Ukratko: Jeste li pogođeni? Nazovite. Pomažemo. Srednjim tvrtkama često nedostaje vlastiti sigurnosni odjel, a upravo za to smo tu: od prve poruke na daljinu preuzimamo prvu pomoć za Vaše web-poslužitelje, osiguravamo tragove, zatvaramo ranjivost, čistimo i dokumentiramo dok incident nije zaključen.
Sada ništa ne brisati i ništa ne postavljati iznova. To vrijedi i kad poslovanje pritišće i web-stranica treba ponovno raditi. Prvo osigurati, zatim popraviti. Prijavite hitni slučaj, reći ćemo Vam što možete sami učiniti bez rizika.
Jeste li pogođeni? Tipična situacija u srednjim tvrtkama
Tko vodi tvrtku s 20, 200 ili 800 zaposlenika, uglavnom ima jednu ili dvije osobe za IT, agenciju za web-stranicu i pružatelja hostinga za poslužitelj. To je uobičajeno, ali u hitnom slučaju otkriva praznine. Akutna ugroza je vjerojatna ako:
- Vaša web-stranica, portal za klijente ili web-shop rade na PHP-u, a nitko sa sigurnošću ne zna koja je to točno verzija.
- Pružatelj hostinga, klijent ili upozorenje u pregledniku prijavljuje upadljivosti.
- Vaš administrator javlja da su datoteke ili računi na web-poslužitelju neobjašnjivi.
- Ne znate koji su sustavi uopće javno dostupni.
- Web-poslužitelj ima pristup internim sustavima, bazama podataka ili datotečnim pohranama.
Da gotovo sve verzije PHP-a mogu biti pogođene, stručni tisak navodi kao pozadinu: prema izvješćima pogođene su verzije sve do PHP-a 5.4. Kako stanje izgleda u srednjim tvrtkama, opisuje stranica IT sigurnost za srednje tvrtke i industriju.
Što učiniti odmah
- Sazvati krizni sastanak. Uprava, IT, po potrebi zaštita podataka: malo osoba, jedan donositelj odluka.
- Prikupiti sustave. Koji su poslužitelji, web-stranice i portali pogođeni ili bi mogli biti? Dovoljan je jednostavan popis.
- Ništa ne mijenjati. Nikakvo čišćenje, nikakva ponovna instalacija, nikakvo vraćanje sigurnosnih kopija.
- Dati provjeriti veze. Je li web-poslužitelj povezan s internom mrežom? Tada napad na web-stranicu može pogoditi više od same web-stranice.
- Obratiti se pružatelju hostinga i agenciji. Zamolite oboje da sačuvaju zapisnike te potvrde stanje i odgovornosti. Kako, piše na stranici Kako pitati pružatelja hostinga za stanje zakrpe.
- Osigurati pristupe. Lozinke i ključeve mijenjati samo nakon dogovora i s čistih uređaja.
- Javite se odmah. Nazovite ili pišite putem WhatsAppa.
Prva pomoć za web-poslužitelje: kako postupamo u srednjim tvrtkama
Srednja tvrtka ne može si priuštiti zastoj, ali ni nekontrolirani zahvat. Zato radimo u stupnjevima koji što manje ometaju tekući rad:
- Stupanj 1, izolirati: Razjašnjavamo treba li pogođene poslužitelje privremeno ograničiti. BSI kod PHP2Shella preporučuje web-poslužitelje odspojiti s mreže ako ažuriranje nije odmah moguće.
- Stupanj 2, osigurati: Osiguravamo zapisnike, datoteke i baze podataka kako bi incident ostao dokaziv.
- Stupanj 3, otkloniti: Zakrpa ili konfiguracija, ponovno pokretanje svih PHP procesa, zatvaranje nepoznatih pristupa.
- Stupanj 4, provjeriti: Na sustavu i u okruženju tražimo tragove i posljedične štete, i na susjednim poslužiteljima.
Odlučujuća točka za donositelje odluka: ažuriranje CMS-a, primjerice WordPressa, ne zatvara PHP ranjivost, a zakrpa ne uklanja već ubačeni zlonamjerni kod. Tko nakon ažuriranja kaže „gotovo“, nije obavio pola posla.
Tipične pogreške u srednjim tvrtkama u prvim satima
Iz prakse se poznaje nekoliko obrazaca koji povećavaju štetu. Prvo, odgovornost se prebacuje s jednog na drugog: pružatelj hostinga upućuje na klijenta, agencija na pružatelja, administrator na upravu. Zato rano odredite tko odlučuje. Drugo, prebrzo se vraća staro stanje. Vraćanje stare sigurnosne kopije bez zatvaranja ulaznih vrata odmah vraća i napadača. Treće, komunikacija zaostaje: zaposlenici, klijenti i poslovni partneri za incident saznaju iz druge ruke.
