Εν συντομία: Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε. Στις μεσαίες επιχειρήσεις λείπει συχνά δικό τους τμήμα ασφάλειας και γι' αυτό ακριβώς είμαστε εδώ: αναλαμβάνουμε εξ αποστάσεως, από το πρώτο μήνυμα, τις πρώτες βοήθειες για τους διακομιστές ιστού σας, διασώζουμε ίχνη, κλείνουμε την ευπάθεια, καθαρίζουμε και τεκμηριώνουμε, μέχρι να κλείσει το περιστατικό.
Μη διαγράψετε τίποτα και μη στήσετε τίποτα από την αρχή. Αυτό ισχύει και όταν η λειτουργία πιέζει και η σελίδα πρέπει να λειτουργήσει ξανά. Πρώτα διάσωση, μετά επισκευή. Δηλώστε το περιστατικό και θα σας πούμε τι μπορείτε να κάνετε μόνοι σας χωρίς κίνδυνο.
Επηρεάζεστε; Τυπική κατάσταση σε μεσαίες επιχειρήσεις
Όποιος διευθύνει μια επιχείρηση με 20, 200 ή 800 εργαζομένους, έχει συνήθως έναν ή δύο ανθρώπους για την πληροφορική, μια εταιρεία υποστήριξης για τον ιστότοπο και έναν πάροχο φιλοξενίας για τον διακομιστή. Αυτό είναι φυσιολογικό, αναδεικνύει όμως κενά σε περίπτωση έκτακτης ανάγκης. Μια οξεία διακινδύνευση είναι πιθανή, όταν:
- Ο ιστότοπος, η πύλη πελατών ή το e-shop σας εκτελείται σε PHP και κανείς δεν γνωρίζει με βεβαιότητα ποια ακριβώς έκδοση.
- Ένας πάροχος φιλοξενίας, ένας πελάτης ή μια προειδοποίηση του προγράμματος περιήγησης αναφέρει ανωμαλίες.
- Ο διαχειριστής σας αναφέρει ότι αρχεία ή λογαριασμοί στον διακομιστή ιστού δεν εξηγούνται.
- Δεν γνωρίζετε ποια συστήματα είναι εν γένει δημόσια προσβάσιμα.
- Ο διακομιστής ιστού έχει πρόσβαση σε εσωτερικά συστήματα, βάσεις δεδομένων ή αποθηκευτικούς χώρους αρχείων.
Ότι σχεδόν όλες οι εκδόσεις PHP μπορεί να επηρεάζονται, το αναφέρει ο εξειδικευμένος Τύπος ως υπόβαθρο: σύμφωνα με αναφορές επηρεάζονται εκδόσεις έως και την PHP 5.4. Πώς είναι η κατάσταση στις μεσαίες επιχειρήσεις, περιγράφει η σελίδα Ασφάλεια IT για μεσαίες επιχειρήσεις και βιομηχανία.
Τι κάνετε αμέσως τώρα
- Σχηματίστε ομάδα κρίσης. Διοίκηση, πληροφορική, ενδεχομένως προστασία δεδομένων: λίγα πρόσωπα, ένας υπεύθυνος απόφασης.
- Συγκεντρώστε τα συστήματα. Ποιοι διακομιστές, ιστότοποι και πύλες επηρεάζονται ή θα μπορούσαν να επηρεάζονται; Αρκεί μια απλή λίστα.
- Μην αλλάξετε τίποτα. Καμία ενέργεια καθαρισμού, καμία νέα εγκατάσταση, καμία επαναφορά αντιγράφων ασφαλείας.
- Ζητήστε έλεγχο των συνδέσεων. Είναι ο διακομιστής ιστού συνδεδεμένος με το εσωτερικό δίκτυο; Τότε μια επίθεση στον ιστότοπο μπορεί να αφορά περισσότερα από τον ιστότοπο.
- Απευθυνθείτε στον πάροχο φιλοξενίας και την εταιρεία υποστήριξης. Ζητήστε και από τους δύο να διατηρήσουν τα αρχεία καταγραφής και να επιβεβαιώσουν την κατάσταση και τις αρμοδιότητες. Πώς, αναφέρεται στη σελίδα Πώς ρωτάτε τον πάροχο φιλοξενίας για το επίπεδο patch.
- Ασφαλίστε τις προσβάσεις. Κωδικούς και κλειδιά αλλάξτε τους μόνο μετά από συνεννόηση και από καθαρές συσκευές.
- Επικοινωνήστε τώρα. Τηλεφωνήστε ή γράψτε μας στο WhatsApp.
