Īsi: vai esat skarti? Zvaniet. Mēs palīdzam. Ja jums ir IT ārkārtas situācija tīmekļa serverī un nav pie rokas speciālista, pasūtiet mūs ar vienu ziņu: mēs uzņemamies darbu no pirmās ziņas, strādājam attālināti bez ierašanās un visu fiksējam rakstiski, līdz incidents ir noslēgts un dokumentēts.
Tagad neko neizdzēsiet un neuzstādiet no jauna. Arī ne kā sagatavošanos pakalpojumu sniedzējam. Sistēmas stāvoklis ir svarīgākais pierādījums. Pieteikt ārkārtas gadījumu, un mēs kopā noskaidrosim piekļuves un lomas.
Vai esat skarti? Kad nepieciešams ārkārtas pakalpojumu sniedzējs
Ne katrs traucējums ir drošības incidents. Ārkārtas pakalpojumu sniedzējs ir lietderīgs, ja atbilst vismaz viens no šiem punktiem:
- Jūsu tīmekļa serveris uzvedas neparasti, un uzņēmumā neviens nevar noteikt iemeslu.
- Ir aizdomas par ļaunprātīgu kodu, ielaušanos vai aizplūdušiem datiem.
- Hostinga sniedzējs ir bloķējis piedāvājumu vai pieprasa attīrīšanu.
- Jūsu PHP versija ir veca vai neskaidra, un nezināt, vai PHP2Shell ievainojamības ir izmantotas.
- Pašu IT nodaļa vai aģentūra nav sasniedzama vai nav pieredzes ar incidentiem.
Aizdomas ir pietiekamas. Vai tiksiet galā paši vai vajadzīgs atbalsts, var izvērtēt ar lapas Novērst pašiem vai piesaistīt pakalpojumu sniedzēju? palīdzību.
Ko darīt tūlīt
- Iesaldēt stāvokli. Nekādu izmaiņu serverī, nekādas sakopšanas, nekādu atjauninājumu aklā veidā.
- Uzskaitīt piekļuves. Kādas paneļa, SSH, CMS un datubāzes piekļuves pastāv un kas tās pārvalda?
- Informēt hostinga sniedzēju. Palūdziet viņu saglabāt žurnālus un snapshot. Neslēpiet neko, kas viņam jāzina.
- Noteikt lēmumu pieņēmēju. Kas uzņēmumā apstiprina izslēgšanu, pārstartēšanu un paroļu maiņu?
- Noskaidrot datu situāciju. Vai sistēmā atrodas personas dati, maksājumu dati vai komercnoslēpumi?
- Informēt iesaistītos. Datu aizsardzības speciālistu un, ja ir, kiberapdrošinātāju.
- Pasūtīt pakalpojumu sniedzēju. Zvaniet vai rakstiet WhatsApp. Mēs uzņemamies darbu no pirmās ziņas.
Kā norit pasūtīšana
Ārkārtas situācija nepieļauj garu līguma procesu, bet nepieļauj arī nepilnības atbildībā un datu aizsardzībā. Tāpēc rīkojamies šādā secībā:
- Pirmā saruna: Mēs uzklausām situāciju un uzdodam tos nedaudzos jautājumus, kas vajadzīgi pirmajam vērtējumam.
- Saskaņot ietvaru: Kopā noskaidrojam, kuras sistēmas drīkstam pārbaudīt, kas lemj un kā apmainīsimies ar informāciju.
- Sakārtot datu aizsardzību: Ja piekļūstam sistēmām ar personas datiem, apspriežam nepieciešamo datu apstrādes vienošanos. Pamatus paskaidro lapa Datu apstrāde servera piekļuves gadījumā.
- Iestatīt piekļuvi: Jūs mums dodat tikai tās tiesības, kas vajadzīgas uzdevumam. Pēc noslēguma piekļuves tiek atsauktas.
- Darbs un ziņojumi: Mēs ziņojam par starpposmiem un rezultātus fiksējam rakstiski.
Kā principā salīdzināt piedāvātājus, ir aprakstīts rakstā IT drošības pakalpojumu sniedzēja izvēle: 12 jautājumi. Līgumiskos pienākumus drošības jomā aplūko raksts Pakalpojumu sniedzēju līgumi: skaidri noregulēt drošības pienākumus.
Kā PHP SOS palīdz konkrēti?
- Situācijas attēls: Kas ir noticis, kuri serveri darbojas, kādas PHP versijas un kāds darbības režīms (PHP-FPM, mod_php, LiteSpeed) tiek izmantots?
- Saglabāt un aizvērt: Mēs saglabājam žurnālus, failus un datubāzi. Pēc tam novēršam cēloni: ielāps, konfigurācija vai piekļuvju bloķēšana, ar visu PHP procesu pārstartēšanu.
- Pārbaudīt un attīrīt: Mēs meklējam webshell, slēptās piekļuves, cron uzdevumus un svešas piekļuves un noņemam tās vai pārbūvējam no tīriem avotiem.
