Lühidalt: Kas see puudutab teid? Helistage. Me aitame. Keskmise suurusega ettevõtetel puudub sageli oma turvaosakond ja just selleks me oleme: võtame esimesest sõnumist alates kaugteel üle teie veebiserverite esmaabi, kindlustame jäljed, sulgeme turvaauku, puhastame ja dokumenteerime, kuni juhtum on lõpetatud.
Ärge praegu midagi kustutage ega installige uuesti. See kehtib ka siis, kui töö kiirustab ja veebisait peaks uuesti tööle hakkama. Kõigepealt kindlustada, siis parandada. Teatage hädaolukorrast, ütleme teile, mida saate ise riskivabalt teha.
Kas see puudutab teid? Tüüpiline olukord keskmise suurusega ettevõttes
Kes juhib ettevõtet, kus on 20, 200 või 800 töötajat, omab tavaliselt ühte või kahte inimest IT jaoks, agentuuri veebisaidi jaoks ja majutajat serveri jaoks. See on tavaline, kuid teeb hädaolukorras lüngad nähtavaks. Äge ohustatus on tõenäoline, kui:
- Teie veebisait, kliendiportaal või e-pood töötab PHP peal ja keegi ei tea kindlalt, milline versioon täpselt.
- Majutaja, klient või brauseri hoiatus teatab kõrvalekalletest.
- Teie administraator teatab, et veebiserveris olevad failid või kontod on seletamatud.
- Te ei tea, millised süsteemid on üldse avalikult kättesaadavad.
- Veebiserveril on ligipääs sisesüsteemidele, andmebaasidele või failihoidlatele.
Et peaaegu kõik PHP versioonid võivad olla mõjutatud, nimetab erialaajakirjandus taustana: aruannete järgi on mõjutatud versioonid kuni PHP 5.4-ni. Kuidas on olukord keskmise suurusega ettevõtetes, kirjeldab leht IT-turvalisus keskmise suurusega ettevõtetele ja tööstusele.
Mida teha kohe
- Moodustage kriisiring. Juhtkond, IT, vajaduse korral andmekaitse: vähe inimesi, üks otsustaja.
- Koguge süsteemid kokku. Millised serverid, veebisaidid ja portaalid on mõjutatud või võivad olla? Lihtne loend piisab.
- Ärge midagi muutke. Ei mingeid koristusi, uuesti installimist ega varukoopiate taastamist.
- Laske ühendusi kontrollida. Kas veebiserver on sisevõrgus? Siis võib rünnak veebisaidile puudutada rohkemat kui ainult veebisaiti.
- Pöörduge majutaja ja agentuuri poole. Paluge mõlemal protokolle säilitada ning kinnitada seisu ja vastutusalad. Kuidas, on lehel Kuidas küsida majutajalt paigatud seisu.
- Kindlustage ligipääsud. Paroole ja võtmeid muutke ainult kokkuleppel ja puhastest seadmetest.
- Andke nüüd teada. Helistage või kirjutage WhatsAppis.
Esmaabi veebiserveritele: kuidas keskmise suurusega ettevõtetes toimime
Keskmise suurusega ettevõte ei saa endale lubada seisakut, kuid ka mitte kontrollimatut sekkumist. Seetõttu töötame etappidena, mis häirivad käimasolevat tööd võimalikult vähe:
- Etapp 1, eraldamine: Selgitame, kas mõjutatud servereid tuleb ajutiselt piirata. BSI (Saksamaa föderaalne infoturbeamet) soovitab PHP2Shelli puhul veebiserverid võrgust eemaldada, kui uuendus kohe ei ole võimalik.
- Etapp 2, kindlustamine: Kindlustame logid, failid ja andmebaasid, et juhtum jääks tõendatavaks.
- Etapp 3, kõrvaldamine: Paik või seadistus, kõigi PHP protsesside taaskäivitus, tundmatute ligipääsude sulgemine.
- Etapp 4, kontroll: Otsime süsteemist ja selle ümbrusest jälgi ja järelkahjusid, ka naaberserverites.
Otsustajatele otsustav punkt: CMS-i uuendus, näiteks WordPressi oma, PHP turvaauku ei sulge ning paik ei eemalda juba sisse toodud kahjulikku koodi. Kes ütleb pärast uuendust „valmis“, ei ole teinud pooltki tööd.
Tüüpilised vead keskmise suurusega ettevõtetes esimestel tundidel
Praktikast tunneb mõningaid mustreid, mis kahju suurendavad. Esiteks lükatakse vastutust edasi-tagasi: majutaja viitab kliendile, agentuur majutajale, administraator juhtkonnale. Määrake seetõttu varakult, kes otsustab. Teiseks taastatakse liiga kiiresti. Vana varukoopia taastamine ilma sisenemisukse sulgemata toob ründaja kohe tagasi. Kolmandaks jääb kommunikatsioon tegemata: töötajad, kliendid ja äripartnerid saavad juhtumist teada kolmandalt käelt.
