Ukratko: Ako je kod Vaše agencije pogođeno više stranica klijenata, to rijetko slučajno, nego je uglavnom riječ o zajedničkom poslužitelju, zajedničkom pristupu ili istoj verziji PHP-a. Ako ste pogođeni, javite se odmah. Dajemo Vam pregled, na daljinu obuzdavamo incident, čistimo sustave i isporučujemo izvješća za Vaše klijente.
Sada ništa ne brisati i ništa ne postavljati iznova. I kad je pritisak klijenata velik: bez osiguranih zapisnika i datoteka ne može se razjasniti uzrok niti dokazati što nije bilo pogođeno. Prijavite hitni slučaj i preuzimamo od prve poruke.
Jeste li pogođeni? Znakovi kad su stranice klijenata hakirane
Kao agencija vidite obrasce koje pojedinačni operateri nikada ne primijete. Na zajednički incident upućuju:
- Više stranica klijenata istodobno pokazuje iste simptome: preusmjeravanja, spam sadržaje, upozorenja u pregledniku.
- Isti nepoznati administratorski račun ili ista sumnjiva datoteka pojavljuje se kod različitih klijenata.
- Pružatelj hostinga javlja zlouporabu ili upadljivo opterećenje za račun na kojem leži mnogo projekata.
- Klijenti zovu jer je njihova stranica upozorena kod Googlea, a protuprovjerom pronalazite dodatne stranice u istom stanju.
- Programer ili bivši zaposlenik imao je pristup mnogim projektima i jedan pristup je iscurio.
- Radovi održavanja putem središnjeg alata, primjerice deploymenta, sigurnosnih kopija ili usluge ažuriranja, promijenili su stranicu koju niste taknuli.
- Vodite mnogo stranica na verzijama PHP-a čije stanje zakrpe ne možete dokazati za svaku pojedinačno.
Od PHP2Shella dolazi i to da je ranjivost u samom PHP interpreteru. Ažuriranje CMS-a, primjerice kod WordPressa, ne zatvara je; odlučujuće je PHP izvršno okruženje koje se stvarno isporučuje.
Što učiniti odmah
- Popisati pogođene stranice: domena, poslužitelj, hosting račun, verzija PHP-a, CMS, odgovorne osobe. I sumnjivi slučajevi spadaju na popis.
- Tražiti zajedničko: Isti poslužitelj? Isti pristupi? Isti dodatak? Isti put deploymenta?
- Izolirati ugrožene stranice: Stranice koje aktivno isporučuju zlonamjerni kod staviti u način održavanja. Ne brisati.
- Dati osigurati zapisnike i stanje: Zamolite pružatelja hostinga da sačuva zapisnike; osigurajte i vlastite zapisnike deploymenta.
- Provjeriti središnje pristupe: Tko ima pristup hosting panelu, SSH-u, Gitu, upravitelju lozinki i deploymentu? Promjene tek nakon dogovora.
- Klijente informirati suzdržano: Prvo samo ono što je dokazano. Ne navoditi uzrok prije nego što se utvrdi.
- Kontaktirati nas: Nazovite ili pišite putem WhatsAppa.
Kako PHP SOS konkretno pomaže?
- Procijeniti situaciju: S Vama stječemo pregled svih stranica i poslužitelja i razvrstavamo ih po hitnosti: aktivno isporučen zlonamjerni kod, sumnja na curenje podataka, vjerojatno samo nezakrpano.
- Osigurati i zatvoriti: Osiguravamo svaki pogođeni sustav prije nego što se išta promijeni i zatvaramo zajednička ulazna vrata: pristupe, stanje PHP-a, ponovno pokretanje svih procesa.
- Provjeriti i očistiti: Sustavno tražimo iste tragove na svim stranicama, uklanjamo web shellove i stražnja vrata te uredno vraćamo stanje. Pojedinosti na stranici Uklanjanje malwarea i web shellova.
- Ojačati i izvijestiti: Stranice međusobno razdvajamo gdje je to smisleno i isporučujemo kratko izvješće po klijentu koje možete proslijediti te zbirno izvješće za Vas.
Radimo na daljinu, bez dolaska, u cijeloj Njemačkoj i Europi. Na želju u pozadini za Vašu agenciju, kako je opisano na stranici Agencije i white label.
Zašto kod agencija često padne mnogo stranica istodobno
Tko vodi mnogo projekata na jednom poslužitelju, štedi troškove, ali izolaciju mijenja za udobnost. Ako sve radi pod istim korisnikom i istim poolom PHP procesa, kod hakirane stranice može čitati i mijenjati datoteke susjeda. To nije egzotičan slučaj, nego standard u mnogim konfiguracijama. Kako se poolovi uredno razdvajaju, opisuje stranica Izolacija PHP-FPM poolova.
