Lyhyesti: Se, onko kyse DDoS:sta vai hakkerihyökkäyksestä, näkyy jäljistä. DDoS tuottaa hyvin paljon pyyntöjä ja tekee verkkosivustosta hitaan tai tavoittamattoman, mutta ei muuta mitään. Exploit tarvitsee usein vain muutaman pyynnön ja jättää uusia tiedostoja, tilejä, prosesseja tai yhteyksiä. Oikea arvio ratkaisee, torjutteko kuormaa vai rajaatteko poikkeamaa.
Ero yksinkertaisin sanoin
DDoS-hyökkäys (Distributed Denial of Service) on kuin ihmisjoukko, joka tukkii kaupan sisäänkäynnin. Kukaan ei pääse sisään, mutta kaupasta ei varasteta mitään. Tavoitteena on ylikuormittaa verkkosivustonne tai palvelimenne, jotta oikeat asiakkaat eivät pääse läpi.
Exploit on sen sijaan murto avoimesta ovesta. Hyökkääjä käyttää heikkoutta, esimerkiksi PHP:ssä, CMS:ssä tai laajennuksessa, suorittaakseen koodia palvelimellanne. Se voi tapahtua hiljaa, ilman että verkkosivusto hidastuu. Seuraukset ulottuvat roskapostisivuista tietovarkauteen ja palvelimen haltuunottoon.
Johdolle ero on ratkaiseva: DDoS on saatavuusongelma, joka päättyy hyökkäyksen mukana. Onnistunut exploit on tietoturvapoikkeama, joka säilyy, kunnes se on löydetty, puhdistettu ja dokumentoitu.
DDoS vai hakkerihyökkäys: merkit vertailussa
Seuraava taulukko auttaa ensimmäisessä arviossa. Se ei korvaa analyysia, mutta näyttää, mihin kannattaa katsoa ensin.
| Piirre | Pikemminkin DDoS | Pikemminkin exploit tai murto |
|---|---|---|
| Tavoitettavuus | hidas tai poissa | usein normaali |
| Pyynnöt lokissa | hyvin paljon, usein tasamuotoisia | vähän, kohdennettuja pyyntöjä |
| Tiedostot | muuttumattomia | uusia tai muuttuneita PHP-tiedostoja |
| Tilit | muuttumattomia | uusia ylläpitäjiä, muutettuja salasanoja |
| Prosessit | Verkkopalvelin ja PHP täydellä kuormalla | tuntemattomia prosesseja, louhinta, roskapostin lähetys |
| Verkko | paljon saapuvaa liikennettä | epätavallisia lähteviä yhteyksiä |
| Lopun jälkeen | kaikki kuten ennen | jäljet säilyvät |
Varokaa päällekkäisyyksiä: massamainen aukon etsintä voi näyttää pieneltä DDoS:ltä. Juuri sitä oli PHP2Shellin ympärillä odotettavissa, kun hyökkääjät etsivät haavoittuvia palvelimia. Korkea kuorma voi siis tarkoittaa myös sitä, että joku yrittää parhaillaan murtautua sisään.
Palvelimen ensimmäiset tarkistukset
Seuraavat komennot eivät muuta järjestelmää ja antavat nopean yleiskuvan. Jos epäilette murtoa, varmistakaa lokit, ennen kuin teette suurempia toimenpiteitä.
# Kuorma ja käyntiaika
uptime
# Yhteydet tiivistettynä ja yleisimmät vastapuolet
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head
# Yleisimmät asiakasosoitteet pääsylokissa (muokkaa polku)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
# Viimeisten 7 päivän aikana muutetut PHP-tiedostot
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Prosessit, joilla on suurin suoritinkuorma
ps aux --sort=-%cpu | head -15
Yhteysyleiskuvassa neljäs sarake näyttää vastapuolen. Monet yhteydet harvoista osoitteista tai normaaliarvon moninkertaistuminen viittaa ylikuormitukseen. Uudet PHP-tiedostot upload- tai välimuistihakemistoissa, verkkopalvelinkäyttäjän alla toimivat vieraiden nimien prosessit tai lähtevät yhteydet tuntemattomiin kohteisiin viittaavat pikemminkin murtoon. Laajan luettelon löydätte sivulta Vaarantumisen merkit PHP2Shellin jälkeen.
Miksi korkea kuorma voi olla myös harhautus
Joskus hyökkääjät aiheuttavat ylikuormituksen murtautuessaan samalla kohdennetusti sisään. Tiimi on silloin kiireinen tavoitettavuuden kanssa, ja varsinaiset jäljet hukkuvat lokin kohinaan. Siksi pätee: vaikka DDoS olisi ilmeinen, tarkistakaa sen päätyttyä tiedostot, tilit ja lähtevät yhteydet.
PHP2Shellin kohdalla lisäksi php.netin ja tietoturvayritysten mukaan ei ole julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita. Havaitseminen perustuu käyttäytymisanalyysiin. Palvelin, joka oli korjaamaton lokakuun puolivälistä alkaneen skannausjakson aikana, pitäisi siksi tarkistaa havaitusta kuormasta riippumatta.
