Lyhyesti: Koskeeko tämä teitä? Soittakaa. Autamme. Jos teillä on IT-hätätilanne verkkopalvelimella eikä asiantuntijaa ole saatavilla, voitte tilata meidät yhdellä viestillä: otamme tilanteen hoitoon ensimmäisestä viestistä alkaen, työskentelemme etänä ilman matkustamista ja kirjaamme kaiken kirjallisesti, kunnes tapaus on käsitelty loppuun ja dokumentoitu.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Ei myöskään valmisteluna palveluntarjoajaa varten. Järjestelmän tila on tärkein todiste. Ilmoittakaa hätätilanne, niin sovimme tunnuksista ja rooleista yhdessä.
Koskeeko tämä teitä? Milloin hätäpalveluntarjoaja on tarpeen
Kaikki häiriöt eivät ole tietoturvatapauksia. Hätätilanteen palveluntarjoaja on järkevä, jos ainakin yksi seuraavista pitää paikkansa:
- Verkkopalvelimenne käyttäytyy poikkeavasti, eikä kukaan talossa osaa arvioida syytä.
- Epäilette haittakoodia, murtoa tai vuotaneita tietoja.
- Hosting-yritys on estänyt palvelun tai vaatii puhdistusta.
- PHP-versionne on vanha tai epäselvä, ettekä tiedä, onko PHP2Shell-haavoittuvuuksia käytetty hyväksi.
- Oma IT tai toimisto ei ole tavoitettavissa tai sillä ei ole kokemusta tietoturvatapauksista.
Epäily riittää. Sen, selviättekö itse vai tarvitsetteko tukea, voi punnita sivun Korjaako itse vai hankkiiko palveluntarjoajan? avulla.
Mitä teette heti
- Jäädyttäkää tila. Ei muutoksia palvelimelle, ei siivousta, ei päivityksiä sokkona.
- Listatkaa tunnukset. Mitä paneeli-, SSH-, CMS- ja tietokantatunnuksia on, ja kuka niitä hallinnoi?
- Tiedottakaa hosting-yritykselle. Pyytäkää sitä säilyttämään lokit ja tilannevedokset. Älkää salatko mitään, mitä sen on tiedettävä.
- Nimetkää päättäjä. Kuka yrityksessä hyväksyy sammutukset, uudelleenkäynnistykset ja salasanojen vaihdot?
- Selvittäkää tietotilanne. Onko järjestelmässä henkilötietoja, maksutietoja tai liikesalaisuuksia?
- Tiedottakaa osapuolille. Tietosuojavastaavalle ja, jos sellainen on, kybervakuutusyhtiölle.
- Tilatkaa palveluntarjoaja. Soittakaa tai kirjoittakaa WhatsAppilla. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen.
Näin toimeksianto etenee
Hätätilanne ei kestä pitkää sopimusprosessia, mutta ei myöskään aukkoja vastuussa ja tietosuojassa. Siksi etenemme tässä järjestyksessä:
- Ensikeskustelu: Kuuntelemme tilanteen ja esitämme ne harvat kysymykset, jotka ensiarvioon tarvitaan.
- Puitteista sopiminen: Selvitämme yhdessä, mitä järjestelmiä saamme tarkistaa, kuka päättää ja miten viestimme.
- Tietosuojan järjestäminen: Jos käytämme järjestelmiä, joissa on henkilötietoja, käymme läpi tarvittavan tietojenkäsittelysopimuksen. Perusteet selittää sivu Tietojenkäsittely palvelimelle pääsyn yhteydessä.
- Pääsyn järjestäminen: Annatte meille vain toimeksiannon kannalta tarpeelliset oikeudet. Toimeksiannon päätyttyä tunnukset poistetaan.
- Työ ja raportit: Annamme väliraportteja ja kirjaamme tulokset kirjallisesti.
Miten palveluntarjoajia vertaillaan yleisesti, kerrotaan sivulla IT-tietoturvapalveluntarjoajan valinta: 12 kysymystä. Sopimusvelvoitteita tietoturvan osalta käsittelee sivu Palveluntarjoajasopimukset: tietoturvavelvoitteiden selkeä sopiminen.
Miten PHP SOS auttaa konkreettisesti?
- Tilanteen kartoitus: Mitä on tapahtunut, mitkä palvelimet ovat käytössä, mitkä PHP-versiot ja mikä ajotapa (PHP-FPM, mod_php, LiteSpeed) on käytössä?
- Varmistus ja sulkeminen: Varmistamme lokit, tiedostot ja tietokannan. Sen jälkeen korjaamme syyn: päivitys, asetukset tai tunnusten esto, kaikkien PHP-prosessien uudelleenkäynnistyksen kanssa.
- Tarkistus ja puhdistus: Etsimme web shellejä, takaovia, cron-töitä ja vieraita pääsyoikeuksia ja poistamme ne tai rakennamme järjestelmän uudelleen puhtaista lähteistä.
- Koventaminen ja raportointi: Saatte raportin, jossa on aikajana, löydöt ja suositukset. Suuremmissa tapauksissa siirrymme tietoturvapoikkeamien hallintaan (Incident Response).
Jos kyse on aluksi vain PHP-haavoittuvuudesta ja korjauksen todisteesta, sopii PHP2Shell-pikaapu yrityksille. Jos haittakoodia on löydetty, oikea lähtökohta on haittaohjelmien poisto.