Lehelt Kriisikommunikatsioon pärast rünnakut leiate viiteid, kuidas seda rahulikult lahendada. Rusikareegel: parem öelda vähe, kuid tõendatult.
Kuidas PHP SOS konkreetselt aitab?
- Olukorra kaardistamine: Selgitame teiega süsteemid, töörežiimi (PHP-FPM, mod_php või LiteSpeed), andmed ja kontaktisikud. Esimene ülevaade tekib kiiresti, ka ilma üksikasjalike teadmisteta.
- Kindlustamine ja sulgemine: Kindlustame jäljed ja sulgeme sisenemisukse, teie töökorraldust tarbetult segamata.
- Kontroll ja puhastamine: Veebishelle, tagauksi, cron-töid ja võõraid kontosid otsitakse ning eemaldatakse. Üksikasjad teemal Pahavara ja veebishellide eemaldamine.
- Karastamine ja aruandlus: Saate aruande juhtkonnale, andmekaitsele ja kindlustajale. Soovi korral ehitame koos teiega üles ennetuse, näiteks turvahoolduslepingu kaudu.
Kui juhtum kasvab üle ühe veebiserveri, läheme üle struktureeritud intsidendile reageerimisele (Incident Response).
Pärast seda: ennetus ilma oma turvaosakonnata
Kui juhtum on lõppenud, jääb küsimus, kuidas järgmist vältida või vähemalt varem märgata. Ettevõtetele ilma oma turvameeskonnata on kõige olulisemad neli asja: ajakohane kõigi veebisaitide ja serverite inventar, selge kontaktisik uuenduste jaoks, kontrollitud varukoopiad ja lühike IT-hädaolukorra plaan.
Kas teie ettevõte kuulub NIS2 kohustuste alla, on õigusküsimus, millele me ei vasta. Üldist teavet leiate meie lehelt, sisulise hinnangu annavad advokaat või andmekaitsespetsialist.
Mida peaksite meile saatma
- juhtumi ja ajapunkti lühikirjeldus
- veebisaitide, poodide ja portaalide loend koos majutaja ja, kui teada, PHP versiooniga
- süsteemi tundvate administraatori, agentuuri ja majutaja nimed
- viited sellele, kas veebiserver on ühendatud sisesüsteemidega
- andmed varukoopiate ja olemasoleva küberkindlustuse kohta
Miks PHP SOS
Töötame Saksamaal tehtud (Made in Germany) lahendustega ja oleme koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Teile tähendab see: üks kontaktisik paljude asemel, töö kaugteel ilma kohale sõitmata kogu Saksamaal ja Euroopas ning dokumentatsioon, millega saate hakkama klientide, kindlustaja ja ametiasutuste ees. Eristame avameelselt tõendatut, tõenäolist ja teadmata ning me ei luba midagi, mida keegi ei saa täita.
Kas see puudutab teid? Helistage. Me aitame.
Esmaabiks ei vaja te oma turvaosakonda, vaid kontaktisikut, kes alustab. Võtame töö üle esimesest sõnumist ja jääme juurde, kuni juhtum on lõpetatud ja dokumenteeritud. Teatage nüüd hädaolukorrast.
Korduma kippuvad küsimused
Mida teha küberrünnaku korral ilma oma IT-turvaosakonnata?
Jäljed säilitada, mitte midagi kustutada, nimetada otsustaja ja kutsuda välist abi. Keskmise suurusega ettevõte ei pea kõike ise oskama. Võtame tehnilise poole üle ja töötame koos teie administraatori, agentuuri või majutajaga.
Kas väikesed ja keskmised ettevõtted on üldse rünnakute sihtmärgiks?
Jah. Automatiseeritud skannimised otsivad paigata servereid, ettevõtte suurust arvestamata. PHP2Shelli puhul luges Palo Alto Networks (Unit 42) üle 22,6 miljoni avalikult nähtava, potentsiaalselt haavatava instantsi.
Kas meie töö peab seisma jääma, kui veebiserverit rünnati?
Mitte tingimata. Sageli saab veebisaiti ja poodi eraldada, samal ajal kui sisesüsteemid töötavad edasi. Selgitame kõigepealt, kas veebiserveri ja teie sisevõrgu vahel on ühendusi.
Kas NIS2 kehtib meie kohta ja mida see juhtumi korral tähendab?
See, kas teie ettevõte kuulub NIS2 alla, sõltub valdkonnast ja suurusest ning on õigusküsimus. Ülevaate annab meie NIS2 leht; sisuline hinnang teie juhtumile kuulub advokaadile või andmekaitsespetsialistile.
Kuidas me valmistume järgmiseks juhtumiks?
Süsteemide inventari, nimetatud kontaktisiku, kontrollitud varukoopiate ja lühikese hädaolukorra plaaniga. Aitame seda üles ehitada pärast ägeda juhtumi lõppu.