Stručně: Týká se to vás? Zavolejte nám. Pomůžeme. Pokud máte IT nouzi na webovém serveru a nemáte po ruce odborníka, objednejte nás jednou zprávou: přebíráme situaci od první zprávy, pracujeme na dálku bez cestování a vše písemně zaznamenáváme, dokud není incident uzavřen a zdokumentován.
Nyní nic nemažte a nic znovu nenasazujte. Ani jako přípravu pro dodavatele. Stav systému je nejdůležitějším důkazním prostředkem. Nahlásit nouzi a společně ujasníme přístupy a role.
Týká se to vás? Kdy je dodavatel pro nouzi potřeba
Ne každá porucha je bezpečnostní incident. Dodavatel pro nouzi má smysl, pokud platí alespoň jeden z těchto bodů:
- Váš webový server se chová nápadně a nikdo ve firmě neumí určit příčinu.
- Existuje podezření na škodlivý kód, průnik nebo uniklá data.
- Hosting zablokoval službu nebo požaduje vyčištění.
- Vaše verze PHP je stará nebo nejasná a nevíte, zda byly zranitelnosti PHP2Shell zneužity.
- Vlastní IT nebo agentura není dosažitelná nebo nemá zkušenost s incidenty.
Podezření stačí. Zda si poradíte sami, nebo potřebujete podporu, pomůže zvážit stránka Opravit sám, nebo přizvat dodavatele?.
Co udělat hned
- Zmrazit stav. Žádné změny na serveru, žádné úklidové akce, žádné aktualizace naslepo.
- Sepsat přístupy. Jaké přístupy k panelu, SSH, CMS a databázi existují a kdo je spravuje?
- Informovat hosting. Požádejte ho o uchování logů a snapshotů. Nezamlčujte nic, co potřebuje vědět.
- Určit rozhodující osobu. Kdo ve firmě schvaluje vypnutí, restarty a změnu hesel?
- Ujasnit data. Leží v systému osobní údaje, platební údaje nebo obchodní tajemství?
- Informovat zúčastněné. Pověřence pro ochranu osobních údajů a, pokud existuje, kyberpojišťovnu.
- Objednat dodavatele. Zavolejte nebo napište přes WhatsApp. Přebíráme situaci od první zprávy.
Jak probíhá objednání
Nouze nesnese dlouhý smluvní proces, ale nesnese ani mezery v odpovědnosti a ochraně osobních údajů. Proto postupujeme v tomto pořadí:
- Úvodní rozhovor: Vyslechneme situaci a položíme těch několik otázek, které jsou potřeba pro první zhodnocení.
- Dohoda o rámci: Společně ujasníme, které systémy smíme kontrolovat, kdo rozhoduje a jak si budeme vyměňovat informace.
- Úprava ochrany osobních údajů: Pokud přistupujeme k systémům s osobními údaji, probereme potřebnou dohodu o zpracování osobních údajů. Základy vysvětluje stránka Zpracování osobních údajů při přístupu na server.
- Zřízení přístupu: Dáte nám jen oprávnění nutná pro zakázku. Po skončení se přístupy opět odeberou.
- Práce a zprávy: Ozýváme se s průběžnými stavy a výsledky zaznamenáváme písemně.
Jak obecně porovnávat poskytovatele, popisuje Výběr dodavatele IT bezpečnosti: 12 otázek. Smluvními povinnostmi v oblasti bezpečnosti se zabývá Smlouvy s dodavateli: jasně upravit bezpečnostní povinnosti.
Jak PHP SOS konkrétně pomáhá?
- Zmapování situace: Co se stalo, jaké servery běží, jaké verze PHP a jaký provozní režim (PHP-FPM, mod_php, LiteSpeed) se používají?
- Zajištění a uzavření: Zajistíme logy, soubory a databázi. Poté odstraníme příčinu: záplatou, konfigurací nebo zablokováním přístupů, s restartem všech procesů PHP.
- Kontrola a vyčištění: Hledáme webshelly, zadní vrátka, cron úlohy a cizí přístupy a odstraňujeme je, nebo systém sestavíme znovu z čistých zdrojů.
- Hardening a zpráva: Dostanete zprávu s časovou osou, nálezy a doporučeními. U větších incidentů přecházíme do reakce na incidenty (Incident Response).