Πρώτες βοήθειες για διακομιστές ιστού: πώς ενεργούμε σε μεσαίες επιχειρήσεις
Μια μεσαία επιχείρηση δεν αντέχει στάση, αλλά ούτε και μια ανεξέλεγκτη επέμβαση. Γι' αυτό εργαζόμαστε σε στάδια που διαταράσσουν όσο το δυνατόν λιγότερο την τρέχουσα λειτουργία:
- Στάδιο 1, απομόνωση: Διευκρινίζουμε αν οι επηρεαζόμενοι διακομιστές πρέπει να περιοριστούν προσωρινά. Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά στο PHP2Shell να τίθενται οι διακομιστές ιστού εκτός δικτύου, όταν η ενημέρωση δεν είναι άμεσα δυνατή.
- Στάδιο 2, διάσωση: Διασώζουμε logs, αρχεία και βάσεις δεδομένων, ώστε το περιστατικό να παραμείνει τεκμηριώσιμο.
- Στάδιο 3, αποκατάσταση: Patch ή διαμόρφωση, επανεκκίνηση όλων των διεργασιών PHP, κλείσιμο άγνωστων προσβάσεων.
- Στάδιο 4, έλεγχος: Αναζητούμε στο σύστημα και στο περιβάλλον ίχνη και επακόλουθες ζημιές, και σε γειτονικούς διακομιστές.
Ένα καθοριστικό σημείο για όσους αποφασίζουν: μια ενημέρωση CMS, για παράδειγμα του WordPress, δεν κλείνει την ευπάθεια της PHP, και ένα patch δεν αφαιρεί κακόβουλο κώδικα που έχει ήδη εισαχθεί. Όποιος λέει «τελείωσα» μετά την ενημέρωση, δεν έχει κάνει το μισό της δουλειάς.
Τυπικά λάθη σε μεσαίες επιχειρήσεις τις πρώτες ώρες
Από την πράξη είναι γνωστά ορισμένα μοτίβα που μεγεθύνουν τη ζημιά. Πρώτον, η ευθύνη μεταφέρεται από τον έναν στον άλλον: ο πάροχος φιλοξενίας παραπέμπει στον πελάτη, η εταιρεία υποστήριξης στον πάροχο, ο διαχειριστής στη διοίκηση. Ορίστε γι' αυτό νωρίς ποιος αποφασίζει. Δεύτερον, η επαναφορά γίνεται πολύ γρήγορα. Η επαναφορά ενός παλιού αντιγράφου ασφαλείας χωρίς να κλείσει η πόρτα εισόδου φέρνει μαζί πίσω και τον επιτιθέμενο. Τρίτον, μένει στάσιμη η επικοινωνία: εργαζόμενοι, πελάτες και επιχειρηματικοί εταίροι μαθαίνουν για το περιστατικό από δεύτερο χέρι.
Στη σελίδα Επικοινωνία κρίσης μετά από επίθεση θα βρείτε υποδείξεις για το πώς λύνεται αυτό με ηρεμία. Ως γενικός κανόνας ισχύει: καλύτερα να λέτε λίγα, αλλά τεκμηριωμένα.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγραφή της κατάστασης: Διευκρινίζουμε μαζί σας τα συστήματα, τον τρόπο λειτουργίας (PHP-FPM, mod_php ή LiteSpeed), τα δεδομένα και τους υπεύθυνους επικοινωνίας. Μια πρώτη εικόνα σχηματίζεται γρήγορα, ακόμη και χωρίς λεπτομερείς γνώσεις.
- Διάσωση και κλείσιμο: Διασώζουμε ίχνη και κλείνουμε την πόρτα εισόδου, χωρίς να διαταράσσουμε άσκοπα τις διαδικασίες σας.
- Έλεγχος και καθαρισμός: Webshells, backdoors, cronjobs και ξένοι λογαριασμοί αναζητούνται και αφαιρούνται. Λεπτομέρειες στη σελίδα Αφαίρεση malware και webshells.
- Σκλήρυνση και αναφορά: Λαμβάνετε αναφορά για τη διοίκηση, την προστασία δεδομένων και τον ασφαλιστή. Αν το επιθυμείτε, χτίζουμε μαζί σας την πρόληψη, για παράδειγμα μέσω ενός συμβολαίου συντήρησης ασφάλειας.
Αν το περιστατικό ξεπεράσει έναν διακομιστή ιστού, περνάμε σε δομημένη αντιμετώπιση περιστατικού (Incident Response).
Μετά: πρόληψη χωρίς δικό σας τμήμα ασφάλειας
Όταν το περιστατικό ολοκληρωθεί, μένει το ερώτημα πώς θα αποτρέψετε το επόμενο ή τουλάχιστον θα το εντοπίσετε νωρίτερα. Για επιχειρήσεις χωρίς δική τους ομάδα ασφάλειας, τέσσερα πράγματα είναι τα σημαντικότερα: μια επικαιροποιημένη απογραφή όλων των ιστότοπων και διακομιστών, ένας σαφής υπεύθυνος επικοινωνίας για ενημερώσεις, ελεγμένα αντίγραφα ασφαλείας και ένα σύντομο σχέδιο έκτακτης ανάγκης IT.