Tome se pridodaju zajednički pristupi: jedan SSH ključ za sve projekte, jedan hosting račun sa svim domenama, iste lozinke za staging i produkciju. Tu vrijedi načelo najmanjih prava. Više o tome u članku Prava korisnika web-poslužitelja.
I lanac opskrbe se računa: dodaci, teme i biblioteke dolaze od trećih strana, pružatelj hostinga odgovara za platformu, a agencija za rad. Gdje te granice prolaze i gdje nastaju praznine, obrađuje stranica Lanac opskrbe agencija i pružatelj hostinga.
Popis, verzije PHP-a i komunikacija s klijentima
Najčešći problem u takvim situacijama je nedostatak pregleda: koja stranica radi na kojem poslužitelju s kojom verzijom PHP-a i tko je odgovoran? Bez tog popisa ne može se reći tko je zakrpom pogođen, a tko nije. Kako izraditi takav imenik, pokazuje stranica Popis web-stranica i poslužitelja. Ako paralelno rade različite verzije PHP-a, dodatno pomaže Više verzija PHP-a na jednom poslužitelju.
Prema klijentima važna je jasnoća. Ne morate sve znati, ali ništa ne smijete uljepšavati: što je dokazano, što se još provjerava, što činite sljedeće? Pomoć pri formulaciji pronaći ćete na stranici Informiranje kupaca nakon incidenta. Ako su pogođeni osobni podaci, obveze prijave prema čl. 33. GDPR-a mogu igrati ulogu. To je opća informacija; procjena pripada službeniku za zaštitu podataka i odvjetniku. Ako incident nadiđe pojedinačne stranice, prelazimo na strukturirani odgovor na incident.
Što nam trebate poslati
- popis pogođenih i vjerojatno pogođenih domena
- podatke o poslužitelju i hostingu po projektu, koliko su poznati
- verzije PHP-a i korištene CMS-ove ili shopove
- pristupe koje nam možete odobriti i uloge u timu
- napomene što je zadnje mijenjano ili objavljeno
- ime kontakt osobe za odluke te za komunikaciju s klijentima
Zašto PHP SOS
Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu za sve pogođene projekte, radimo na daljinu i po sustavu dokumentiramo što je pronađeno i učinjeno. Ne obećavamo čuda. Ono što se ne može dokazati nazivamo nepoznatim kako prema svojim klijentima ne biste rekli više nego što znate.
Jeste li pogođeni? Nazovite. Pomažemo.
Ako je više stranica Vaših klijenata upadljivo, vremenski pritisak je dvostruk: tehnički i u odnosu prema klijentima. Javite se odmah: nazovite ili pišite putem WhatsAppa. Preuzimamo od prve poruke i ostajemo uz Vas dok incident nije zaključen i dokumentiran. Prijavite hitni slučaj odmah
Česta pitanja
Zašto je često odmah pogođeno više stranica klijenata?
Stranice često dijele poslužitelj, hosting račun, isti PHP proces ili iste pristupne podatke. Ako napadač uđe na jednom mjestu, može se kretati bočno. Ranjiv PHP uz to pogađa sve stranice koje ga koriste.
Trebam li odmah obavijestiti klijente?
To ovisi o situaciji i ugovoru. Prvo razjasnite koje su stranice doista pogođene kako ne biste informirali na temelju pretpostavki. Kod osobnih podataka moguće su obveze prijave; procjena pripada službeniku za zaštitu podataka ili odvjetniku.
Tko odgovara ako je stranica klijenta hakirana?
To se određuje prema Vašim ugovorima, opsegu održavanja i tijeku događaja. O tome ne pružamo pravni savjet. Uredno izvješće o uzroku i mjerama pomaže pri tom razjašnjavanju.
Možete li raditi pod našim imenom tako da nas krajnji klijent ne vidi?
Na želju radimo u pozadini za Vašu agenciju i isporučujemo izvješća koja možete proslijediti svojim klijentima. Pojedinosti dogovaramo unaprijed.
Je li dovoljno stranice klijenata čistiti pojedinačno?
Uglavnom ne. Ako je uzrok u zajedničkom poslužitelju, zajedničkom pristupu ili nezakrpanoj verziji PHP-a, problemi se nakon pojedinačnog čišćenja ponovno pojavljuju. Uzrok se mora otkloniti zajedno s tim.