Pokud jde zprvu jen o zranitelnost PHP a doklad o záplatě, hodí se okamžitá pomoc při PHP2Shell pro firmy. Pokud je přítomen škodlivý kód, je správným výchozím bodem odstranění malwaru.
Podle čeho poznáte seriózního dodavatele pro nouzi
V nouzi mnozí sáhnou po prvním poskytovateli. Tři otázky pomohou udělat pořádek během minut. Za prvé: zajišťuje se nejdřív a mění až potom? Kdo hned „uklízí“, ztěžuje pozdější objasnění. Za druhé: zaznamenává se písemně, co bylo nalezeno a uděláno? Bez dokumentace s tím nemohou nic dělat ani pojišťovna, ani pověřenec pro ochranu osobních údajů. Za třetí: uvádějí se hranice? Poskytovatel, který označí vše za proveditelné dříve, než systém viděl, vyžaduje opatrnost.
Ověřte také, zda dodavatel rozumí vašemu provoznímu režimu. PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed se při záplatování chovají různě a po aktualizaci se musí restartovat všechny procesy, jinak v paměti běží dál starý stav.
Co dodavatel pro nouzi nezvládne
Vyplatí se znát hranice předem. Žádný dodavatel nemůže zpětně vytvořit logy, které se nikdy nezapisovaly nebo už byly přepsány. Pokud stopy chybí, mezery otevřeně pojmenujeme. Nikdo také nemůže zaručit, že vyčištěný systém už nikdy nebude napaden. A právní poradenství není součástí naší zakázky: otázky oznamovací povinnosti, odpovědnosti a pojištění patří pověřenci pro ochranu osobních údajů, právníkovi a pojišťovně, my jim dodáme technická fakta.
Co nám poslat
- stručný popis incidentu a okamžiku, kdy se objevil
- dotčené domény, servery a, pokud je známa, verze PHP
- název hostingu a druh smlouvy (sdílený hosting, vServer, root server, spravovaný server)
- kontaktní osobu s pravomocí rozhodovat
- existující zálohy a jejich stav
Proč PHP SOS
Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Mluvíte s pevným kontaktním bodem, pracujeme na dálku v celém Německu i v Evropě a dokumentujeme každý krok. Otevřeně říkáme, co je doloženo a co ne, a nedáváme sliby, které žádný seriózní dodavatel dát nemůže. Naše pořadí je vždy stejné: nejdřív zajistit, pak měnit, pak podat zprávu.
Týká se to vás? Zavolejte nám. Pomůžeme.
Nehledejte dál vhodného dodavatele, zatímco incident probíhá. Zavolejte nebo napište přes WhatsApp, přebíráme situaci od první zprávy. Nahlásit nouzi hned.
Časté dotazy
Podle čeho poznám dobrého dodavatele pro IT nouzi?
Zajistí stopy dříve, než cokoli změní, otevřeně odděluje doložené od domnělého, dokumentuje každý krok a neslibuje zázraky. Nedůvěřivě se stavte k výrokům jako „zaručeně vše čisté“, protože to nikdo seriózně zaručit nemůže.
Jaké přístupy potřebuje dodavatel při IT nouzi?
Zpravidla přístup přes SSH nebo panel k serveru, přístup k backendu CMS a k databázi, nebo vaše svolení jednat s hostingem. Dávejte jen to, co je nutné, a zaznamenejte, kdo kdy jaký přístup dostal.
Potřebuji pro vzdálený přístup smlouvu o zpracování osobních údajů?
Pokud dodavatel přistupuje k systémům s osobními údaji, je zpravidla nutná úprava zpracování osobních údajů. Posouzení provedou pověřenec pro ochranu osobních údajů nebo právníci. Vyjasníme to s vámi hned na začátku.
Jaký je rozdíl mezi reakcí na incidenty a odstraněním malwaru?
Odstranění malwaru čistí napadený systém. Reakce na incidenty (Incident Response) je širší: zahrnuje přehled situace, zadržení, vyčištění, komunikaci a následnou práci, často napříč více systémy.
Musí být zapojen můj hosting?
Často ano, například kvůli snapshotům, logům nebo zrušení blokací. S vaším hostingem se domlouváme, pokud nám to dovolíte. Co lze zkontrolovat, závisí na oprávněních, která dostaneme.