Na stranici Krizna komunikacija nakon napada pronaći ćete napomene kako se to može mirno riješiti. Kao pravilo vrijedi: radije reći malo, ali dokazano.
Kako PHP SOS konkretno pomaže?
- Procijeniti situaciju: S Vama razjašnjavamo sustave, način rada (PHP-FPM, mod_php ili LiteSpeed), podatke i kontakt osobe. Prvi pregled nastaje brzo, i bez detaljnog znanja.
- Osigurati i zatvoriti: Osiguravamo tragove i zatvaramo ulazna vrata, bez nepotrebnog ometanja Vaših procesa.
- Provjeriti i očistiti: Web shellovi, stražnja vrata, cron poslovi i tuđi računi traže se i uklanjaju. Pojedinosti na stranici Uklanjanje malwarea i web shellova.
- Ojačati i izvijestiti: Dobivate izvješće za upravu, zaštitu podataka i osiguratelja. Na želju s Vama gradimo prevenciju, primjerice putem sigurnosnog ugovora o održavanju.
Ako incident nadiđe jedan web-poslužitelj, prelazimo na strukturirani odgovor na incident.
Nakon toga: prevencija bez vlastitog sigurnosnog odjela
Kad je incident zaključen, ostaje pitanje kako spriječiti sljedeći ili ga bar ranije otkriti. Za tvrtke bez vlastitog sigurnosnog tima najvažnije su četiri stvari: ažuran popis svih web-stranica i poslužitelja, jasna kontakt osoba za ažuriranja, provjerene sigurnosne kopije i kratak IT plan za hitne slučajeve.
Spada li Vaša tvrtka pod obveze NIS2, pravno je pitanje na koje ne odgovaramo. Opće informacije pronaći ćete na našoj stranici, a procjenu daju odvjetnik ili službenik za zaštitu podataka.
Što nam trebate poslati
- kratak opis incidenta i vremena
- popis web-stranica, shopova i portala s pružateljem hostinga i, ako je poznata, verzijom PHP-a
- imena administratora, agencije i pružatelja hostinga koji poznaju sustav
- napomene je li web-poslužitelj povezan s internim sustavima
- podatke o sigurnosnim kopijama i o postojećem kibernetičkom osiguranju
Zašto PHP SOS
Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Za Vas to znači: jedna kontakt osoba umjesto mnogih, rad na daljinu bez dolaska u cijeloj Njemačkoj i Europi te dokumentacija s kojom ćete biti uvjerljivi prema klijentima, osiguratelju i tijelima. Otvoreno razdvajamo dokazano, vjerojatno i nepoznato i ne obećavamo ništa što nitko ne može ispuniti.
Jeste li pogođeni? Nazovite. Pomažemo.
Za prvu pomoć ne trebate vlastiti sigurnosni odjel, nego kontakt osobu koja počinje. Preuzimamo od prve poruke i ostajemo uz Vas dok incident nije zaključen i dokumentiran. Prijavite hitni slučaj odmah.
Česta pitanja
Što učiniti kod kibernetičkog napada bez vlastitog odjela za IT sigurnost?
Sačuvati tragove, ništa ne brisati, odrediti donositelja odluka i potražiti vanjsku pomoć. Srednja tvrtka ne mora sve znati sama. Tehničku stranu preuzimamo mi i surađujemo s Vašim administratorom, agencijom ili pružateljem hostinga.
Jesu li male i srednje tvrtke uopće meta napada?
Da. Automatizirana skeniranja traže nezakrpane poslužitelje, ne gledajući veličinu tvrtke. Kod PHP2Shella Palo Alto Networks (Unit 42) izbrojao je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci.
Mora li naše poslovanje stati ako je web-poslužitelj napadnut?
Ne nužno. Često se web-stranica i shop mogu izolirati dok interni sustavi rade dalje. Prvo razjašnjavamo postoje li veze između web-poslužitelja i Vaše interne mreže.
Odnosi li se NIS2 na nas i što to znači u incidentu?
Spada li Vaša tvrtka pod NIS2, ovisi o djelatnosti i veličini i pravno je pitanje. Pregled daje naša stranica o NIS2; procjena za Vaš slučaj pripada odvjetniku ili službeniku za zaštitu podataka.
Kako se pripremiti za sljedeći incident?
Popisom sustava, imenovanom kontakt osobom, provjerenim sigurnosnim kopijama i kratkim planom za hitne slučajeve. Pomažemo pri izradi nakon što se akutni incident zaključi.