Trumpai: Ar tai jus palietė? Skambinkite. Padėsime. Vidutinėse įmonėse dažnai trūksta savo saugumo skyriaus, o būtent tam esame mes: nuo pirmos žinutės nuotoliu perimame pirmąją pagalbą jūsų žiniatinklio serveriams, išsaugome pėdsakus, uždarome spragą, valome ir dokumentuojame, kol incidentas bus užbaigtas.
Dabar nieko netrinkite ir neįrenkite iš naujo. Tai galioja ir tada, kai veikla spaudžia ir svetainė turi vėl veikti. Pirmiausia išsaugoti, tada taisyti. Pranešti apie avariją, pasakysime, ką galite daryti patys be rizikos.
Ar tai jus palietė? Tipinė padėtis vidutinėje įmonėje
Kas vadovauja įmonei su 20, 200 ar 800 darbuotojų, dažniausiai turi vieną ar du žmones IT, agentūrą svetainei ir hostingo teikėją serveriui. Tai normalu, bet ištikus bėdai atskleidžia spragas. Ūmus pavojus tikėtinas, kai:
- Jūsų svetainė, klientų portalas ar internetinė parduotuvė veikia ant PHP ir niekas tiksliai nežino, kokia versija.
- Hostingo teikėjas, klientas ar naršyklės įspėjimas praneša apie įtartinus dalykus.
- Jūsų administratorius praneša, kad žiniatinklio serveryje yra failų ar paskyrų, kurių negalima paaiškinti.
- Nežinote, kurios sistemos iš viso pasiekiamos viešai.
- Žiniatinklio serveris turi prieigą prie vidinių sistemų, duomenų bazių ar failų saugyklų.
Kad paveiktos gali būti beveik visos PHP versijos, specializuota spauda nurodo kaip foną: pasak pranešimų, paveiktos versijos iki pat PHP 5.4. Kaip atrodo padėtis vidutinėse įmonėse, aprašo puslapis IT saugumas vidutinėms įmonėms ir pramonei.
Ką daryti nedelsiant
- Sudarykite krizės grupę. Vadovybė, IT, prireikus duomenų apsauga: keli žmonės, vienas sprendimų priėmėjas.
- Surinkite sistemas. Kurie serveriai, svetainės ir portalai paveikti arba galėjo būti? Pakanka paprasto sąrašo.
- Nieko nekeiskite. Jokio tvarkymo, jokio įrengimo iš naujo, jokio atsarginių kopijų atkūrimo.
- Leiskite patikrinti ryšius. Ar žiniatinklio serveris prijungtas prie vidinio tinklo? Tuomet ataka prieš svetainę gali paliesti daugiau nei tik svetainę.
- Kreipkitės į hostingo teikėją ir agentūrą. Paprašykite abiejų saugoti protokolus ir patvirtinti būseną bei atsakomybes. Kaip, aprašyta skyriuje Kaip paklausti hostingo teikėjo apie pataisų būseną.
- Apsaugokite prieigas. Slaptažodžius ir raktus keiskite tik pasitarę ir iš švarių įrenginių.
- Susisiekite dabar. Paskambinkite arba parašykite per WhatsApp.
Pirmoji pagalba žiniatinklio serveriams: kaip veikiame vidutinėse įmonėse
Vidutinė įmonė negali sau leisti prastovos, bet ir nekontroliuojamo įsikišimo. Todėl dirbame etapais, kurie kuo mažiau trikdo veiklą:
- 1 etapas, atskyrimas: išsiaiškiname, ar paveiktus serverius reikia laikinai apriboti. BSI esant PHP2Shell rekomenduoja atjungti žiniatinklio serverius nuo tinklo, jei atnaujinti iš karto neįmanoma.
- 2 etapas, išsaugojimas: išsaugome žurnalus, failus ir duomenų bazes, kad incidentas liktų įrodomas.
- 3 etapas, šalinimas: pataisa arba konfigūracija, visų PHP procesų paleidimas iš naujo, nežinomų prieigų uždarymas.
- 4 etapas, patikra: sistemoje ir jos aplinkoje, taip pat gretimuose serveriuose, ieškome pėdsakų ir pasekmių.
Lemiamas dalykas sprendimų priėmėjams: CMS atnaujinimas, pavyzdžiui, WordPress, PHP spragos neuždaro, o pataisa nepašalina jau įterpto kenkėjiško kodo. Kas po atnaujinimo sako „baigta“, neatliko pusės darbo.
Tipinės klaidos vidutinėse įmonėse pirmosiomis valandomis
Iš praktikos žinomi keli modeliai, didinantys žalą. Pirma, atsakomybė perstumdoma: hostingo teikėjas rodo į klientą, agentūra į hostingo teikėją, administratorius į vadovybę. Todėl anksti nustatykite, kas sprendžia. Antra, atkuriama per greitai. Senos atsarginės kopijos įkėlimas neuždarius įsilaužimo kelio užpuoliką sugrąžina kartu. Trečia, užstringa komunikacija: darbuotojai, klientai ir verslo partneriai apie incidentą sužino iš antrų rankų.
