Εν συντομία: Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε. Αν έχετε έκτακτη ανάγκη IT στον διακομιστή ιστού και κανένας ειδικός δεν είναι διαθέσιμος, αναθέστε μας το έργο με ένα μήνυμα: αναλαμβάνουμε από το πρώτο μήνυμα, εργαζόμαστε εξ αποστάσεως χωρίς μετακίνηση και τα καταγράφουμε όλα γραπτά, μέχρι να κλείσει και να τεκμηριωθεί το περιστατικό.
Μη διαγράψετε τίποτα και μη στήσετε τίποτα από την αρχή. Ούτε ως προετοιμασία για τον συνεργάτη. Η κατάσταση του συστήματος είναι το σημαντικότερο αποδεικτικό στοιχείο. Δηλώστε το περιστατικό και διευκρινίζουμε μαζί τις προσβάσεις και τους ρόλους.
Επηρεάζεστε; Πότε χρειάζεται συνεργάτης έκτακτης ανάγκης
Δεν είναι κάθε βλάβη περιστατικό ασφαλείας. Ένας συνεργάτης για έκτακτη ανάγκη έχει νόημα, όταν ισχύει τουλάχιστον ένα από τα παρακάτω:
- Ο διακομιστής ιστού σας συμπεριφέρεται ασυνήθιστα και κανείς στην επιχείρηση δεν μπορεί να εντοπίσει την αιτία.
- Υπάρχει υποψία για κακόβουλο κώδικα, εισβολή ή διαρροή δεδομένων.
- Ο πάροχος φιλοξενίας έχει αναστείλει την υπηρεσία ή απαιτεί καθαρισμό.
- Η έκδοση PHP σας είναι παλιά ή αδιευκρίνιστη και δεν ξέρετε αν έχουν εκμεταλλευτεί τις ευπάθειες PHP2Shell.
- Το δικό σας τμήμα πληροφορικής ή η εταιρεία που σας υποστηρίζει δεν είναι διαθέσιμα ή δεν έχουν εμπειρία με περιστατικά.
Η υποψία αρκεί. Το αν μπορείτε να προχωρήσετε μόνοι σας ή χρειάζεστε υποστήριξη μπορείτε να το σταθμίσετε με τη σελίδα Να το διορθώσετε μόνοι ή να καλέσετε συνεργάτη;.
Τι κάνετε αμέσως τώρα
- Παγώστε την κατάσταση. Καμία αλλαγή στον διακομιστή, καμία ενέργεια καθαρισμού, καμία ενημέρωση στα τυφλά.
- Καταγράψτε τις προσβάσεις. Ποιες προσβάσεις πίνακα ελέγχου, SSH, CMS και βάσης δεδομένων υπάρχουν και ποιος τις διαχειρίζεται;
- Ενημερώστε τον πάροχο φιλοξενίας. Ζητήστε του να διατηρήσει logs και snapshots. Μην αποκρύψετε τίποτα που πρέπει να γνωρίζει.
- Ορίστε τον υπεύθυνο λήψης αποφάσεων. Ποιος στην επιχείρηση εγκρίνει απενεργοποιήσεις, επανεκκινήσεις και αλλαγές κωδικών;
- Διευκρινίστε τα δεδομένα. Υπάρχουν στο σύστημα δεδομένα προσωπικού χαρακτήρα, στοιχεία πληρωμών ή επιχειρηματικά απόρρητα;
- Ενημερώστε τους εμπλεκόμενους. Τον υπεύθυνο προστασίας δεδομένων και, αν υπάρχει, τον ασφαλιστή κυβερνοκινδύνων.
- Αναθέστε το έργο σε συνεργάτη. Τηλεφωνήστε ή γράψτε μας στο WhatsApp. Αναλαμβάνουμε από το πρώτο μήνυμα.
Πώς γίνεται η ανάθεση
Μια έκτακτη ανάγκη δεν αντέχει μια μακρά συμβατική διαδικασία, αλλά δεν αντέχει ούτε κενά στην ευθύνη και στην προστασία δεδομένων. Γι' αυτό ακολουθούμε αυτή τη σειρά:
- Πρώτη συζήτηση: Ακούμε την κατάσταση και θέτουμε τις λίγες ερωτήσεις που χρειάζονται για μια πρώτη εκτίμηση.
- Συμφωνία πλαισίου: Διευκρινίζουμε μαζί ποια συστήματα μπορούμε να ελέγξουμε, ποιος αποφασίζει και πώς επικοινωνούμε.
