Lühidalt: Kui teie agentuuri mitu kliendisaiti on mõjutatud, ei ole see harva juhus, vaid tavaliselt ühine server, jagatud ligipääs või sama PHP versioon. Kui see puudutab teid, andke kohe teada. Anname teile ülevaate, tõkestame juhtumi kaugteel, puhastame süsteemid ja esitame aruanded teie klientidele.
Ärge praegu midagi kustutage ega installige uuesti. Ka siis, kui klientide surve on suur: ilma kindlustatud logide ja failideta ei saa selgitada põhjust ega tõendada, mis ei olnud mõjutatud. Teatage hädaolukorrast ja võtame töö üle esimesest sõnumist.
Kas see puudutab teid? Märgid, kui kliendisaidid on häkitud
Agentuurina näete mustreid, mida üksikhaldurid kunagi ei märka. Ühisele juhtumile viitavad:
- Mitmel kliendisaidil ilmnevad samal ajal samad sümptomid: ümbersuunamised, rämpssisu, brauseri hoiatused.
- Sama tundmatu administraatorikonto või sama kahtlane fail ilmub erinevatel klientidel.
- Majutaja teatab väärkasutusest või silmatorkavast koormusest kontol, millel asub palju projekte.
- Kliendid helistavad, sest nende saidi kohta antakse Google'is hoiatus, ja vastukontrollil leiate veel saite samas seisus.
- Arendajal või endisel töötajal oli ligipääs paljudele projektidele ja üks ligipääs on lekkinud.
- Hooldustööd keskse tööriista kaudu, näiteks juurutus, varukoopiad või uuendusteenus, on muutnud saiti, mida te pole puutunud.
- Hoolitsete paljude saitide eest PHP versioonidel, mille paigatud seisu te iga ühe kohta tõendada ei saa.
Alates PHP2Shellist lisandub, et turvaauk asub PHP interpretaatoris endas. CMS-i uuendus, näiteks WordPressi oma, ei sulge seda; otsustav on PHP käituskeskkond, mis tegelikult sisu edastab.
Mida teha kohe
- Loetlege mõjutatud saidid: domeen, server, majutuskonto, PHP versioon, CMS, vastutajad. Ka kahtlusjuhtumid kuuluvad siia.
- Otsige ühisjooni: Sama server? Samad ligipääsud? Sama pistikprogramm? Sama juurutustee?
- Eraldage ohustatud saidid: Aktiivselt kahjulikku koodi edastavad saidid pange hooldusrežiimi. Ärge kustutage.
- Laske logid ja seis kindlustada: Paluge majutajal protokolle säilitada; kindlustage oma juurutusprotokollid.
- Kontrollige keskseid ligipääse: Kellel on ligipääs majutuse haldusliidesele, SSH-le, Gitile, paroolihaldurile ja juurutusele? Muudatused alles pärast kokkulepet.
- Teavitage kliente tagasihoidlikult: Kõigepealt ainult seda, mis on tõendatud. Ärge nimetage põhjust, enne kui see on selge.
- Võtke meiega ühendust: Helistage või kirjutage WhatsAppis.
Kuidas PHP SOS konkreetselt aitab?
- Olukorra kaardistamine: Saame teiega ülevaate kõigist saitidest ja serveritest ning järjestame need kiireloomulisuse järgi: aktiivselt edastatav kahjulik kood, kahtlus andmete lekkimises, tõenäoliselt ainult paigata.
- Kindlustamine ja sulgemine: Kindlustame iga mõjutatud süsteemi, enne kui midagi muudetakse, ja sulgeme ühise sisenemisukse: ligipääsud, PHP seis, kõigi protsesside taaskäivitus.
- Kontroll ja puhastamine: Otsime süstemaatiliselt kõigil saitidel samu jälgi, eemaldame veebishelle ja tagauksi ning taastame puhtalt. Üksikasjad teemal Pahavara ja veebishellide eemaldamine.
- Karastamine ja aruandlus: Eraldame saidid üksteisest, kus see on mõistlik, ning esitame kliendi kohta lühiaruande, mille saate edasi anda, ja koondaruande teile.
Töötame kaugteel, ilma kohale sõitmata, kogu Saksamaal ja Euroopas. Soovi korral tagaplaanil teie agentuuri jaoks, nagu kirjeldab leht Agentuurid ja white label.
Miks agentuuridel kukub sageli korraga palju saite
Kes haldab palju projekte ühes serveris, säästab kulusid, kuid vahetab isolatsiooni mugavuse vastu. Kui kõik töötab sama kasutaja ja sama PHP protsessipooli all, saab häkitud saidi kood naabrite faile lugeda ja muuta. See ei ole eksootiline juhtum, vaid paljudes seadistustes tavaline. Kuidas poole puhtalt eraldada, kirjeldab PHP-FPM-poolide isoleerimine.