Το αν η επιχείρησή σας εμπίπτει στις υποχρεώσεις του NIS2 είναι νομικό ζήτημα που δεν απαντάμε. Γενικές πληροφορίες θα βρείτε στη σελίδα μας, την ένταξη την κάνει ο δικηγόρος ή ο υπεύθυνος προστασίας δεδομένων.
Τι να μας στείλετε
- μια σύντομη περιγραφή του περιστατικού και της χρονικής στιγμής
- μια λίστα των ιστότοπων, καταστημάτων και πυλών με πάροχο φιλοξενίας και, στο μέτρο που είναι γνωστή, την έκδοση PHP
- ονόματα του διαχειριστή, της εταιρείας υποστήριξης και του παρόχου φιλοξενίας που γνωρίζουν το σύστημα
- ενδείξεις αν ο διακομιστής ιστού συνδέεται με εσωτερικά συστήματα
- στοιχεία για αντίγραφα ασφαλείας και για υπάρχουσα ασφάλιση κυβερνοκινδύνων
Γιατί PHP SOS
Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Για εσάς αυτό σημαίνει: έναν υπεύθυνο επικοινωνίας αντί για πολλούς, εργασία εξ αποστάσεως χωρίς μετακίνηση σε όλη τη Γερμανία και την Ευρώπη, και τεκμηρίωση με την οποία αντέχετε έναντι πελατών, ασφαλιστή και αρχών. Διακρίνουμε ανοιχτά μεταξύ αποδεδειγμένου, πιθανού και άγνωστου και δεν υποσχόμαστε τίποτα που δεν μπορεί να τηρήσει κανείς.
Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.
Για τις πρώτες βοήθειες δεν χρειάζεστε δικό σας τμήμα ασφάλειας, αλλά έναν υπεύθυνο επικοινωνίας που ξεκινά. Αναλαμβάνουμε από το πρώτο μήνυμα και μένουμε μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί. Δηλώστε τώρα το περιστατικό.
Συχνές ερωτήσεις
Τι κάνουμε σε μια κυβερνοεπίθεση χωρίς δικό μας τμήμα ασφάλειας IT;
Διατηρούμε τα ίχνη, δεν διαγράφουμε τίποτα, ορίζουμε υπεύθυνο λήψης αποφάσεων και ζητάμε εξωτερική βοήθεια. Μια μεσαία επιχείρηση δεν χρειάζεται να τα καταφέρνει όλα μόνη της. Αναλαμβάνουμε την τεχνική πλευρά και συνεργαζόμαστε με τον διαχειριστή, την εταιρεία υποστήριξης ή τον πάροχο φιλοξενίας σας.
Αποτελούν οι μικρές και μεσαίες επιχειρήσεις όντως στόχο επιθέσεων;
Ναι. Αυτοματοποιημένες σαρώσεις αναζητούν διακομιστές χωρίς patch, χωρίς να λαμβάνουν υπόψη το μέγεθος της εταιρείας. Στο PHP2Shell η Palo Alto Networks (Unit 42) μέτρησε περισσότερες από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις.
Πρέπει να σταματήσει η λειτουργία μας, αν δέχτηκε επίθεση ο διακομιστής ιστού;
Όχι αναγκαστικά. Συχνά ο ιστότοπος και το κατάστημα μπορούν να απομονωθούν, ενώ τα εσωτερικά συστήματα συνεχίζουν να λειτουργούν. Διευκρινίζουμε πρώτα αν υπάρχουν συνδέσεις μεταξύ του διακομιστή ιστού και του εσωτερικού δικτύου σας.
Ισχύει το NIS2 για εμάς και τι σημαίνει αυτό σε ένα περιστατικό;
Το αν η επιχείρησή σας εμπίπτει στο NIS2 εξαρτάται από τον κλάδο και το μέγεθος και είναι νομικό ζήτημα. Μια επισκόπηση δίνει η σελίδα μας για το NIS2· η ένταξη για την περίπτωσή σας ανήκει στον δικηγόρο ή στον υπεύθυνο προστασίας δεδομένων.
Πώς προετοιμαζόμαστε για το επόμενο περιστατικό;
Με απογραφή των συστημάτων, έναν ορισμένο υπεύθυνο επικοινωνίας, ελεγμένα αντίγραφα ασφαλείας και ένα σύντομο σχέδιο έκτακτης ανάγκης. Βοηθάμε στην ανάπτυξή τους, αφού ολοκληρωθεί το οξύ περιστατικό.