Lyhyesti: Koskeeko tämä teitä? Soittakaa. Autamme. Pk-yrityksistä puuttuu usein oma tietoturvaosasto, ja juuri sitä varten olemme olemassa: otamme ensimmäisestä viestistä alkaen etänä hoitaaksemme verkkopalvelimienne ensiavun, varmistamme jäljet, suljemme haavoittuvuuden, puhdistamme ja dokumentoimme, kunnes tapaus on käsitelty loppuun.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Tämä pätee silloinkin, kun toiminta painaa ja sivuston pitäisi saada taas käyntiin. Ensin varmistus, sitten korjaus. Ilmoittakaa hätätilanne, niin kerromme, mitä voitte tehdä itse ilman riskiä.
Koskeeko tämä teitä? Tyypillinen tilanne pk-yrityksessä
Se, joka johtaa 20, 200 tai 800 työntekijän yritystä, tarvitsee yleensä yhden tai kaksi ihmistä IT:hen, toimiston verkkosivustoon ja hosting-yrityksen palvelimeen. Se on normaalia, mutta paljastaa aukkoja hätätilanteessa. Akuutti vaara on lähellä, jos:
- Verkkosivustonne, asiakasportaalinne tai verkkokauppanne toimii PHP:llä eikä kukaan tiedä varmasti, mikä versio tarkalleen.
- Hosting-yritys, asiakas tai selaimen varoitus ilmoittaa poikkeavuuksista.
- Ylläpitäjänne kertoo, että verkkopalvelimen tiedostoja tai tilejä ei voi selittää.
- Ette tiedä, mitkä järjestelmät ovat ylipäätään julkisesti tavoitettavissa.
- Verkkopalvelimella on pääsy sisäisiin järjestelmiin, tietokantoihin tai tiedostotallennustiloihin.
Se, että lähes kaikki PHP-versiot voivat olla haavoittuvia, mainitaan taustana alan lehdistössä: raporttien mukaan haavoittuvia ovat versiot aina PHP 5.4:ään asti. Miltä tilanne pk-yrityksissä näyttää, kuvaa sivu Tietoturva keskisuurille yrityksille ja teollisuudelle.
Mitä teette heti
- Muodostakaa kriisiryhmä. Johto, IT, tarvittaessa tietosuoja: muutama henkilö, yksi päättäjä.
- Kootkaa järjestelmät. Mitkä palvelimet, verkkosivustot ja portaalit ovat kohteena tai voivat olla? Yksinkertainen luettelo riittää.
- Älkää muuttako mitään. Ei siivousta, ei uudelleenasennusta, ei varmuuskopioiden palauttamista.
- Antakaa tarkistaa yhteydet. Onko verkkopalvelin kytketty sisäiseen verkkoon? Silloin verkkosivustoon kohdistuva hyökkäys voi koskea muutakin kuin sivustoa.
- Ottakaa yhteyttä hosting-yritykseen ja toimistoon. Pyytäkää molempia säilyttämään lokit ja vahvistamaan tilanne ja vastuut. Miten, kerrotaan sivulla Näin kysytte hosting-yritykseltä korjaustilanteen.
- Turvatkaa tunnukset. Salasanat ja avaimet vain sovittuaan ja puhtailta laitteilta.
- Ottakaa yhteyttä nyt. Soittakaa tai kirjoittakaa WhatsAppilla.
Verkkopalvelinten ensiapu: miten toimimme pk-yrityksissä
Keskisuuri yritys ei voi sallia seisokkia, mutta ei myöskään hallitsematonta puuttumista. Siksi työskentelemme portaittain, jotta käynnissä oleva toiminta häiriintyy mahdollisimman vähän:
- Porras 1, eristäminen: Selvitämme, onko kohteena olevia palvelimia rajoitettava tilapäisesti. BSI suosittelee PHP2Shellin osalta ottamaan verkkopalvelimet pois verkosta, jos päivitystä ei voi tehdä heti.
- Porras 2, varmistus: Varmistamme lokit, tiedostot ja tietokannat, jotta tapaus pysyy todennettavana.
- Porras 3, korjaus: Päivitys tai asetukset, kaikkien PHP-prosessien uudelleenkäynnistys, tuntemattomien pääsyjen sulkeminen.
- Porras 4, tarkistus: Etsimme jälkiä ja seurannaisvahinkoja järjestelmästä ja sen ympäristöstä, myös viereisiltä palvelimilta.
Päättäjille ratkaiseva seikka: CMS-päivitys, esimerkiksi WordPressin, ei sulje PHP-haavoittuvuutta, eikä korjaus poista jo lisättyä haittakoodia. Se, joka sanoo päivityksen jälkeen ”valmis”, ei ole tehnyt puolta työstä.
Tyypillisiä virheitä pk-yrityksissä ensimmäisinä tunteina
Käytännöstä tunnetaan muutamia kaavoja, jotka kasvattavat vahinkoa. Ensinnäkin vastuuta työnnetään edestakaisin: hosting-yritys viittaa asiakkaaseen, toimisto hosting-yritykseen, ylläpitäjä johtoon. Sopikaa siksi varhain, kuka päättää. Toiseksi palautetaan liian nopeasti. Vanhan varmuuskopion palauttaminen sulkematta sisäänkäyntiä tuo hyökkääjän heti mukanaan takaisin. Kolmanneksi viestintä jää hoitamatta: työntekijät, asiakkaat ja liikekumppanit saavat tapauksesta tietää kolmannen käden kautta.
