Накратко: Засегнати ли сте? Обадете се. Помагаме Ви. Ако имате ИТ авария на уеб сървъра и нямате експерт под ръка, възложете ни работата с едно съобщение: поемаме от първото съобщение, работим отдалечено без пътуване и отразяваме всичко писмено, докато инцидентът бъде приключен и документиран.
Сега не трийте нищо и не инсталирайте наново. Не го правете и като подготовка за доставчика. Състоянието на системата е най-важното доказателство. Съобщете за спешен случай и ще уточним заедно достъпите и ролите.
Засегнати ли сте? Кога е нужен доставчик за спешни случаи
Не всяко смущение е инцидент със сигурността. Доставчик за спешни случаи е уместен, когато е налице поне една от тези точки:
- Вашият уеб сървър се държи необичайно и никой във фирмата не може да определи причината.
- Има подозрение за зловреден код, проникване или изтекли данни.
- Хостинг доставчикът е блокирал услугата или изисква почистване.
- Версията на PHP е стара или неизяснена и не знаете дали уязвимостите PHP2Shell са били експлоатирани.
- Собственото ИТ или агенцията не е достъпна или няма опит с инциденти.
Подозрението е достатъчно. Дали можете да се справите сами, или се нуждаете от подкрепа, може да прецените със страницата Сам да поправя или да потърся доставчик?.
Какво да направите веднага
- Замразете състоянието. Без промени по сървъра, без разчистване, без актуализации на сляпо.
- Изброийте достъпите. Какви достъпи до панела, по SSH, до CMS и до базата данни има и кой ги управлява?
- Информирайте хостинг доставчика. Помолете го да запази логовете и снимките на системата (snapshots). Не премълчавайте нищо, което той трябва да знае.
- Определете вземащия решения. Кой във фирмата одобрява изключвания, рестартирания и смяна на пароли?
- Изяснете данните. Има ли на системата лични данни, платежни данни или търговски тайни?
- Информирайте участниците. Длъжностното лице по защита на данните и, ако има такъв, застрахователя по киберзастраховката.
- Възложете на доставчик. Обадете се или пишете по WhatsApp. Поемаме от първото съобщение.
Как протича възлагането
Спешният случай не търпи дълъг договорен процес, но не търпи и пропуски в отговорността и защитата на данните. Затова действаме в този ред:
- Първи разговор: Изслушваме положението и задаваме малкото въпроси, нужни за първа оценка.
- Съгласуване на рамката: Изясняваме заедно кои системи можем да проверяваме, кой решава и как комуникираме.
- Уреждане на защитата на данните: Ако имаме достъп до системи с лични данни, обсъждаме необходимото споразумение за обработване на данни по поръчка. Основите обяснява страницата Обработване на данни по поръчка при достъп до сървър.
- Настройване на достъпа: Давате ни само правата, нужни за поръчката. След приключването достъпите се отнемат отново.
- Работа и доклади: Обаждаме се с междинни състояния и отразяваме резултатите писмено.
Как по принцип да сравнявате доставчици, е описано в Избор на доставчик на ИТ сигурност: 12 въпроса. Договорните задължения във връзка със сигурността разглежда Договори с доставчици: ясно уреждане на задълженията за сигурност.
Как конкретно помага PHP SOS?
- Преглед на положението: Какво се е случило, кои сървъри работят, какви версии на PHP и какъв режим на работа (PHP-FPM, mod_php, LiteSpeed) се използват?
- Запазване и затваряне: Запазваме логовете, файловете и базата данни. След това отстраняваме причината: пач, конфигурация или блокиране на достъпи, с рестартиране на всички PHP процеси.
- Проверка и почистване: Търсим уеб шелове, задни вратички, cron задачи и чужди достъпи и ги премахваме или изграждаме наново от чисти източници.
- Заздравяване и отчет: Получавате доклад с времева линия, находки и препоръки. При по-големи инциденти преминаваме към реагиране при инциденти (Incident Response).
