Īsi: vai esat skarti? Zvaniet. Mēs palīdzam. Vidējos uzņēmumos bieži trūkst savas drošības nodaļas, un tieši tāpēc esam mēs: no pirmās ziņas mēs attālināti uzņemamies pirmo palīdzību jūsu tīmekļa serveriem, saglabājam pēdas, aizveram ievainojamību, attīrām un dokumentējam, līdz incidents ir noslēgts.
Tagad neko neizdzēsiet un neuzstādiet no jauna. Tas attiecas arī tad, ja darbība steidzina un vietnei jādarbojas atkal. Vispirms saglabāt, tad labot. Pieteikt ārkārtas gadījumu, un mēs pateiksim, ko varat droši darīt paši.
Vai esat skarti? Tipiska situācija vidējā uzņēmumā
Kas vada uzņēmumu ar 20, 200 vai 800 darbiniekiem, tam parasti ir viens vai divi cilvēki IT jomā, aģentūra vietnei un hostinga sniedzējs serverim. Tas ir normāli, bet nopietnā gadījumā atklāj nepilnības. Akūts apdraudējums ir ticams, ja:
- Jūsu vietne, klientu portāls vai tiešsaistes veikals darbojas uz PHP un neviens droši nezina, kāda tieši versija.
- Hostinga sniedzējs, klients vai brīdinājums pārlūkprogrammā ziņo par neparastām parādībām.
- Jūsu administrators ziņo, ka faili vai konti tīmekļa serverī nav izskaidrojami.
- Jūs nezināt, kuras sistēmas vispār ir publiski sasniedzamas.
- Tīmekļa serverim ir piekļuve iekšējām sistēmām, datubāzēm vai failu krātuvēm.
Ka skartas var būt gandrīz visas PHP versijas, speciālistu prese min kā fonu: saskaņā ar ziņojumiem ir skartas versijas līdz pat PHP 5.4. Kāda situācija ir vidējos uzņēmumos, apraksta lapa IT drošība vidējiem uzņēmumiem un rūpniecībai.
Ko darīt tūlīt
- Izveidot krīzes grupu. Vadība, IT, vajadzības gadījumā datu aizsardzība: dažas personas, viens lēmumu pieņēmējs.
- Apkopot sistēmas. Kuri serveri, vietnes un portāli ir skarti vai varētu būt? Pietiek ar vienkāršu sarakstu.
- Neko nemainīt. Nekādas sakopšanas, nekādas pārinstalēšanas, nekādas rezerves kopiju atjaunošanas.
- Likt pārbaudīt savienojumus. Vai tīmekļa serveris ir pieslēgts iekšējam tīklam? Tad uzbrukums vietnei var skart vairāk nekā tikai vietni.
- Vērsties pie hostinga sniedzēja un aģentūras. Palūdziet abus saglabāt protokolus un apstiprināt stāvokli un atbildības. Kā, ir lapā Kā pajautāt hostinga sniedzējam par ielāpa stāvokli.
- Nodrošināt piekļuves. Paroles un atslēgas mainīt tikai pēc saskaņošanas un no tīrām ierīcēm.
- Sazinieties ar mums tagad. Zvaniet vai rakstiet WhatsApp.
Pirmā palīdzība tīmekļa serveriem: kā mēs rīkojamies vidējos uzņēmumos
Vidējs uzņēmums nevar atļauties dīkstāvi, bet arī ne nekontrolētu iejaukšanos. Tāpēc strādājam pa posmiem, kas pēc iespējas mazāk traucē notiekošo darbību:
- 1. posms, norobežot: Mēs noskaidrojam, vai skartie serveri uz laiku jāierobežo. BSI PHP2Shell gadījumā iesaka tīmekļa serverus atvienot no tīkla, ja atjauninājums nav uzreiz iespējams.
- 2. posms, saglabāt: Mēs saglabājam žurnālus, failus un datubāzes, lai incidents paliktu pierādāms.
- 3. posms, novērst: Ielāps vai konfigurācija, visu PHP procesu pārstartēšana, nezināmu piekļuvju aizvēršana.
- 4. posms, pārbaudīt: Mēs meklējam sistēmā un apkārtnē pēdas un sekojošus bojājumus, arī blakus serveros.
Izšķirošs punkts lēmumu pieņēmējiem: CMS atjauninājums, piemēram, WordPress, PHP ievainojamību neaizver, un ielāps nenoņem jau ievadītu ļaunprātīgu kodu. Kas pēc atjaunināšanas saka „gatavs“, ir izdarījis tikai pusi darba.
Tipiskas kļūdas vidējos uzņēmumos pirmajās stundās
No prakses ir zināmi daži modeļi, kas palielina kaitējumu. Pirmkārt, atbildība tiek stumta pa riņķi: hostinga sniedzējs atsaucas uz klientu, aģentūra uz hostinga sniedzēju, administrators uz vadību. Tāpēc agri nosakiet, kas lemj. Otrkārt, atjaunošana notiek pārāk ātri. Vecas rezerves kopijas atjaunošana, neaizverot ielaušanās durvis, uzbrucēju atved atpakaļ. Treškārt, komunikācija paliek neizdarīta: darbinieki, klienti un sadarbības partneri par incidentu uzzina no otrajām rokām.