Sivulta Kriisiviestintä hyökkäyksen jälkeen löydätte vinkkejä siihen, miten tämä ratkeaa rauhallisesti. Nyrkkisääntönä: mieluummin vähän, mutta todennettua.
Miten PHP SOS auttaa konkreettisesti?
- Tilanteen kartoitus: Selvitämme kanssanne järjestelmät, ajotavan (PHP-FPM, mod_php tai LiteSpeed), tiedot ja yhteyshenkilöt. Ensimmäinen yleiskuva syntyy nopeasti, myös ilman yksityiskohtaista tietämystä.
- Varmistus ja sulkeminen: Varmistamme jäljet ja suljemme sisäänkäynnin häiritsemättä toimintaanne turhaan.
- Tarkistus ja puhdistus: Web shellejä, takaovia, cron-töitä ja vieraita tilejä etsitään ja poistetaan. Lisätietoja sivulla Haittaohjelmien ja web shellien poistatus.
- Koventaminen ja raportointi: Saatte raportin johdolle, tietosuojalle ja vakuutusyhtiölle. Halutessanne rakennamme kanssanne ennakoivan suojan, esimerkiksi tietoturvan huoltosopimuksen kautta.
Jos tapaus laajenee yhtä verkkopalvelinta pidemmälle, siirrymme jäsenneltyyn tietoturvapoikkeamien hallintaan (Incident Response).
Sen jälkeen: ennakointi ilman omaa tietoturvaosastoa
Kun tapaus on käsitelty, jää kysymys siitä, miten estätte seuraavan tai ainakin havaitsette sen aikaisemmin. Yrityksille, joilla ei ole omaa tietoturvatiimiä, neljä asiaa on tärkeintä: ajan tasalla oleva luettelo kaikista verkkosivustoista ja palvelimista, selvä yhteyshenkilö päivityksille, tarkistetut varmuuskopiot ja lyhyt IT-hätäsuunnitelma.
Kuuluuko yrityksenne NIS2-velvoitteiden piiriin, on oikeudellinen kysymys, johon emme vastaa. Yleistä tietoa löydätte sivultamme, arvion tekevät lakimies tai tietosuojavastaava.
Mitä teidän kannattaa lähettää meille
- lyhyt kuvaus tapauksesta ja ajankohdasta
- luettelo verkkosivustoista, verkkokaupoista ja portaaleista hosting-yrityksineen ja, siltä osin kuin tiedossa, PHP-versioineen
- järjestelmän tuntevien ylläpitäjän, toimiston ja hosting-yrityksen nimet
- tiedot siitä, onko verkkopalvelin yhteydessä sisäisiin järjestelmiin
- tiedot varmuuskopioista sekä mahdollisesta voimassa olevasta kybervakuutuksesta
Miksi PHP SOS
Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Teille se tarkoittaa: yksi yhteyshenkilö monen sijaan, etätyö ilman matkustamista kaikkialla Saksassa ja Euroopassa sekä dokumentaatio, jonka avulla pärjäätte asiakkaille, vakuutusyhtiölle ja viranomaisille. Erotamme avoimesti toisistaan todennetun, todennäköisen ja tuntemattoman emmekä lupaa mitään, mitä kukaan ei voi pitää.
Koskeeko tämä teitä? Soittakaa. Autamme.
Ensiapuun ette tarvitse omaa tietoturvaosastoa vaan yhteyshenkilön, joka aloittaa. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen ja pysymme mukana, kunnes tapaus on käsitelty loppuun ja dokumentoitu. Ilmoittakaa hätätilanne nyt.
Usein kysytyt kysymykset
Mitä tehdä kyberhyökkäyksessä, jos ei ole omaa tietoturvaosastoa?
Säilyttää jäljet, olla poistamatta mitään, nimetä päättäjä ja hankkia ulkopuolista apua. Keskisuuren yrityksen ei tarvitse osata kaikkea itse. Me hoidamme teknisen puolen ja teemme yhteistyötä ylläpitäjänne, toimistonne tai hosting-yrityksenne kanssa.
Ovatko pienet ja keskisuuret yritykset ylipäätään hyökkäysten kohteita?
Kyllä. Automaattiset skannaukset etsivät korjaamattomia palvelimia yrityksen kokoa huomioimatta. PHP2Shellin osalta Palo Alto Networks (Unit 42) laski yli 22,6 miljoonaa avointa, mahdollisesti haavoittuvaa instanssia.
Pitääkö toimintamme pysähtyä, jos verkkopalvelimeen on hyökätty?
Ei välttämättä. Usein verkkosivusto ja verkkokauppa voidaan eristää, kun sisäiset järjestelmät toimivat edelleen. Selvitämme ensin, onko verkkopalvelimen ja sisäisen verkkonne välillä yhteyksiä.
Koskeeko NIS2 meitä ja mitä se tarkoittaa tapauksessa?
Kuuluuko yrityksenne NIS2:n piiriin, riippuu toimialasta ja koosta, ja se on oikeudellinen kysymys. Yleiskuvan antaa NIS2-sivumme; arvion teidän tapauksestanne tekee lakimies tai tietosuojavastaava.
Miten valmistaudumme seuraavaan tapaukseen?
Järjestelmäluettelolla, nimetyllä yhteyshenkilöllä, tarkistetuilla varmuuskopioilla ja lyhyellä hätäsuunnitelmalla. Autamme rakentamisessa sen jälkeen, kun akuutti tapaus on käsitelty loppuun.