Trumpai: Kai ataka paliečia daugiau nei vieną svetainę, jums reikia Incident Response paslaugų teikėjo, kuris incidentą tvarko struktūruotai. Perimame padėties vaizdą, sulaikymą, išvalymą ir saugų atkūrimą su aiškiais vaidmenimis ir nuosekliu dokumentavimu. Sprendimus priimate jūs, techninį pagrindą užtikriname mes.
Ką reiškia Incident Response serverių atakų atveju
Incident Response yra tvarkingas saugumo incidento tvarkymas. Užuot atliekus chaotiškus pavienius veiksmus, darbas vyksta pagal nustatytas fazes: atpažinti ir įvertinti, sulaikyti, pašalinti, atkurti, atlikti pokontrolę. Kiekviena priemonė fiksuojama su laiku ir pagrindimu.
Būtent žiniatinklio serveriuose tai svarbu. Serveryje su PHP programomis dažnai yra prieigos duomenys prie duomenų bazių, mokėjimo paslaugų teikėjų, pašto serverių ir sąsajų. Kas ten įsilaužė, gali judėti toliau. Padėtis po PHP2Shell rodo, kaip greitai tokia situacija gali susidaryti: nustatytos tapatybės nereikalaujantis kodo vykdymas, daugiau nei 22,6 milijono viešai pasiekiamų egzempliorių pagal Unit 42 ir nėra paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise).
Kada jums reikia Incident Response paslaugų teikėjo
- paveikti keli serveriai ar programos arba jie galėjo būti paveikti
- yra įtarimas, kad nutekėjo asmens duomenys ar mokėjimo duomenys
- užpuolikas galbūt vis dar aktyvus, pavyzdžiui, per veikiančius ryšius ar naujas paskyras
- vyksta šantažas arba viešas atakos paskelbimas
- draudikas, institucijos ar verslo partneriai tikisi dokumentuotos eigos
Esant vienai užkrėstai svetainei dažnai pakanka skubios pagalbos nulaužus svetainę. Perėjimą prie viso incidento tvarkymo aptariame su jumis, vos tik ima ryškėti didesnė apimtis.
Kaip PHP SOS padeda konkrečiai?
- Triažas ir padėties vaizdas: Išsiaiškiname, kas buvo pastebėta, kurios sistemos ir duomenys gali būti paveikti ir ką reikia įtraukti viduje. Rezultatas yra pirmasis rašytinis padėties vaizdas su atvirais klausimais.
- Išsaugoti pėdsakus ir sulaikyti: Žurnalai, failų sistemos ir duomenų bazės išsaugomos prieš mums įsikišant. Po to izoliuojame paveiktas sistemas, blokuojame kompromituotas prieigas ir nutraukiame atpažįstamus užpuoliko ryšius.
- Pašalinti: Uždarome įsilaužimo kelią, pavyzdžiui, įdiegdami ištaisytas PHP versijas ir paleisdami iš naujo visus darbinius procesus (worker), šaliname užpakalines duris ir pakeičiame paslaptis. Detaliai analizei prireikus įtraukiame specializuotus IT kriminalistikos partnerius.
- Atkurti: Sistemos kontroliuojamai grįžta į veiklą, pageidautina iš švarių šaltinių arba naujai įrengtuose serveriuose. Po to jas sustiprintai stebime dėl pakartotinių neįprastumų.
- Pokontrolė: Gaunate baigiamąją ataskaitą su laiko juosta, priežastimis, priemonėmis ir rekomendacijomis. Kartu užfiksuojame, kas kitą kartą turėtų vykti greičiau.
Saugokite serverių žurnalus ir nekeiskite sistemų, kol neišsaugota kopija. BSI dėl PHP2Shell rekomenduoja žiniatinklio serverius, kurių negalima iš karto pataisyti, laikinai atjungti nuo tinklo.
Vaidmenys ir komunikacija incidento metu
Incidentui reikia aiškių atsakomybių. Pasiteisino nedidelis ratas: sprendimų teisę turintis asmuo, techninis kontaktinis asmuo jūsų pusėje ir mes kaip techninė vadovybė. Situacijos aptarimai vyksta nustatytais intervalais, rezultatai fiksuojami raštu.
