Trumpai: Ar tai jus palietė? Skambinkite. Padėsime. Jei turite IT avariją žiniatinklio serveryje ir po ranka nėra specialisto, pakanka vienos žinutės: perimame darbą nuo pirmos žinutės, dirbame nuotoliu be atvykimo ir viską fiksuojame raštu, kol incidentas bus užbaigtas ir dokumentuotas.
Dabar nieko netrinkite ir neįrenkite iš naujo. Taip pat ne kaip pasiruošimo paslaugų teikėjui. Sistemos būsena yra svarbiausias įrodymas. Pranešti apie avariją, o prieigas ir vaidmenis išsiaiškinsime kartu.
Ar tai jus palietė? Kada reikia avarinio paslaugų teikėjo
Ne kiekvienas sutrikimas yra saugumo incidentas. Avarinis paslaugų teikėjas prasmingas, kai tinka bent vienas iš šių punktų:
- Jūsų žiniatinklio serveris elgiasi įtartinai ir niekas namuose negali įvertinti priežasties.
- Yra įtarimas dėl kenkėjiško kodo, įsilaužimo ar nutekėjusių duomenų.
- Hostingo teikėjas užblokavo paslaugą arba reikalauja išvalymo.
- Jūsų PHP versija sena arba neaiški ir nežinote, ar PHP2Shell spragos buvo išnaudotos.
- Jūsų IT ar agentūra nepasiekiama arba neturi patirties su incidentais.
Pakanka įtarimo. Ar galite tvarkytis patys, ar reikia pagalbos, galima įvertinti puslapyje Taisyti pačiam ar kviesti paslaugų teikėją?.
Ką daryti nedelsiant
- Užšaldykite būseną. Jokių serverio pakeitimų, jokių tvarkymo veiksmų, jokių atnaujinimų aklai.
- Surašykite prieigas. Kokios yra valdymo skydelio, SSH, CMS ir duomenų bazės prieigos ir kas jas administruoja?
- Informuokite hostingo teikėją. Paprašykite jo išsaugoti žurnalus ir momentines kopijas. Nenutylėkite to, ką jis turi žinoti.
- Paskirkite sprendimų priėmėją. Kas įmonėje leidžia išjungimus, paleidimus iš naujo ir slaptažodžių keitimus?
- Išsiaiškinkite duomenų padėtį. Ar sistemoje yra asmens duomenų, mokėjimo duomenų ar verslo paslapčių?
- Informuokite dalyvius. Duomenų apsaugos pareigūną ir, jei yra, kibernetinį draudiką.
- Pasitelkite paslaugų teikėją. Paskambinkite arba parašykite per WhatsApp. Perimame nuo pirmos žinutės.
Kaip vyksta užsakymas
Avarijai netinka ilgas sutarčių procesas, bet netinka ir spragos atsakomybėje bei duomenų apsaugoje. Todėl veikiame tokia tvarka:
- Pirmas pokalbis: išklausome padėtį ir užduodame kelis klausimus, reikalingus pirmam vertinimui.
- Suderiname rėmus: kartu išsiaiškiname, kurias sistemas galime tikrinti, kas sprendžia ir kaip keičiamės informacija.
- Sutvarkome duomenų apsaugą: jei jungiamės prie sistemų su asmens duomenimis, aptariame reikiamą duomenų tvarkymo susitarimą (Auftragsverarbeitung). Pagrindus aiškina puslapis Duomenų tvarkymas prieigos prie serverio atveju.
- Įrengiame prieigą: suteikiate mums tik teises, reikalingas užduočiai. Pabaigus prieigos atšaukiamos.
- Darbas ir ataskaitos: pranešame tarpinius rezultatus ir rezultatus fiksuojame raštu.
Kaip iš esmės palyginti teikėjus, aprašyta Kaip pasirinkti IT saugumo paslaugų teikėją: 12 klausimų. Sutartines pareigas dėl saugumo aptaria Paslaugų teikėjų sutartys: aiškiai sureguliuokite saugumo pareigas.
Kaip PHP SOS padeda konkrečiai?
- Įvertiname padėtį: kas įvyko, kokie serveriai veikia, kokios PHP versijos ir koks veikimo režimas (PHP-FPM, mod_php, LiteSpeed) naudojami?
- Išsaugome ir uždarome: išsaugome žurnalus, failus ir duomenų bazę. Tada pašaliname priežastį: pataisa, konfigūracija ar prieigų blokavimas, paleidžiant iš naujo visus PHP procesus.
- Tikriname ir valome: ieškome webshell, užpakalinių durų, cron užduočių ir svetimų prieigų ir jas pašaliname arba iš naujo sukuriame iš švarių šaltinių.
- Sutvirtiname ir pateikiame ataskaitą: gaunate ataskaitą su laiko juosta, radiniais ir rekomendacijomis. Didesniems incidentams pereiname prie incidentų valdymo (Incident Response).
Jei pirmiausia kalbama tik apie PHP spragą ir pataisos įrodymą, tinka PHP2Shell skubi pagalba įmonėms. Jei yra kenkėjiško kodo, tinkamas pradžios taškas yra kenkėjiškos programinės įrangos šalinimas.
