Lühidalt: Kui teie veebisait on häkitud, on kõige olulisem küsimus „mida teha, jälgi hävitamata?“. Võtame kaugtööna enda peale piiramise, kindlustame logid ja failid, eemaldame kahjuliku koodi, sulgeme sissepääsu ja dokumenteerime kõik. Otsused jäävad teile, tehnilised faktid anname meie.
Veebisait häkitud: mida teha esimesel tunnil?
Esimesed sammud otsustavad, kas intsident saab hiljem puhtalt selgeks. Rahulikkus on olulisem kui kiirus iga hinna eest. Need punktid saate kohe ise ära teha:
- Ärge kustutage midagi: ärge eemaldage faile, ärge paigaldage vana seisu peale uuesti ega taastage varukoopiat enne, kui on kindlustatud.
- Isoleerige: viige veebisait hooldusrežiimi või võtke ajutiselt võrgust maha, kui külastajad on ohus või võivad andmed välja voolata.
- Hoidke logid alles: paluge oma veebimajutajal juurdepääsu- ja vealogisid mitte üle kirjutada. PHP2Shelli puhul soovitab erialaajakirjandus hoida serveri logisid alates 20.10.2026.
- Märkige üles ligipääsud: kellel on administraatori, FTP, SSH ja paneeli ligipääsud? Paroole muutke alles pärast kokkulepet ja puhtast seadmest.
- Teavitage osalisi: juhtkonda, andmekaitsespetsialisti ja olemasoleva poliisi korral kindlustajat.
Lähtuge sellest, et ründaja, kellel oli ligipääs veebiserverile, sai lugeda ka seadistusfailidest ligipääsuandmeid. Andmebaasi, e-posti ja API ligipääsud kuuluvad seetõttu muudetavate saladuste loendisse.
Millised märgid viitavad kompromiteerimisele, kirjeldab lehekülg Kas ma olen juba kompromiteeritud?.
Kuidas PHP SOS konkreetselt aitab?
- Olukorrapilt: Selgitame teiega, mida on täheldatud, millised süsteemid võivad olla mõjutatud ja millised andmed seal asuvad. Sellest tekib lühike hinnang järgmiste sammudega.
- Kindlustamine ja piiramine: Kindlustame failid, andmebaasi ja logid, enne kui midagi muudetakse. Seejärel piirame rünnaku, näiteks kahtlaste ligipääsude blokeerimise, nakatunud funktsioonide väljalülitamise või ajutise isoleerimise kaudu.
- Sissepääsu leidmine ja sulgemine: Kontrollime PHP versiooni ja paikamise seisu, CMS-i, laiendusi ja ligipääse. Kui sissepääs PHP2Shelli kaudu on tõenäoline, paigame ja käivitame kõik PHP protsessid uuesti.
- Puhastamine ja taastamine: Veebishellid, tagauksed ja manipuleeritud failid eemaldatakse või ehitatakse seis usaldusväärsetest allikatest uuesti üles. Üksikasjad leiate lehelt Veebishellide ja pahavara eemaldamine.
- Lõpetamine ja aruanne: Saate intsidendi dokumentatsiooni ja karastamise soovitused. Kui on vaja kohtus kasutatavat selgitamist, kaasame forensika jaoks spetsialiseerunud partnereid.
Mida te meilt saate
- intsidendi ajajoon, niivõrd kui see jälgedest tõendatav on
- leitud ja eemaldatud kahjulike komponentide loend
- tõenäolise sissepääsu kirjeldus, selgelt eristatud tõendatud, tõenäoline ja teadmata
- kõigi muudetud ligipääsude ja saladuste loend
- soovitused, mida tuleks püsivalt kaitsta
Aruanne aitab vestlustel andmekaitsespetsialisti, kindlustaja ja vajaduse korral politseiga. Õigusliku hinnangu, näiteks IKÜM-i 72-tunnise teavitamiskohustuse kohta ei asenda see spetsialistide nõustamist.
