Trumpai: Ar DDoS, ar įsilaužimas, rodo pėdsakai. DDoS sukuria labai daug užklausų ir daro svetainę lėtą ar nepasiekiamą, bet nieko nekeičia. Exploit dažnai reikia vos kelių užklausų ir jis palieka naujus failus, paskyras, procesus ar ryšius. Teisingas įvertinimas lemia, ar turite atremti apkrovą, ar suvaldyti incidentą.
Skirtumas paprastais žodžiais
DDoS ataka (Distributed Denial of Service) yra kaip minia, užblokavusi parduotuvės įėjimą. Niekas nepatenka vidun, bet parduotuvėje niekas nevagiama. Tikslas yra perkrauti jūsų svetainę ar serverį, kad tikri klientai nebegalėtų prisijungti.
Exploit, priešingai, yra įsilaužimas pro atvirą duris. Užpuolikas išnaudoja pažeidžiamumą, pavyzdžiui, PHP, CMS ar plėtinyje, kad vykdytų kodą jūsų serveryje. Tai gali vykti tyliai, svetainei nė kiek nesulėtėjus. Pasekmės siekia nuo šlamšto puslapių iki duomenų vagystės ir serverio perėmimo.
Vadovybei skirtumas lemiamas: DDoS yra pasiekiamumo problema, kuri baigiasi su ataka. Sėkmingas exploit yra saugumo incidentas, kuris išlieka, kol bus rastas, išvalytas ir dokumentuotas.
DDoS ar įsilaužimas: požymiai palyginime
Toliau pateikta lentelė padeda pirminiam įvertinimui. Ji nepakeičia analizės, bet parodo, kur pirmiausia žiūrėti.
| Požymis | Greičiau DDoS | Greičiau exploit ar įsilaužimas |
|---|---|---|
| Pasiekiamumas | lėtas arba nepasiekiamas | dažnai normalus |
| Užklausos žurnale | labai daug, dažnai vienodos | kelios, tikslinės užklausos |
| Failai | nepakeisti | nauji ar pakeisti PHP failai |
| Paskyros | nepakeistos | nauji administratoriai, pakeisti slaptažodžiai |
| Procesai | žiniatinklio serveris ir PHP visu pajėgumu | nežinomi procesai, kasimas, šlamšto siuntimas |
| Tinklas | daug įeinančio srauto | neįprasti išeinantys ryšiai |
| Po pabaigos | viskas kaip anksčiau | pėdsakai išlieka |
Dėmesio persidengimams: masinis pažeidžiamumo skenavimas gali atrodyti kaip mažas DDoS. Būtent to buvo galima tikėtis aplink PHP2Shell, kai užpuolikai ieškojo pažeidžiamų serverių. Taigi didelė apkrova gali reikšti ir tai, kad kažkas būtent dabar bando įsilaužti.
Pirmosios patikros serveryje
Šios komandos nieko nekeičia sistemoje ir greitai pateikia apžvalgą. Įtarę įsilaužimą, prieš imdamiesi didesnių veiksmų išsaugokite žurnalus.
# Apkrova ir veikimo laikas
uptime
# Ryšiai santraukoje ir dažniausi kitos pusės adresai
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head
# Dažniausi kliento adresai prieigos žurnale (pritaikykite kelią)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
# PHP failai, pakeisti per paskutines 7 dienas
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Procesai su didžiausia CPU apkrova
ps aux --sort=-%cpu | head -15
Ryšių apžvalgoje ketvirtas stulpelis rodo kitą pusę. Daug ryšių iš kelių adresų ar kelis kartus didesnis nei įprasta lygis rodo perkrovą. Nauji PHP failai įkėlimų ar talpyklos katalogus, procesai žiniatinklio serverio naudotoju su svetimais pavadinimais ar išeinantys ryšiai su nežinomais tikslais greičiau rodo įsilaužimą. Išsamų sąrašą rasite puslapyje Kompromitavimo požymiai po PHP2Shell.
Kodėl didelė apkrova gali būti ir dėmesio nukreipimas
Pasitaiko, kad užpuolikai sukelia perkrovą, o kartu tikslingai įsilaužia. Komanda tuomet užsiėmusi pasiekiamumu, o tikrieji pėdsakai paskęsta žurnalų triukšme. Todėl galioja: net jei DDoS akivaizdus, jam pasibaigus patikrinkite failus, paskyras ir išeinančius ryšius.
PHP2Shell atveju prisideda tai, kad pagal php.net ir saugumo įmones paskelbtų, patvirtintų kompromitavimo indikatorių (IOC) nėra. Aptikimas remiasi elgsenos analize. Serveris, kuris skenavimo laikotarpiu nuo spalio vidurio buvo nepataisytas, todėl turėtų būti patikrintas nepriklausomai nuo pastebėtos apkrovos.