- Ρύθμιση της προστασίας δεδομένων: Αν αποκτήσουμε πρόσβαση σε συστήματα με δεδομένα προσωπικού χαρακτήρα, συζητάμε την απαραίτητη συμφωνία για την εκτέλεση της επεξεργασίας. Τα βασικά εξηγεί η σελίδα Εκτέλεση επεξεργασίας σε πρόσβαση στον διακομιστή.
- Ρύθμιση της πρόσβασης: Μας δίνετε μόνο τα δικαιώματα που χρειάζονται για το έργο. Μετά την ολοκλήρωση οι προσβάσεις ανακαλούνται.
- Εργασία και αναφορές: Επικοινωνούμε μαζί σας με ενδιάμεσες καταστάσεις και καταγράφουμε γραπτά τα αποτελέσματα.
Πώς συγκρίνετε γενικά τους παρόχους, αναφέρεται στη σελίδα Επιλογή συνεργάτη ασφάλειας IT: 12 ερωτήσεις. Τις συμβατικές υποχρεώσεις γύρω από την ασφάλεια πραγματεύεται η σελίδα Συμβάσεις με παρόχους: σαφής ρύθμιση των υποχρεώσεων ασφάλειας.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγραφή της κατάστασης: Τι συνέβη, ποιοι διακομιστές λειτουργούν, ποιες εκδόσεις PHP και ποιος τρόπος λειτουργίας (PHP-FPM, mod_php, LiteSpeed) χρησιμοποιούνται;
- Διάσωση και κλείσιμο: Διασώζουμε logs, αρχεία και βάση δεδομένων. Στη συνέχεια αντιμετωπίζουμε την αιτία: patch, διαμόρφωση ή αποκλεισμό προσβάσεων, με επανεκκίνηση όλων των διεργασιών PHP.
- Έλεγχος και καθαρισμός: Αναζητούμε webshells, backdoors, cronjobs και ξένες προσβάσεις και τα αφαιρούμε ή ξαναχτίζουμε από καθαρές πηγές.
- Σκλήρυνση και αναφορά: Λαμβάνετε αναφορά με χρονολόγιο, ευρήματα και συστάσεις. Σε μεγαλύτερα περιστατικά περνάμε σε αντιμετώπιση περιστατικού (Incident Response).
Αν αφορά αρχικά μόνο την ευπάθεια της PHP και την απόδειξη του patch, ταιριάζει η Άμεση βοήθεια PHP2Shell για επιχειρήσεις. Αν υπάρχει κακόβουλος κώδικας, η Αφαίρεση malware είναι το σωστό σημείο εκκίνησης.
Πώς αναγνωρίζετε έναν σοβαρό συνεργάτη έκτακτης ανάγκης
Σε μια έκτακτη ανάγκη πολλοί καταφεύγουν στον πρώτο πάροχο που βρίσκουν. Τρεις ερωτήσεις βοηθούν να μπει τάξη μέσα σε λίγα λεπτά. Πρώτον: διασώζεται πρώτα και αλλάζει μετά; Όποιος «τακτοποιεί» αμέσως, εμποδίζει τη μεταγενέστερη διερεύνηση. Δεύτερον: καταγράφεται γραπτά τι βρέθηκε και τι έγινε; Χωρίς τεκμηρίωση ούτε ο ασφαλιστής ούτε ο υπεύθυνος προστασίας δεδομένων μπορούν να κάνουν κάτι με αυτά. Τρίτον: αναφέρονται τα όρια; Ένας πάροχος που δηλώνει τα πάντα εφικτά προτού δει το σύστημα, αντιμετωπίζεται με επιφύλαξη.
Ελέγξτε επίσης αν ο συνεργάτης κατανοεί τον τρόπο λειτουργίας σας. Το PHP-FPM, ο Apache με mod_php, το php-cgi, το FrankenPHP και το LiteSpeed συμπεριφέρονται διαφορετικά κατά το patching και μετά την ενημέρωση πρέπει να επανεκκινηθούν όλες οι διεργασίες, διαφορετικά η παλιά κατάσταση εξακολουθεί να εκτελείται στη μνήμη.