Skyriuje Krizių komunikacija po atakos rasite nuorodų, kaip tai ramiai išspręsti. Nykščio taisyklė: geriau pasakyti mažai, bet tai pagrįsta.
Kaip PHP SOS padeda konkrečiai?
- Įvertiname padėtį: su jumis išsiaiškiname sistemas, veikimo režimą (PHP-FPM, mod_php ar LiteSpeed), duomenis ir kontaktinius asmenis. Pirmoji apžvalga atsiranda greitai, net be išsamių žinių.
- Išsaugome ir uždarome: išsaugome pėdsakus ir uždarome įsilaužimo kelią be nereikalingo jūsų procesų trikdymo.
- Tikriname ir valome: ieškome ir šaliname webshell, užpakalines duris, cron užduotis ir svetimas paskyras. Išsamiau skyriuje Kenkėjiškos programinės įrangos ir webshell šalinimas.
- Sutvirtiname ir pateikiame ataskaitą: gaunate ataskaitą vadovybei, duomenų apsaugai ir draudikui. Pageidaujant kartu su jumis kuriame prevenciją, pavyzdžiui, per saugumo priežiūros sutartį.
Jei incidentas išauga už vieno žiniatinklio serverio ribų, pereiname prie struktūruoto incidentų valdymo (Incident Response).
Po to: prevencija be savo saugumo skyriaus
Kai incidentas užbaigtas, lieka klausimas, kaip užkirsti kelią kitam ar bent anksčiau jį pastebėti. Įmonėms be savo saugumo komandos svarbiausi keturi dalykai: aktualus visų svetainių ir serverių inventorius, aiškus kontaktinis asmuo atnaujinimams, patikrintos atsarginės kopijos ir trumpas IT avarinis planas.
Ar jūsų įmonei taikomos NIS2 pareigos, yra teisinis klausimas, į kurį neatsakome. Bendrą informaciją rasite mūsų puslapyje, įvertinimą atlieka teisininkas ar duomenų apsaugos pareigūnas.
Ką mums atsiųsti
- trumpas incidento ir jo laiko aprašymas
- svetainių, parduotuvių ir portalų sąrašas su hostingo teikėju ir, kiek žinoma, PHP versija
- administratoriaus, agentūros ir hostingo teikėjo, pažįstančių sistemą, pavadinimai
- žinios, ar žiniatinklio serveris sujungtas su vidinėmis sistemomis
- duomenys apie atsargines kopijas ir esamą kibernetinį draudimą
Kodėl PHP SOS
Dirbame Made in Germany ir kartu su savo kibernetinių specialistų partnerių tinklu daugiau nei 25 metus specializuojamės IT saugumo srityje. Jums tai reiškia: vienas kontaktinis asmuo vietoj daugelio, darbas nuotoliu be atvykimo visoje Vokietijoje ir Europoje bei dokumentacija, su kuria išsilaikote prieš klientus, draudiką ir institucijas. Atvirai atskiriame įrodytą, tikėtiną ir nežinomą ir nežadame to, ko niekas negali pažadėti.
Ar tai jus palietė? Skambinkite. Padėsime.
Pirmajai pagalbai nereikia savo saugumo skyriaus, o kontaktinio asmens, kuris pradeda. Perimame nuo pirmos žinutės ir pasiliekame, kol incidentas bus užbaigtas ir dokumentuotas. Pranešti apie avariją dabar.
Dažni klausimai
Ką daryti per kibernetinę ataką, jei nėra savo IT saugumo skyriaus?
Išsaugoti pėdsakus, nieko netrinti, paskirti sprendimų priėmėją ir pasikviesti išorinę pagalbą. Vidutinei įmonei nereikia mokėti viską patiems. Techninę pusę perimame mes ir dirbame kartu su jūsų administratoriumi, agentūra ar hostingo teikėju.
Ar mažos ir vidutinės įmonės apskritai yra atakų taikinys?
Taip. Automatizuoti skenavimai ieško nepataisytų serverių, nežiūrėdami į įmonės dydį. Dėl PHP2Shell Palo Alto Networks (Unit 42) suskaičiavo daugiau nei 22,6 mln. viešai pasiekiamų, galimai pažeidžiamų egzempliorių.
Ar mūsų veikla turi sustoti, jei žiniatinklio serveris buvo užpultas?
Nebūtinai. Dažnai svetainę ir parduotuvę galima atskirti, o vidinės sistemos toliau veikia. Pirmiausia išsiaiškiname, ar tarp žiniatinklio serverio ir jūsų vidinio tinklo yra ryšių.
Ar NIS2 taikoma mums ir ką tai reiškia incidento metu?
Ar jūsų įmonei taikoma NIS2, priklauso nuo sektoriaus ir dydžio ir yra teisinis klausimas. Apžvalgą pateikia mūsų NIS2 puslapis; jūsų atvejo įvertinimas priklauso teisininkui ar duomenų apsaugos pareigūnui.
Kaip pasiruošti kitam incidentui?
Su sistemų inventoriumi, paskirtu kontaktiniu asmeniu, patikrintomis atsarginėmis kopijomis ir trumpu avariniu planu. Padedame jį sukurti, kai ūmus incidentas bus užbaigtas.