Lygiagrečiai vyksta užduotys, kurių neperimame, bet kurioms pateikiame faktus: pareigos pranešti pagal BDAR per 72 valandas tikrinimas, draudiko informavimas, galimas pareiškimas ir krizių komunikacija su klientais bei partneriais.
Ko mums reikia iš jūsų ir ką gausite
Mums reikia administravimo prieigų prie paveiktų sistemų, infrastruktūros ir paslaugų teikėjų apžvalgos, sprendimų teisę turinčio asmens ir pasirengimo prireikus laikinai išjungti sistemas. Naudingi esami avariniai planai, tinklo schemos ir atsarginės kopijos su data.
Gaunate nuolatinį incidento protokolą, reguliarius padėties vaizdus suprantama kalba, baigiamąją ataskaitą vadovybei, duomenų apsaugos pareigūnams ir draudikui bei prioritetizuotą patobulinimų sąrašą. Kaip geriau pasiruošti kitam incidentui, aprašyta puslapyje IT avarinio plano žiniatinklio serveriams parengimas.
Tipinės klaidos per pirmąsias valandas
Daug incidentų pasunkėja, nes sutrikus gerai sumanyti žingsniai atliekami netinkama tvarka. Šiuos modelius matome dažnai:
- Iš karto įrengti iš naujo: Serveris ištrinamas ir įdiegiamas iš naujo prieš sukuriant kopiją. Po to nebeįmanoma išsiaiškinti, ar nutekėjo duomenų.
- Keisti slaptažodžius iš užkrėstos sistemos: Jei užpuolikas dar turi prieigą, jis mato ir naujus slaptažodžius.
- Ištrinti tik matomą failą: Webshell dingsta, bet antros užpakalinės durys cron užduotyje lieka.
- Pataisyti nepaleidus iš naujo: Nauji PHP failai guli diske, o seni darbiniai procesai (worker) toliau veikia atmintyje.
- Niekas neveda protokolo: Vėliau niekas nebežino, kas, kada ir ką pakeitė. Tai apsunkina pokalbius su draudiku ir institucijomis.
Suderinta eiga šių klaidų išvengia nedelsiant sulaikymo.
Ko neapsiimame
Neapsiimame, kad kiekvienas incidentas bus visiškai išaiškintas; be pėdsakų klausimai lieka atviri, ir taip rašome ataskaitoje. Neteikiame teisinių konsultacijų ir nepateikiame teiginių apie atsakomybę ar draudimo apsaugą. Mūsų tikslas yra aiški pabaiga: su incidentu dirbame, kol jis užbaigtas ir dokumentuotas.
Dažni klausimai
Kuo skiriasi Incident Response ir IT kriminalistika?
Incident Response tikslas yra sulaikyti incidentą ir saugiai atkurti veiklą. IT kriminalistika detaliai ir įrodymams tinkamai išsiaiškina, kas įvyko. Praktikoje abi persipina, kriminalistika dažnai lygiagrečiai saugo pėdsakus.
Kada turėčiau pasitelkti Incident Response paslaugų teikėją?
Kai tik kyla įtarimas, kad užpuolikas turėjo prieigą prie sistemų, o apimties patikimai įvertinti negalite. Kuo anksčiau pradedamas pėdsakų saugojimas, tuo daugiau vėliau galima pagrįsti.
Kas sprendžia incidento metu?
Sprendimus priimate jūs, pavyzdžiui, dėl išjungimų, komunikacijos ar pranešimų. Mes parengiame techninius pagrindus, parodome galimybes su jų pasekmėmis ir įgyvendiname sprendimus.
Ar turiu kreiptis į policiją?
Pareiškimas daugeliu atvejų prasmingas ir kai kuriems draudimams svarbus. Tuo užsiima policijos centriniai kibernetinių nusikaltimų kontaktiniai punktai. Ar ir kada teikti pareiškimą, nusprendžiate kartu su savo teisininku.