Mistä tunnistatte vakavasti otettavan hätäpalveluntarjoajan
Hätätilanteessa moni tarttuu ensimmäiseen tarjoajaan. Kolme kysymystä auttaa saamaan järjestyksen minuuteissa. Ensinnäkin: varmistetaanko ensin ja muutetaan vasta sitten? Se, joka ”siivoaa” heti, estää myöhemmän selvityksen. Toiseksi: kirjataanko kirjallisesti, mitä löydettiin ja tehtiin? Ilman dokumentaatiota ei vakuutusyhtiö eikä tietosuojavastaava voi tehdä sillä mitään. Kolmanneksi: nimetäänkö rajoitukset? Tarjoajaan, joka julistaa kaiken mahdolliseksi ennen kuin on nähnyt järjestelmän, on suhtauduttava varovaisesti.
Tarkistakaa myös, ymmärtääkö palveluntarjoaja ajotapanne. PHP-FPM, Apache ja mod_php, php-cgi, FrankenPHP ja LiteSpeed käyttäytyvät korjauksessa eri tavoin, ja päivityksen jälkeen kaikki prosessit on käynnistettävä uudelleen, muuten vanha tila jatkaa pyörimistä muistissa.
Mitä hätäpalveluntarjoaja ei voi tehdä
Rajat kannattaa tuntea etukäteen. Kukaan palveluntarjoaja ei voi jälkikäteen tuottaa lokeja, joita ei koskaan kirjoitettu tai jotka on jo päällekirjoitettu. Jos jälkiä puuttuu, nimeämme aukot avoimesti. Kukaan ei myöskään voi luvata, ettei puhdistettuun järjestelmään hyökätä enää koskaan. Eikä oikeudellinen neuvonta kuulu toimeksiantoomme: ilmoitusvelvollisuutta, vastuuta ja vakuutusta koskevat kysymykset kuuluvat tietosuojavastaavalle, lakimiehelle ja vakuutusyhtiölle; me toimitamme heille tekniset tosiasiat.
Mitä teidän kannattaa lähettää meille
- lyhyt kuvaus tapauksesta ja ajankohdasta, jolloin se huomattiin
- kohteena olevat verkkotunnukset, palvelimet ja, siltä osin kuin tiedossa, PHP-versio
- hosting-yrityksen nimi ja sopimustyyppi (jaettu hosting, vServer, root-palvelin, hallinnoitu palvelin)
- yhteyshenkilö, jolla on päätösvalta
- olemassa olevat varmuuskopiot ja niiden tila
Miksi PHP SOS
Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Puhutte vakituisen yhteyshenkilön kanssa, työskentelemme etänä kaikkialla Saksassa ja Euroopassa ja dokumentoimme jokaisen vaiheen. Kerromme avoimesti, mikä on todennettua ja mikä ei, emmekä anna lupauksia, joita ei yksikään vakavasti otettava palveluntarjoaja voi antaa. Järjestyksemme on aina sama: ensin varmistus, sitten muutokset, sitten raportointi.
Koskeeko tämä teitä? Soittakaa. Autamme.
Älkää etsikö sopivaa palveluntarjoajaa, kun tapaus on käynnissä. Soittakaa tai kirjoittakaa WhatsAppilla, otamme tilanteen hoitoon ensimmäisestä viestistä alkaen. Ilmoittakaa hätätilanne nyt.
Usein kysytyt kysymykset
Mistä tunnistan hyvän IT-hätäavun palveluntarjoajan?
Se varmistaa jäljet ennen kuin muuttaa mitään, erottaa avoimesti todennetun ja oletetun, dokumentoi jokaisen vaiheen eikä lupaa ihmeitä. Epäilkää väitteitä kuten ”taatusti puhdas”, sillä sitä ei kukaan voi vakavasti luvata.
Mitä tunnuksia palveluntarjoaja tarvitsee IT-hätätilanteessa?
Yleensä SSH- tai paneelitunnukset palvelimelle, pääsyn CMS:n hallintaan ja tietokantaan tai luvan keskustella hosting-yrityksen kanssa. Antakaa vain se, mikä on tarpeen, ja kirjatkaa, kuka sai minkä tunnuksen ja milloin.
Tarvitsenko etäyhteyteen tietojenkäsittelysopimuksen?
Jos palveluntarjoaja käyttää järjestelmiä, joissa on henkilötietoja, tarvitaan yleensä tietojenkäsittelyä koskeva sopimus (Auftragsverarbeitung, GDPR:n mukainen). Arvion tekevät tietosuojavastaava tai lakimiehet. Selvitämme asian kanssanne heti alussa.
Mitä eroa on Incident Responsella ja haittaohjelmien poistolla?
Haittaohjelmien poisto puhdistaa saastuneen järjestelmän. Incident Response on laajempi: se kattaa tilannekuvan, rajaamisen, puhdistuksen, viestinnän ja jälkityön, usein usean järjestelmän yli.
Pitääkö hosting-yritys ottaa mukaan?
Usein kyllä, esimerkiksi tilannevedoksia (snapshot), lokeja tai estojen purkamista varten. Sovimme asioista hosting-yrityksenne kanssa, jos sallitte sen. Se, mitä voidaan tarkistaa, riippuu saamistamme oikeuksista.