Dar vienas variantas yra turto reikalaujantys laiškai, kuriuose grasinama DDoS ataka, jei nebus sumokėta. Tokius pranešimus išsaugokite, nemokėkite be derinimo su specialistais ir apsvarstykite pareiškimą Zentrale Ansprechstelle Cybercrime. Lygiagrečiai informuokite savo hostingo teikėją, kad būtų galima paruošti apsaugos priemones. Kaip tam analizuoti žurnalus, aprašo vadovas Kaip išanalizuoti žiniatinklio serverio žurnalus po atakos.
Ką daryti per pirmąsias valandas
Įtarus DDoS:
- Informuokite hostingo teikėją ar duomenų centrą; ten dažnai yra filtrai prieš serverį.
- Aktyvuokite ar sugriežtinkite prieš tai esančią apsaugos paslaugą arba WAF su virtualiu pataisymu.
- Žiniatinklio serveryje nustatykite užklausų limitus ir ypač apsaugokite brangius puslapius, tokius kaip paieška ar krepšelis.
- Saugokite žurnalus, kad ataką vėliau būtų galima atsekti.
Įtarus įsilaužimą:
- Nieko netrinkite ir serverio neįdiekite iš naujo, kol neišsaugoti žurnalai ir paveikti failai.
- PHP atnaujinkite iki ištaisytos versijos ir iš naujo paleiskite visus darbinius procesus, jei dar nepadaryta.
- Jei atnaujinti iš karto neįmanoma, laikinai atjunkite svetainę nuo tinklo, kaip rekomenduoja BSI.
- Prisijungimo duomenis keiskite iš švaraus įrenginio, o ne iš galimai paveikto serverio.
- Leiskite patikrinti, ar galėjo būti paveikti asmens duomenys; tuomet gali tekti pranešimo terminai.
Abiem atvejais padeda trumpa, dalykiška pastaba hostingo teikėjui ir paslaugų teikėjams: nuo kada problema, kurios svetainės paveiktos, ką pastebėjote ir kas jau pakeista. Taip pat užfiksuokite, kas kokį sprendimą priėmė. Ši laiko juosta analizėje taupo laiką ir vėliau yra vertinga draudimui, duomenų apsaugai ir vidiniam aptarimui. Jei neaišku, ar apskritai yra ataka, padėtį atsargiai laikykite incidentu, kol bus įrodyta priešingai.
Kaip PHP SOS padeda konkrečiai?
- Padėtį nuotoliu vertiname pagal apkrovą, žurnalus, failus ir ryšius ir sakome, su kuo greičiausiai turite reikalą.
- Perkrovos atveju nustatome filtrus, užklausų limitus ir prieš tai esančias apsaugos taisykles, kol ataka aprims.
- Įtarus įsilaužimą perimame struktūruotą incidentų valdymą: išsaugoti, apriboti, rasti priežastį, išvalyti.
- Pabaigoje dokumentuojame, kas įvyko ir kokios priemonės įgyvendintos, kol incidentas bus užbaigtas.
Dažni klausimai
Ar DDoS ataka gali pavogti duomenis?
Gryna DDoS ataka nukreipta į pasiekiamumą, o ne į duomenis. Ji nekeičia failų ir neskaito duomenų bazių. Tačiau ji gali vykti kartu su įsilaužimo bandymu, todėl vis tiek verta pažiūrėti į failus ir paskyras.
Kaip atpažinti, kad mano svetainė nulaužta?
Tipiniai požymiai yra nauji ar pakeisti PHP failai, nežinomos administratoriaus paskyros, peradresavimai į svetimas svetaines, netikėti išeinantys ryšiai ir procesai, netinkantys jūsų programai. Pavienis požymis nėra įrodymas, keli kartu yra rimtas signalas.
Ar CDN arba WAF padeda nuo abiejų atakų rūšių?
Nuo apimties pagrįstų atakų prieš tai esanti paslauga dažniausiai gerai padeda. Nuo exploit taisyklės veikia tik jei atpažįsta šabloną. Dėl PHP2Shell pats Cloudflare pabrėžia, kad vien taisyklių pagal užklausos duomenis nepakanka.
Ar apie DDoS ataką reikia pranešti?
Tai priklauso nuo atvejo ir jūsų sektoriaus. Be prieigos prie asmens duomenų BDAR pranešimo pareiga paprastai netaikoma, bet gali būti sektoriui specifinių pareigų. Išsiaiškinkite tai su duomenų apsaugos pareigūnu ar advokatu.