Kaip atpažinti rimtą avarinių situacijų paslaugų teikėją
Avarijos metu daugelis griebiasi pirmo pasitaikiusio teikėjo. Trys klausimai padeda per minutes sutvarkyti padėtį. Pirma: ar pirmiausia išsaugoma ir tik tada keičiama? Kas iš karto „tvarko“, užkerta kelią vėlesniam išaiškinimui. Antra: ar raštu fiksuojama, kas rasta ir padaryta? Be dokumentacijos nei draudikai, nei duomenų apsaugos pareigūnai su tuo nieko negali padaryti. Trečia: ar įvardijamos ribos? Teikėjas, kuris viską paskelbia įmanoma dar nematęs sistemos, vertintinas atsargiai.
Patikrinkite ir tai, ar paslaugų teikėjas supranta jūsų veikimo režimą. PHP-FPM, Apache su mod_php, php-cgi, FrankenPHP ir LiteSpeed taisant elgiasi skirtingai, o po atnaujinimo visi procesai turi būti paleisti iš naujo, kitaip atmintyje toliau veikia senoji būsena.
Ko avarinis paslaugų teikėjas padaryti negali
Verta iš anksto žinoti ribas. Joks paslaugų teikėjas negali atgaline data sukurti žurnalų, kurie niekada nebuvo rašomi ar jau buvo perrašyti. Kai trūksta pėdsakų, spragas įvardijame atvirai. Be to, niekas negali užtikrinti, kad išvalyta sistema niekada nebus užpulta iš naujo. O teisinės konsultacijos į mūsų užduotį nepatenka: klausimai dėl pranešimo pareigų, atsakomybės ir draudimo skirti duomenų apsaugos pareigūnui, teisininkui ir draudikui, jiems pateikiame techninius faktus.
Ką mums atsiųsti
- trumpas incidento aprašymas ir laikas, kada jis pastebėtas
- paveikti domenai, serveriai ir, kiek žinoma, PHP versija
- hostingo teikėjo pavadinimas ir sutarties rūšis (bendrinamas hostingas, vServer, root serveris, valdomas serveris)
- kontaktinis asmuo, galintis priimti sprendimus
- esamos atsarginės kopijos ir jų būsena
Kodėl PHP SOS
Dirbame Made in Germany ir kartu su savo kibernetinių specialistų partnerių tinklu daugiau nei 25 metus specializuojamės IT saugumo srityje. Kalbate su nuolatiniu kontaktiniu asmeniu, dirbame nuotoliu visoje Vokietijoje ir Europoje ir dokumentuojame kiekvieną žingsnį. Atvirai sakome, kas įrodyta, o kas ne, ir nežadame to, ko rimtas paslaugų teikėjas pažadėti negali. Mūsų eiliškumas visada tas pats: pirmiausia išsaugoti, tada keisti, tada pateikti ataskaitą.
Ar tai jus palietė? Skambinkite. Padėsime.
Neieškokite tinkamo paslaugų teikėjo, kol incidentas vyksta. Paskambinkite arba parašykite per WhatsApp, perimame nuo pirmos žinutės. Pranešti apie avariją dabar.
Dažni klausimai
Kaip atpažinti gerą IT avarijų paslaugų teikėją?
Jis išsaugo pėdsakus prieš ką nors keisdamas, atvirai atskiria įrodytą nuo spėjamo, dokumentuoja kiekvieną žingsnį ir nežada stebuklų. Atsargiai reikėtų vertinti tokius teiginius kaip „garantuotai viskas švaru“, nes to rimtai užtikrinti negali niekas.
Kokių prieigų IT avarijos metu reikia paslaugų teikėjui?
Paprastai SSH ar valdymo skydelio prieigos prie serverio, prieigos prie CMS administravimo dalies ir duomenų bazės arba jūsų leidimo kalbėtis su hostingo teikėju. Duokite tik tai, kas būtina, ir užfiksuokite, kas, kada ir kokią prieigą gavo.
Ar nuotolinei prieigai man reikia duomenų tvarkymo sutarties?
Jei paslaugų teikėjas jungiasi prie sistemų su asmens duomenimis, dažniausiai reikalinga duomenų tvarkymo susitarimo (Auftragsverarbeitung) tvarka. Vertinimą atlieka duomenų apsaugos pareigūnai ar teisininkai. Tai išsiaiškiname su jumis pačioje pradžioje.
Kuo skiriasi incidentų valdymas (Incident Response) nuo kenkėjiškos programinės įrangos šalinimo?
Kenkėjiškos programinės įrangos šalinimas išvalo užkrėstą sistemą. Incidentų valdymas yra platesnis: jis apima padėties vaizdą, suvaldymą, išvalymą, komunikaciją ir paruošimą ateičiai, dažnai per kelias sistemas.
Ar turi dalyvauti mano hostingo teikėjas?
Dažnai taip, pavyzdžiui, dėl momentinių kopijų (snapshot), žurnalų ar blokavimų panaikinimo. Su jūsų hostingo teikėju derinamės, jei tai leidžiate. Ką galima patikrinti, priklauso nuo mums suteiktų teisių.