Ако засега става въпрос само за уязвимостта в PHP и доказателството за пача, подхожда Спешната помощ при PHP2Shell за фирми. Ако има зловреден код, правилната отправна точка е Премахването на зловреден софтуер.
По какво познавате сериозен доставчик за спешни случаи
При авария мнозина посягат към първия попаднал доставчик. Три въпроса помагат за минути да се въведе ред. Първо: запазва ли се първо и променя ли се едва след това? Който веднага „разчиства“, затруднява по-късното изясняване. Второ: записва ли се писмено какво е намерено и какво е направено? Без документация нито застрахователят, нито длъжностното лице по защита на данните могат да направят нещо с това. Трето: назовават ли се ограничения? С доставчик, който обявява всичко за осъществимо, преди да е видял системата, трябва да се внимава.
Проверете и дали доставчикът разбира Вашия режим на работа. PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed се държат различно при пачването, а след актуализацията всички процеси трябва да се рестартират, иначе старото състояние продължава да работи в паметта.
Какво не може да постигне един доставчик за спешни случаи
Струва си ограниченията да се знаят предварително. Никой доставчик не може със задна дата да възстанови логове, които никога не са били записани или вече са презаписани. При липсващи следи ние назоваваме пропуските открито. Никой не може да гарантира и че почистена система никога повече няма да бъде атакувана. А правните консултации не са част от нашата поръчка: въпросите за задължения за уведомяване, отговорност и застраховка се отправят към длъжностното лице по защита на данните, адвоката и застрахователя, като ние им предоставяме техническите факти.
Какво да ни изпратите
- кратко описание на инцидента и на момента, в който е забелязан
- засегнати домейни, сървъри и, доколкото е известна, версията на PHP
- име на хостинг доставчика и вид на договора (споделен хостинг, vServer, root сървър, управляван сървър)
- лице за контакт с право на решение
- налични резервни копия и тяхното състояние
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Говорите с постоянен партньор за контакт, работим отдалечено в цяла Германия и Европа и документираме всяка стъпка. Казваме открито какво е доказано и какво не и не даваме обещания, които никой сериозен доставчик не може да даде. Нашият ред е винаги един и същ: първо запазване, после промяна, после доклад.
Засегнати ли сте? Обадете се. Помагаме Ви.
Не търсете повече подходящия доставчик, докато инцидентът тече. Обадете се или пишете по WhatsApp, поемаме от първото съобщение. Съобщете за спешен случай сега.
Често задавани въпроси
По какво познавам добър доставчик за спешни ИТ случаи?
Той запазва следите, преди да промени нещо, открито разграничава доказаното от предполагаемото, документира всяка стъпка и не обещава чудеса. Бъдете подозрителни към твърдения като „гарантирано напълно чисто“, защото никой не може да го гарантира сериозно.
Какви достъпи са нужни на доставчика при ИТ авария?
По правило достъп по SSH или през панела до сървъра, достъп до административната част на CMS и до базата данни или Вашето разрешение да разговаряме с хостинг доставчика. Давайте само необходимото и записвайте кой кога какъв достъп е получил.
Нужен ли ми е договор за обработване на данни за отдалечения достъп?
Ако доставчик има достъп до системи с лични данни, обикновено е необходима уредба за обработване на данни по поръчка. Оценката правят длъжностното лице по защита на данните или адвокати. Изясняваме го с Вас още в началото.
Каква е разликата между Incident Response и премахване на зловреден софтуер?
Премахването на зловреден софтуер почиства една заразена система. Incident Response е с по-широк обхват: включва картина на положението, ограничаване, почистване, комуникация и последваща работа, често за няколко системи.
Трябва ли да се включи моят хостинг доставчик?
Често да, например за снимки на системата (snapshots), логове или отмяна на блокирания. Съгласуваме се с Вашия хостинг доставчик, ако го разрешите. Какво може да се провери, зависи от правата, които получим.