Kort sagt: Er I berørt? Ring til os. Vi hjælper. I mellemstore virksomheder mangler der ofte en egen sikkerhedsafdeling, og netop til det er vi til for: Vi overtager fra den første besked på afstand førstehjælpen til jeres webservere, sikrer spor, lukker sårbarheden, renser og dokumenterer, indtil hændelsen er afsluttet.
Slet intet og opsæt intet på ny nu. Det gælder også, når driften presser på, og websitet skal køre igen. Først sikre, så reparere. Meld en nødsituation, så fortæller vi jer, hvad I uden risiko selv kan gøre.
Er I berørt? Typisk situation i mellemstore virksomheder
Den, der leder en virksomhed med 20, 200 eller 800 ansatte, har som regel et eller to mennesker til it, et bureau til websitet og en hostingudbyder til serveren. Det er normalt, men gør i en alvorlig situation huller synlige. En akut fare ligger lige for, hvis:
- Jeres website, jeres kundeportal eller jeres onlineshop kører på PHP, og ingen med sikkerhed ved, hvilken version det præcis er.
- En hostingudbyder, en kunde eller en advarsel i browseren melder om påfaldende forhold.
- Jeres administrator beretter, at filer eller konti på webserveren ikke kan forklares.
- I ikke ved, hvilke systemer der overhovedet er offentligt tilgængelige.
- Webserveren har adgang til interne systemer, databaser eller filarkiver.
At næsten alle PHP-versioner kan være berørt, nævner fagpressen som baggrund: Ifølge rapporter er versioner helt tilbage til PHP 5.4 berørt. Hvordan situationen ser ud i mellemstore virksomheder, beskriver siden It-sikkerhed for mellemstore virksomheder og industri.
Hvad I gør med det samme
- Dan en krisegruppe. Ledelse, it, eventuelt databeskyttelse: få personer, én beslutningstager.
- Saml systemerne. Hvilke servere, websites og portaler er berørt eller kunne være det? En simpel liste er nok.
- Ændr intet. Ingen oprydningsaktioner, ingen nyinstallation, ingen tilbagespilning af sikkerhedskopier.
- Få forbindelserne kontrolleret. Hænger webserveren på det interne net? Så kan et angreb på websitet berøre mere end blot websitet.
- Kontakt hostingudbyder og bureau. Bed begge om at bevare protokoller og bekræfte status og ansvarsområder. Hvordan, står under Sådan spørger I jeres hostingudbyder om patch-status.
- Sikr adgangene. Skift kun adgangskoder og nøgler efter aftale og fra rene enheder.
- Kontakt os nu. Ring til os eller skriv på WhatsApp.
Førstehjælp til webservere: Sådan går vi frem i mellemstore virksomheder
En mellemstor virksomhed har ikke råd til stilstand, men heller ikke til et ukontrolleret indgreb. Derfor arbejder vi i trin, der forstyrrer den løbende drift mindst muligt:
- Trin 1, afskærme: Vi afklarer, om de berørte servere midlertidigt skal indskrænkes. BSI (det tyske forbundsagentur for informationssikkerhed) anbefaler ved PHP2Shell at tage webservere af nettet, hvis en opdatering ikke straks er mulig.
- Trin 2, sikre: Vi sikrer logs, filer og databaser, så hændelsen forbliver dokumenterbar.
- Trin 3, afhjælpe: Rettelse eller konfiguration, genstart af alle PHP-processer, lukning af ukendte adgange.
- Trin 4, kontrollere: Vi leder på systemet og i omgivelserne efter spor og følgeskader, også på tilstødende servere.
Et afgørende punkt for beslutningstagere: En CMS-opdatering, for eksempel af WordPress, lukker ikke PHP-sårbarheden, og en rettelse fjerner ikke allerede indsmuglet skadelig kode. Den, der efter opdateringen siger »færdig«, har ikke gjort halvdelen af arbejdet.
Typiske fejl i mellemstore virksomheder i de første timer
Fra praksis kender man nogle mønstre, som øger skaden. For det første skubbes ansvaret frem og tilbage: Hostingudbyderen henviser til kunden, bureauet til hostingudbyderen, administratoren til ledelsen. Fastlæg derfor tidligt, hvem der beslutter. For det andet genoprettes der for hurtigt. At spille en gammel backup tilbage uden at lukke indgangsdøren bringer angriberen straks med tilbage. For det tredje bliver kommunikationen liggende: Medarbejdere, kunder og forretningspartnere hører om hændelsen på andenhånd.
