CMS и поставить модуль защиты — большинство уязвимостей появляются из-за кривого кода и неправильно настроенного сервера. Сейчас лично для себя сделал несколько выводов:
1) Автоматические сканеры багов — полезны, но не заменяют ручную проверку. Многие «дыры» они либо пропускают, либо выдают кучу заведомо ложных тревог.
2) Контроль версии библиотек и зависимостей — обязательное правило. Даже если патчи выходят редко, ставить их нужно сразу.
3) Веб-фаерволы стали не просто дополнением, а необходимостью, но не все умеют грамотно их настроить. Без правильных правил толку мало.
4) Логи и мониторинг — не просто формальность, а реальные инструменты для понимания, кто и что пытается провернуть на сайте.
5) Если проект с API, всегда надо думать о лимитах запросов, авторизации и базовой защите на каждом уровне.

Короче, сейчас безопасность — это комплекс из постоянного контроля, апдейтов и грамотной настройки, а не просто разовое исправление багов. Кто еще сталкивался с тем, что даже после полного апдейта появляются новые «дырки», и как вы с этим боретесь?