Stručně: Týká se to vás? Zavolejte nám. Pomůžeme. Ve středních firmách často chybí vlastní bezpečnostní oddělení a právě pro to tu jsme: od první zprávy přebíráme na dálku první pomoc pro vaše webové servery, zajistíme stopy, uzavřeme zranitelnost, vyčistíme a zdokumentujeme, dokud není incident uzavřen.
Nyní nic nemažte a nic znovu nenasazujte. Platí to i tehdy, když provoz tlačí a web má zase běžet. Nejdřív zajistit, pak opravit. Nahlásit nouzi, řekneme vám, co můžete bez rizika udělat sami.
Týká se to vás? Typická situace ve středních firmách
Kdo vede firmu s 20, 200 nebo 800 zaměstnanci, má většinou jednoho či dva lidi pro IT, agenturu pro web a hosting pro server. To je normální, ale v krizi to odhalí mezery. Akutní ohrožení se nabízí, pokud:
- Váš web, zákaznický portál nebo e-shop běží na PHP a nikdo přesně neví, jaká verze.
- Hosting, zákazník nebo varování v prohlížeči hlásí nápadnosti.
- Váš administrátor hlásí, že soubory nebo účty na webovém serveru nelze vysvětlit.
- Nevíte, které systémy jsou vůbec veřejně dostupné.
- Webový server má přístup k interním systémům, databázím nebo úložištím souborů.
Že mohou být zranitelné téměř všechny verze PHP, uvádí odborný tisk jako pozadí: podle zpráv jsou zasaženy verze až po PHP 5.4. Jak vypadá situace ve středních firmách, popisuje stránka IT bezpečnost pro střední podniky a průmysl.
Co udělat hned
- Sestavit krizový tým. Vedení, IT, případně ochrana osobních údajů: málo osob, jeden rozhodující.
- Sepsat systémy. Které servery, weby a portály jsou dotčeny nebo by mohly být? Stačí jednoduchý seznam.
- Nic neměnit. Žádné úklidové akce, žádná nová instalace, žádné obnovování záloh.
- Nechat zkontrolovat spojení. Je webový server připojen k interní síti? Pak může útok na web zasáhnout víc než jen web.
- Oslovit hosting a agenturu. Požádejte oba o uchování protokolů a o potvrzení stavu a odpovědností. Jak na to, najdete v článku Jak se zeptat hostingu na stav záplat.
- Zajistit přístupy. Hesla a klíče měnit jen po dohodě a z čistých zařízení.
- Ozvěte se hned. Zavolejte nebo napište přes WhatsApp.
První pomoc pro webové servery: jak postupujeme ve středních firmách
Střední firma si nemůže dovolit odstávku, ale ani nekontrolovaný zásah. Proto pracujeme ve stupních, které co nejméně ruší běžící provoz:
- Stupeň 1, odstínění: Ujasníme, zda je nutné dotčené servery dočasně omezit. Německé BSI u PHP2Shell doporučuje webové servery odpojit od sítě, pokud aktualizace není okamžitě možná.
- Stupeň 2, zajištění: Zajistíme logy, soubory a databáze, aby zůstal incident doložitelný.
- Stupeň 3, odstranění: Záplata nebo konfigurace, restart všech procesů PHP, uzavření neznámých přístupů.
- Stupeň 4, kontrola: Hledáme stopy a následné škody v systému i v jeho okolí, také na sousedních serverech.
Rozhodující bod pro vedení: aktualizace CMS, například WordPressu, zranitelnost PHP neuzavře a záplata neodstraní již vložený škodlivý kód. Kdo po aktualizaci řekne „hotovo“, neudělal polovinu práce.
Typické chyby ve středních firmách v prvních hodinách
Z praxe se znají některé vzorce, které škodu zvětšují. Za prvé se odpovědnost přehazuje: hosting odkazuje na zákazníka, agentura na hosting, administrátor na vedení. Proto včas určete, kdo rozhoduje. Za druhé se příliš rychle obnovuje. Obnovit starou zálohu bez uzavření vstupní brány přivede útočníka hned zpět. Za třetí se zanedbá komunikace: zaměstnanci, zákazníci a obchodní partneři se o incidentu dozvědí z druhé ruky.