Τι δεν μπορεί να προσφέρει ένας συνεργάτης έκτακτης ανάγκης
Αξίζει να γνωρίζετε εκ των προτέρων τα όρια. Κανένας συνεργάτης δεν μπορεί να δημιουργήσει εκ των υστέρων logs που δεν γράφτηκαν ποτέ ή έχουν ήδη αντικατασταθεί. Όταν λείπουν ίχνη, κατονομάζουμε ανοιχτά τα κενά. Ούτε μπορεί κανείς να διαβεβαιώσει ότι ένα καθαρισμένο σύστημα δεν θα δεχτεί ποτέ ξανά επίθεση. Και η νομική συμβουλή δεν ανήκει στην ανάθεσή μας: ερωτήματα για υποχρεώσεις γνωστοποίησης, ευθύνη και ασφάλιση απευθύνονται στον υπεύθυνο προστασίας δεδομένων, στον δικηγόρο και στον ασφαλιστή, εμείς τους παρέχουμε τα τεχνικά στοιχεία.
Τι να μας στείλετε
- σύντομη περιγραφή του περιστατικού και της χρονικής στιγμής που εντοπίστηκε
- επηρεαζόμενα domains, διακομιστές και, στο μέτρο που είναι γνωστή, η έκδοση PHP
- όνομα του παρόχου φιλοξενίας και είδος συμβολαίου (shared hosting, vServer, root διακομιστής, διαχειριζόμενος διακομιστής)
- ένα υπεύθυνο πρόσωπο με εξουσία απόφασης
- υπάρχοντα αντίγραφα ασφαλείας και η κατάστασή τους
Γιατί PHP SOS
Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Μιλάτε με έναν σταθερό υπεύθυνο επικοινωνίας, εργαζόμαστε εξ αποστάσεως σε όλη τη Γερμανία και την Ευρώπη και τεκμηριώνουμε κάθε βήμα. Λέμε ανοιχτά τι είναι αποδεδειγμένο και τι όχι και δεν δίνουμε υποσχέσεις που δεν μπορεί να δώσει κανένας σοβαρός συνεργάτης. Η σειρά μας είναι πάντα η ίδια: πρώτα διάσωση, μετά αλλαγή, μετά αναφορά.
Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.
Μη ψάχνετε άλλο τον κατάλληλο συνεργάτη, ενώ το περιστατικό εξελίσσεται. Τηλεφωνήστε ή γράψτε μας στο WhatsApp, αναλαμβάνουμε από το πρώτο μήνυμα. Δηλώστε τώρα το περιστατικό.
Συχνές ερωτήσεις
Πώς αναγνωρίζω έναν καλό συνεργάτη για έκτακτη ανάγκη IT;
Διασώζει ίχνη πριν αλλάξει οτιδήποτε, διακρίνει ανοιχτά μεταξύ αποδεδειγμένου και εικαζόμενου, τεκμηριώνει κάθε βήμα και δεν υπόσχεται θαύματα. Να είστε καχύποπτοι με δηλώσεις όπως «εγγυημένα καθαρό», επειδή κανείς δεν μπορεί να το διαβεβαιώσει με σοβαρότητα.
Ποιες προσβάσεις χρειάζεται ένας συνεργάτης σε έκτακτη ανάγκη IT;
Συνήθως πρόσβαση SSH ή στον πίνακα ελέγχου του διακομιστή, πρόσβαση στο backend του CMS και στη βάση δεδομένων ή την άδειά σας να μιλήσει με τον πάροχο φιλοξενίας. Δώστε μόνο όσα χρειάζονται και καταγράψτε ποιος έλαβε πότε ποια πρόσβαση.
Χρειάζομαι σύμβαση εκτέλεσης της επεξεργασίας για την απομακρυσμένη πρόσβαση;
Αν ένας συνεργάτης αποκτά πρόσβαση σε συστήματα με δεδομένα προσωπικού χαρακτήρα, συνήθως απαιτείται ρύθμιση για την εκτέλεση της επεξεργασίας. Την εκτίμηση κάνουν ο υπεύθυνος προστασίας δεδομένων ή δικηγόροι. Το διευκρινίζουμε μαζί σας ευθύς εξαρχής.
Ποια είναι η διαφορά μεταξύ Incident Response και αφαίρεσης malware;
Η αφαίρεση malware καθαρίζει ένα προσβεβλημένο σύστημα. Το Incident Response έχει ευρύτερο πεδίο: περιλαμβάνει εικόνα της κατάστασης, περιορισμό, καθαρισμό, επικοινωνία και μεταγενέστερη διαχείριση, συχνά σε περισσότερα συστήματα.
Πρέπει να εμπλακεί ο πάροχος φιλοξενίας μου;
Συχνά ναι, για παράδειγμα για snapshots, logs ή άρση αναστολών. Συνεννοούμαστε με τον πάροχο φιλοξενίας σας, εφόσον το επιτρέψετε. Το τι μπορεί να ελεγχθεί εξαρτάται από τα δικαιώματα που θα λάβουμε.