Lapā Krīzes komunikācija pēc uzbrukuma atradīsiet norādes, kā to mierīgi atrisināt. Kā pamatnoteikums der šāds: labāk teikt maz, bet pamatoti.
Kā PHP SOS palīdz konkrēti?
- Situācijas attēls: Mēs kopā ar jums noskaidrojam sistēmas, darbības režīmu (PHP-FPM, mod_php vai LiteSpeed), datus un kontaktpersonas. Pirmais pārskats rodas ātri, arī bez detalizētām zināšanām.
- Saglabāt un aizvērt: Mēs saglabājam pēdas un aizveram ielaušanās durvis, nevajadzīgi netraucējot jūsu procesus.
- Pārbaudīt un attīrīt: Webshell, slēptās piekļuves, cron uzdevumi un svešie konti tiek meklēti un noņemti. Sīkāk Ļaunprogrammatūras un webshell noņemšanā.
- Nostiprināt un ziņot: Jūs saņemat ziņojumu vadībai, datu aizsardzībai un apdrošinātājam. Pēc vēlēšanās kopā ar jums veidojam profilaksi, piemēram, ar drošības uzturēšanas līgumu.
Ja incidents aug ārpus viena tīmekļa servera, pārejam uz strukturētu Incident Response.
Pēc tam: profilakse bez savas drošības nodaļas
Kad incidents ir noslēgts, paliek jautājums, kā novērst nākamo vai vismaz to atpazīt ātrāk. Uzņēmumiem bez savas drošības komandas vissvarīgākās ir četras lietas: aktuāls visu vietņu un serveru inventārs, skaidra kontaktpersona atjauninājumiem, pārbaudītas rezerves kopijas un īss IT ārkārtas rīcības plāns.
Vai jūsu uzņēmumam piemērojami NIS2 pienākumi, ir juridisks jautājums, uz ko mēs neatbildam. Vispārīgu informāciju atradīsiet mūsu lapā, vērtējumu sniedz advokāts vai datu aizsardzības speciālists.
Ko jums vajadzētu mums nosūtīt
- īss incidenta un laika apraksts
- vietņu, veikalu un portālu saraksts ar hostinga sniedzēju un, ciktāl zināms, PHP versiju
- administratora, aģentūras un hostinga sniedzēja vārdi, kas pazīst sistēmu
- norādes, vai tīmekļa serveris ir savienots ar iekšējām sistēmām
- dati par rezerves kopijām un esošu kiberapdrošināšanu
Kāpēc PHP SOS
Mēs strādājam pēc principa Made in Germany un jau vairāk nekā 25 gadus kopā ar savu kiberspeciālistu partneru tīklu esam specializējušies IT drošībā. Jums tas nozīmē: viena kontaktpersona daudzu vietā, darbs attālināti bez ierašanās visā Vācijā un Eiropā un dokumentācija, ar kuru varat pamatot savu rīcību pret klientiem, apdrošinātāju un iestādēm. Mēs atklāti nošķiram apliecināto, iespējamo un nezināmo un nesolām neko, ko neviens nevar izpildīt.
Vai esat skarti? Zvaniet. Mēs palīdzam.
Pirmajai palīdzībai jums nav vajadzīga sava drošības nodaļa, bet kontaktpersona, kas sāk darbu. Mēs uzņemamies darbu no pirmās ziņas un paliekam klāt, līdz incidents ir noslēgts un dokumentēts. Pieteikt ārkārtas gadījumu tagad.
Biežāk uzdotie jautājumi
Ko darīt kiberuzbrukuma gadījumā bez savas IT drošības nodaļas?
Saglabāt pēdas, neko neizdzēst, nozīmēt lēmumu pieņēmēju un sagādāt ārēju palīdzību. Vidējam uzņēmumam nav jāprot viss pašam. Mēs uzņemamies tehnisko pusi un strādājam kopā ar jūsu administratoru, aģentūru vai hostinga sniedzēju.
Vai mazi un vidēji uzņēmumi vispār ir uzbrukumu mērķis?
Jā. Automatizēta skenēšana meklē neielāpotus serverus, nepievēršot uzmanību uzņēmuma lielumam. PHP2Shell gadījumā Palo Alto Networks (Unit 42) saskaitīja vairāk nekā 22,6 miljonus pieejamu, potenciāli ievainojamu instanču.
Vai mūsu darbībai jāapstājas, ja tīmekļa serveris ir uzbrukts?
Ne obligāti. Bieži vietni un veikalu var norobežot, kamēr iekšējās sistēmas turpina darboties. Mēs vispirms noskaidrojam, vai starp tīmekļa serveri un jūsu iekšējo tīklu pastāv savienojumi.
Vai NIS2 attiecas uz mums un ko tas nozīmē incidenta gadījumā?
Vai jūsu uzņēmumam piemēro NIS2, atkarīgs no nozares un lieluma, un tas ir juridisks jautājums. Pārskatu sniedz mūsu NIS2 lapa; vērtējumu jūsu gadījumam sniedz advokāts vai datu aizsardzības speciālists.
Kā sagatavoties nākamajam incidentam?
Ar sistēmu inventāru, nozīmētu kontaktpersonu, pārbaudītām rezerves kopijām un īsu ārkārtas rīcības plānu. Mēs palīdzam to izveidot pēc tam, kad akūtais incidents ir noslēgts.