Under Krisekommunikation efter et angreb finder I henvisninger til, hvordan det kan løses roligt. Som tommelfingerregel gælder: hellere sige lidt, men dokumenteret.
Hvordan hjælper PHP SOS konkret?
- Danne overblik over situationen: Vi afklarer sammen med jer systemerne, driftsformen (PHP-FPM, mod_php eller LiteSpeed), dataene og kontaktpersonerne. Et første overblik opstår hurtigt, også uden detaljeret kendskab.
- Sikre og lukke: Vi sikrer spor og lukker indgangsdøren uden unødigt at forstyrre jeres arbejdsgange.
- Kontrollere og rense: Webshells, bagdøre, cronjobs og fremmede konti bliver søgt og fjernet. Detaljer herom under Få malware og webshells fjernet.
- Hærde og rapportere: I får en rapport til ledelse, databeskyttelse og forsikringsselskab. På ønske opbygger vi sammen med jer forebyggelsen, for eksempel via en sikkerhedsvedligeholdelsesaftale.
Vokser hændelsen ud over én webserver, går vi over til struktureret incident response.
Bagefter: Forebyggelse uden egen sikkerhedsafdeling
Er hændelsen afsluttet, bliver spørgsmålet, hvordan I forhindrer den næste eller i det mindste opdager den tidligere. For virksomheder uden eget sikkerhedsteam er fire ting vigtigst: en aktuel oversigt over alle websites og servere, en klar kontaktperson til opdateringer, kontrollerede sikkerhedskopier og en kort it-nødplan.
Om jeres virksomhed falder ind under forpligtelserne i NIS2, er et retsspørgsmål, som vi ikke besvarer. Generelle oplysninger finder I på vores side, vurderingen foretager advokat eller databeskyttelsesrådgiver.
Hvad I bør sende til os
- en kort beskrivelse af hændelsen og tidspunktet
- en liste over websites, shops og portaler med hostingudbyder og, så vidt det er kendt, PHP-version
- navne på administrator, bureau og hostingudbyder, der kender systemet
- oplysninger om, om webserveren er forbundet med interne systemer
- oplysninger om sikkerhedskopier og om en eksisterende cyberforsikring
Hvorfor PHP SOS
Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. For jer betyder det: én kontaktperson i stedet for mange, arbejde på afstand uden transport i hele Tyskland og Europa og en dokumentation, hvormed I kan bestå over for kunder, forsikringsselskab og myndigheder. Vi skelner åbent mellem dokumenteret, sandsynligt og ukendt og lover ikke noget, som ingen kan holde.
Er I berørt? Ring til os. Vi hjælper.
I har ikke brug for en egen sikkerhedsafdeling til førstehjælpen, men for en kontaktperson, der går i gang. Vi overtager fra den første besked og bliver ved, indtil hændelsen er afsluttet og dokumenteret. Meld en nødsituation nu.
Ofte stillede spørgsmål
Hvad gør man ved et cyberangreb uden egen it-sikkerhedsafdeling?
Bevare spor, slette intet, udpege en beslutningstager og hente ekstern hjælp. En mellemstor virksomhed behøver ikke selv at kunne alt. Vi overtager den tekniske side og arbejder sammen med jeres administrator, jeres bureau eller jeres hostingudbyder.
Er små og mellemstore virksomheder overhovedet mål for angreb?
Ja. Automatiserede scanninger leder efter upatchede servere uden at tage hensyn til virksomhedens størrelse. Ved PHP2Shell talte Palo Alto Networks (Unit 42) mere end 22,6 millioner eksponerede, potentielt sårbare instanser.
Skal vores drift stå stille, hvis webserveren er blevet angrebet?
Ikke nødvendigvis. Ofte kan website og shop afskærmes, mens interne systemer kører videre. Vi afklarer først, om der er forbindelser mellem webserveren og jeres interne net.
Gælder NIS2 for os, og hvad betyder det i en hændelse?
Om jeres virksomhed falder ind under NIS2, afhænger af branche og størrelse og er et retsspørgsmål. Et overblik giver vores side om NIS2; vurderingen for jeres tilfælde hører til advokat eller databeskyttelsesrådgiver.
Hvordan forbereder vi os på den næste hændelse?
Med en oversigt over systemerne, en udpeget kontaktperson, kontrollerede backups og en kort nødplan. Vi hjælper med opbygningen, efter at den akutte hændelse er afsluttet.