Mida me teilt vajame
- Ligipääsud: serverile (SSH või paneel), CMS-i halduskeskkonnale ja andmebaasile, teise võimalusena luba rääkida otse teie veebimajutajaga
- Kontaktisik: kättesaadav isik, kellel on otsustusõigus väljalülitamise, taaskäivituste ja paroolivahetuse üle
- Teave: alates millal probleem silma hakkab, millised muudatused viimati tehti, kellel oli ligipääs
- Varukoopiad: kus varukoopiad asuvad ja kui vanad need on
- Kontakt teenusepakkujatega: agentuur, arendaja või veebimajutaja, kes süsteemi tunnevad
Mida me ei luba
Me ei saa lubada, et iga rünnak on täielikult rekonstrueeritav. Kui logid puuduvad või on juba üle kirjutatud, jäävad lüngad ja neist räägime avameelselt. Me ei luba ka seda, et puhastatud leht jääb igaveseks turvaliseks. Töötame intsidendi kallal, kuni see on lõpetatud ja dokumenteeritud, ning ütleme teile, mida tuleb pärast seda veel teha.
Õigusnõustamist me ei paku. Küsimused teavitamiskohustuste, vastutuse või kindlustuskaitse kohta kuuluvad andmekaitsespetsialistile, advokaadile ja kindlustajale. Struktureeritud töötlemiseks pärast intsidenti aitab meie kontrollnimekiri pärast häkkimist.
Millal on vaja ulatuslikumat intsidendi käsitlemist
Mõned intsidendid ulatuvad üksikust veebisaidist kaugemale: mitu serverit, välja voolanud kliendiandmed, väljapressimine või ründaja, kes liigub võrgus edasi. Siis liigume struktureeritud intsidendile reageerimisse (Incident Response) kindlate rollide, olukorra arutelude ja kooskõlastatud kommunikatsiooniga. Ülemineku arutame teiega läbi, kui see hakkab ilmnema.
Ka väiksema intsidendi järel tasub vaadata ette. Puhastatud veebisait ilma karastamise, uuenduste ja seireta jääb ilmne sihtmärk, sest ründajad kontrollivad tuntud ohvreid sageli uuesti. Mõistlik on seetõttu pärast lõpetamist kokku leppida, kes vastutab edaspidi uuenduste, varukoopiate ja kontrolli eest. Sageli näitab intsident just seal lünka: keegi ei tundnud end vastutavana või ligipääsud olid teenusepakkujal, kes ei olnud enam kättesaadav. Need küsimused selgitame teiega läbi lõpuvestluses, et intsidendist saaks parem töökorraldus.
Korduma kippuvad küsimused
Kas peaksin häkitud veebisaidi kohe kustutama ja uuesti üles seadma?
Palun mitte kiirustades. Kes kõik kustutab, hävitab jäljed, mis näitavad, kuidas ründaja sisse pääses ja kas andmeid on välja voolanud. Parem on leht võrgust maha võtta või isoleerida ning kõigepealt kindlustada.
Millest ma tunnen ära, et mu veebisait on häkitud?
Tüüpilised märgid on võõrad ümbersuunamised, rämpsulehed Google'i registris, tundmatud administraatorikontod, uued PHP failid või hoiatused brauserilt, veebimajutajalt või Google'ilt. Ka tugevalt kasvanud serveri koormus või kahtlane väljaminev andmeliiklus võivad olla vihjed.
Kas pean häkkerirünnakust teatama?
Kui võivad olla mõjutatud isikuandmed, võib olla kohustus teavitada järelevalveasutust 72 tunni jooksul. Kas see kehtib teie puhul, selgitage palun välja oma andmekaitsespetsialisti või advokaadiga.
Kas hädaabi aitab ka siis, kui server asub veebimajutaja juures?
Jah. Töötame ligipääsuga, mis teil on, ja kooskõlastame vajaduse korral tegevuse teie veebimajutajaga. Mida me saame kontrollida, sõltub õigustest, mida te meile anda saate.