Lisanduvad jagatud ligipääsud: üks SSH-võti kõigile projektidele, üks majutuskonto kõigi domeenidega, samad paroolid testi- ja tootmiskeskkonnale. Siin kehtib vähimate õiguste põhimõte. Rohkem teemal Veebiserveri kasutaja õigused.
Ka tarneahel loeb: pistikprogrammid, teemad ja teegid tulevad kolmandatelt, majutaja vastutab platvormi eest, agentuur töö eest. Kus need piirid kulgevad ja kus tekivad lüngad, käsitleb Agentuuri ja majutaja tarneahel.
Inventar, PHP versioonid ja suhtlus klientidega
Kõige sagedasem probleem sellistes olukordades on ülevaate puudumine: milline sait töötab millises serveris millise PHP versiooniga ja kes vastutab? Ilma selle loendita ei saa öelda, keda paik puudutab ja keda mitte. Kuidas sellist registrit üles ehitada, näitab Veebisaitide ja serverite inventar. Kui paralleelselt töötab mitu PHP versiooni, aitab lisaks Mitu PHP versiooni ühes serveris.
Klientide ees loeb selgus. Te ei pea kõike teadma, kuid midagi ei tohi ilustada: mis on tõendatud, mida alles kontrollitakse, mida te järgmisena teete? Sõnastusabi leiate lehelt Klientide teavitamine pärast juhtumit. Kui isikuandmed on mõjutatud, võivad rolli mängida IKÜM art 33 teavituskohustused. See on üldine teave; hinnang kuulub andmekaitsespetsialistile ja advokaadile. Kui juhtum kasvab üle üksikute saitide, läheme üle struktureeritud intsidendile reageerimisele (Incident Response).
Mida peaksite meile saatma
- mõjutatud ja tõenäoliselt mõjutatud domeenide loend
- andmed serveri ja majutuse kohta iga projekti puhul, kui teada
- PHP versioonid ja kasutatavad CMS-id või poed
- ligipääsud, mida saate meile anda, ja rollid meeskonnas
- viited sellele, mida viimati muudeti või juurutati
- otsuste ning klientidega suhtlemise kontaktisiku nimi
Miks PHP SOS
Töötame Saksamaal tehtud (Made in Germany) lahendustega ja oleme koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Teil on üks kontaktisik kõigi mõjutatud projektide jaoks, töötame kaugteel ja dokumenteerime süsteemide kaupa, mis leiti ja mis tehti. Me ei luba imesid. Mida ei saa tõendada, nimetame teadmata, et te ei ütleks oma klientidele rohkem, kui teate.
Kas see puudutab teid? Helistage. Me aitame.
Kui mitu teie kliendisaiti on silmatorkavad, on ajasurve kahekordne: tehniliselt ja suhtes klientidega. Andke kohe teada: helistage või kirjutage WhatsAppis. Võtame töö üle esimesest sõnumist ja jääme juurde, kuni juhtum on lõpetatud ja dokumenteeritud. Teatage nüüd hädaolukorrast
Korduma kippuvad küsimused
Miks on sageli korraga mõjutatud mitu kliendisaiti?
Sageli jagavad saidid sama serverit, majutuskontot, sama PHP protsessi või samu ligipääsuandmeid. Kui ründaja pääseb ühes kohas sisse, saab ta liikuda külgsuunas. Haavatav PHP mõjutab lisaks kõiki saite, mis seda kasutavad.
Kas peaksin kliente kohe teavitama?
See sõltub olukorrast ja lepingust. Selgitage kõigepealt, millised saidid on tegelikult mõjutatud, et te ei teavitaks oletustega. Isikuandmete korral on teavituskohustused võimalikud; hinnang kuulub andmekaitsespetsialistile või advokaadile.
Kes vastutab, kui kliendi sait on häkitud?
See sõltub teie lepingutest, hoolduse ulatusest ja sündmuste käigust. Õigusnõu me selle kohta ei anna. Korralik aruanne põhjuse ja meetmete kohta aitab seda selgitada.
Kas te saate töötada meie nime all, ilma et lõppklient meid näeks?
Soovi korral töötame teie agentuuri jaoks tagaplaanil ja anname aruanded, mille saate oma klientidele edasi anda. Üksikasjad arutame eelnevalt läbi.
Kas piisab kliendisaitide eraldi puhastamisest?
Tavaliselt mitte. Kui põhjus on ühises serveris, jagatud ligipääsus või paigata PHP versioonis, ilmnevad probleemid pärast üksikpuhastust uuesti. Põhjus tuleb koos kõrvaldada.