V článku Krizová komunikace po útoku najdete vodítka, jak to řešit v klidu. Jako zásada platí: raději říct málo, ale doložitelně.
Jak PHP SOS konkrétně pomáhá?
- Zmapování situace: S vámi ujasníme systémy, provozní režim (PHP-FPM, mod_php nebo LiteSpeed), data a kontaktní osoby. První přehled vzniká rychle, i bez detailních znalostí.
- Zajištění a uzavření: Zajistíme stopy a uzavřeme vstupní bránu, aniž bychom zbytečně rušili vaše postupy.
- Kontrola a vyčištění: Webshelly, zadní vrátka, cron úlohy a cizí účty se hledají a odstraňují. Podrobnosti najdete na stránce Odstranění malwaru a webshellů.
- Hardening a zpráva: Dostanete zprávu pro vedení, ochranu osobních údajů a pojišťovnu. Na přání s vámi vybudujeme prevenci, například prostřednictvím smlouvy o bezpečnostní údržbě.
Pokud incident přesáhne jeden webový server, přecházíme do strukturované reakce na incidenty (Incident Response).
Poté: prevence bez vlastního bezpečnostního oddělení
Po uzavření incidentu zůstává otázka, jak předejít dalšímu nebo ho alespoň dříve odhalit. Pro firmy bez vlastního bezpečnostního týmu jsou nejdůležitější čtyři věci: aktuální inventář všech webů a serverů, jasná kontaktní osoba pro aktualizace, ověřené zálohy a krátký havarijní plán IT.
Zda vaše firma spadá pod povinnosti NIS2, je právní otázka, na kterou neodpovídáme. Obecné informace najdete na naší stránce, zařazení provede právník nebo pověřenec pro ochranu osobních údajů.
Co nám poslat
- stručné vylíčení incidentu a času
- seznam webů, e-shopů a portálů s hostingem a, pokud je známa, verzí PHP
- jména administrátora, agentury a hostingu, kteří systém znají
- informaci, zda je webový server propojen s interními systémy
- údaje o zálohách a o případném kyberpojištění
Proč PHP SOS
Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Pro vás to znamená: jeden kontaktní bod místo mnoha, práci na dálku bez cestování v celém Německu i v Evropě a dokumentaci, s níž obstojíte vůči zákazníkům, pojišťovně a úřadům. Otevřeně oddělujeme, co je doloženo, pravděpodobné a neznámé, a neslibujeme nic, co nikdo nemůže splnit.
Týká se to vás? Zavolejte nám. Pomůžeme.
K první pomoci nepotřebujete vlastní bezpečnostní oddělení, ale kontaktní osobu, která začne. Přebíráme situaci od první zprávy a zůstáváme u ní, dokud není incident uzavřen a zdokumentován. Nahlásit nouzi hned.
Časté dotazy
Co dělat při kybernetickém útoku bez vlastního oddělení IT bezpečnosti?
Zachovat stopy, nic nemazat, určit rozhodující osobu a vyhledat externí pomoc. Střední firma nemusí umět všechno sama. Technickou stránku přebíráme my a spolupracujeme s vaším administrátorem, agenturou nebo hostingem.
Jsou malé a střední firmy vůbec cílem útoků?
Ano. Automatizované skeny hledají nezáplatované servery bez ohledu na velikost firmy. U PHP2Shell napočítala společnost Palo Alto Networks (Unit 42) více než 22,6 milionu exponovaných, potenciálně zranitelných instancí.
Musí náš provoz stát, když byl webový server napaden?
Nutně ne. Web a e-shop lze často odstínit, zatímco interní systémy běží dál. Nejdřív ujasníme, zda existují spojení mezi webovým serverem a vaší interní sítí.
Týká se nás NIS2 a co to znamená při incidentu?
Zda vaše firma spadá pod NIS2, závisí na oboru a velikosti a je to právní otázka. Přehled podává naše stránka o NIS2; zařazení vašeho případu patří právníkovi nebo pověřenci pro ochranu osobních údajů.
Jak se připravit na další incident?
Inventářem systémů, určenou kontaktní osobou, ověřenými zálohami a krátkým havarijním plánem. S vybudováním pomůžeme poté, co bude akutní incident uzavřen.