Toinen muunnelma ovat kiristysviestit, joissa uhataan DDoS-hyökkäyksellä, ellei makseta. Säilyttäkää tällaiset viestit, älkää maksako ilman sopimista asiantuntijoiden kanssa ja harkitkaa rikosilmoitusta Zentrale Ansprechstelle Cybercrime -yhteyspisteeseen (ZAC, Saksan poliisin kyberrikollisuuden yhteyspiste). Ilmoittakaa samalla hosting-yritykselle, jotta suojatoimet voidaan valmistella. Miten lokit analysoidaan tätä varten, kerrotaan oppaassa Verkkopalvelimen lokien analysointi hyökkäyksen jälkeen.
Mitä kannattaa tehdä ensimmäisten tuntien aikana
DDoS-epäilyssä:
- Ilmoittakaa hosting-yritykselle tai konesalille; siellä on usein suodattimia ennen palvelinta.
- Ottakaa käyttöön tai tiukentakaa edeltävä suojapalvelu tai WAF virtuaalisella korjauksella.
- Asettakaa verkkopalvelimeen Rate Limit -rajat ja suojatkaa erityisesti raskaat sivut kuten haku tai ostoskori.
- Säilyttäkää lokit, jotta hyökkäys on myöhemmin jäljitettävissä.
Murtoepäilyssä:
- Älkää poistako mitään älkääkä asentako palvelinta uudelleen, ennen kuin lokit ja koskettuneet tiedostot on varmistettu.
- Päivittäkää PHP korjattuun versioon ja käynnistäkää kaikki worker-prosessit uudelleen, jos sitä ei ole vielä tehty.
- Jos päivitys ei onnistu heti, ottakaa verkkosivusto väliaikaisesti pois verkosta, kuten BSI (Saksan liittovaltion tietoturvavirasto) suosittelee.
- Uusikaa tunnukset puhtaalta laitteelta, ei mahdollisesti vaarantuneelta palvelimelta.
- Teettäkää tarkistus siitä, voivatko henkilötiedot olla vaarantuneet; silloin ilmoitusajat voivat olla käynnissä.
Molemmissa tapauksissa auttaa lyhyt, asiallinen muistiinpano hosting-yritykselle ja palveluntarjoajille: mistä lähtien ongelma on ollut, mitkä verkkosivustot ovat kosketettuja, mitä olette havainneet ja mitä on jo muutettu. Kirjatkaa lisäksi, kuka teki minkä päätöksen. Tämä aikajana säästää aikaa analyysissa ja on myöhemmin arvokas vakuutukselle, tietosuojalle ja sisäiselle jälkikäsittelylle. Jos on epäselvää, onko hyökkäystä ylipäänsä tapahtunut, käsitelkää tilannetta varmuuden vuoksi poikkeamana, kunnes toisin osoitetaan.
Miten PHP SOS auttaa konkreettisesti?
- Arvioimme tilanteen etänä kuorman, lokien, tiedostojen ja yhteyksien perusteella ja kerromme, minkä kanssa todennäköisesti olette tekemisissä.
- Ylikuormituksessa asetamme suodattimia, Rate Limit -rajoja ja edeltäviä suojasääntöjä, kunnes hyökkäys laantuu.
- Murtoepäilyssä otamme vastuun jäsennellystä poikkeamien hallinnasta: varmistus, rajaus, syyn löytäminen, puhdistus.
- Lopuksi dokumentoimme, mitä tapahtui ja mitkä toimet toteutettiin, kunnes poikkeama on käsitelty loppuun.
Usein kysytyt kysymykset
Voiko DDoS-hyökkäys varastaa tietoja?
Pelkkä DDoS-hyökkäys kohdistuu saatavuuteen, ei tietoihin. Se ei muuta tiedostoja eikä lue tietokantoja. Se voi kuitenkin esiintyä samaan aikaan murtoyrityksen kanssa, joten tiedostojen ja tilien tarkistus kannattaa silti.
Mistä tiedän, että verkkosivustoni on murrettu?
Tyypillisiä viitteitä ovat uudet tai muuttuneet PHP-tiedostot, tuntemattomat ylläpitäjätilit, uudelleenohjaukset vierailla sivuille, odottamattomat lähtevät yhteydet ja prosessit, jotka eivät sovi sovellukseenne. Yksittäinen merkki ei ole todiste, useampi yhdessä on vakava signaali.
Auttaako CDN tai WAF molempia hyökkäystyyppejä vastaan?
Volyymipohjaisia hyökkäyksiä vastaan edeltävä palvelu auttaa yleensä hyvin. Exploiteja vastaan säännöt tehoavat vain, jos ne tunnistavat mallin. PHP2Shellin kohdalla Cloudflare itse huomauttaa, etteivät pelkkiin pyyntötietoihin perustuvat säännöt riitä.
Onko DDoS-hyökkäyksestä ilmoitettava?
Se riippuu yksittäistapauksesta ja toimialastanne. Ilman pääsyä henkilötietoihin GDPR:n ilmoitusvelvollisuus ei yleensä ole voimassa, mutta toimialakohtaisia velvoitteita voi olla. Selvittäkää asia tietosuojavastaavanne tai asianajajan kanssa.