- Nostiprināt un ziņot: Jūs saņemat ziņojumu ar laika joslu, atradumiem un ieteikumiem. Lielāku incidentu gadījumā pārejam uz Incident Response.
Ja pagaidām runa ir tikai par PHP ievainojamību un ielāpa pierādījumu, der PHP2Shell ārkārtas palīdzība uzņēmumiem. Ja ir ļaunprātīgs kods, pareizais sākumpunkts ir ļaunprogrammatūras noņemšana.
Kā atpazīt nopietnu ārkārtas pakalpojumu sniedzēju
Ārkārtas situācijā daudzi tver pirmo pretī nākošo piedāvātāju. Trīs jautājumi palīdz minūtēs sakārtot situāciju. Pirmkārt: vai vispirms tiek saglabāts un tikai tad mainīts? Kas nekavējoties „sakopj“, apgrūtina vēlāku izmeklēšanu. Otrkārt: vai rakstiski tiek fiksēts, kas atrasts un darīts? Bez dokumentācijas ar to nespēj sākt neko ne apdrošinātājs, ne datu aizsardzības speciālists. Treškārt: vai tiek nosauktas robežas? Piedāvātājs, kas visu uzskata par izpildāmu, pirms ir redzējis sistēmu, jāvērtē piesardzīgi.
Pārbaudiet arī, vai pakalpojumu sniedzējs saprot jūsu darbības režīmu. PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed ielāpošanas laikā uzvedas atšķirīgi, un pēc atjaunināšanas jāpārstartē visi procesi, citādi atmiņā turpina darboties vecais stāvoklis.
Ko ārkārtas pakalpojumu sniedzējs nevar nodrošināt
Ir vērts iepriekš zināt robežas. Neviens pakalpojumu sniedzējs nevar atpakaļejoši izveidot žurnālus, kas nekad nav rakstīti vai jau ir pārrakstīti. Ja pēdu trūkst, mēs nepilnības nosaucam atklāti. Tāpat neviens nevar apsolīt, ka attīrīta sistēma nekad vairs netiks uzbrukta. Un juridiskā konsultācija nav mūsu uzdevuma daļa: jautājumi par ziņošanas pienākumiem, atbildību un apdrošināšanu jāvērš pie datu aizsardzības speciālista, advokāta un apdrošinātāja, mēs viņiem sniedzam tehniskos faktus.
Ko jums vajadzētu mums nosūtīt
- īss incidenta apraksts un laiks, kad tas tika pamanīts
- skartie domēni, serveri un, ciktāl zināms, PHP versija
- hostinga sniedzēja nosaukums un līguma veids (Shared Hosting, vServer, Root serveris, pārvaldīts serveris)
- kontaktpersona ar lēmumu pieņemšanas tiesībām
- esošās rezerves kopijas un to stāvoklis
Kāpēc PHP SOS
Mēs strādājam pēc principa Made in Germany un jau vairāk nekā 25 gadus kopā ar savu kiberspeciālistu partneru tīklu esam specializējušies IT drošībā. Jūs runājat ar vienu pastāvīgu kontaktpersonu, mēs strādājam attālināti visā Vācijā un Eiropā un dokumentējam katru soli. Mēs atklāti sakām, kas ir apliecināts un kas nav, un nesniedzam solījumus, ko nespēj dot neviens nopietns pakalpojumu sniedzējs. Mūsu secība vienmēr ir tāda pati: vispirms saglabāt, tad mainīt, tad ziņot.
Vai esat skarti? Zvaniet. Mēs palīdzam.
Nemeklējiet tālāk piemērotu pakalpojumu sniedzēju, kamēr incidents turpinās. Zvaniet vai rakstiet WhatsApp, mēs uzņemamies darbu no pirmās ziņas. Pieteikt ārkārtas gadījumu tagad.
Biežāk uzdotie jautājumi
Kā atpazīt labu IT ārkārtas pakalpojumu sniedzēju?
Viņš saglabā pēdas, pirms kaut ko maina, atklāti nošķir apliecināto no pieņemtā, dokumentē katru soli un nesola brīnumus. Piesardzīgiem jābūt pret apgalvojumiem kā „garantēti viss tīrs“, jo to neviens nopietni nevar apsolīt.
Kādas piekļuves pakalpojumu sniedzējam vajadzīgas IT ārkārtas situācijā?
Parasti SSH vai paneļa piekļuve serverim, piekļuve CMS aizkulisēm un datubāzei vai jūsu atļauja runāt ar hostinga sniedzēju. Dodiet tikai to, kas nepieciešams, un pierakstiet, kam kad kāda piekļuve ir piešķirta.
Vai attālinātai piekļuvei man vajadzīgs datu apstrādes līgums?
Ja pakalpojumu sniedzējs piekļūst sistēmām ar personas datiem, parasti nepieciešama datu apstrādes regulēšana. Vērtējumu sniedz datu aizsardzības speciālists vai advokāts. Mēs to noskaidrojam kopā ar jums jau sākumā.
Kāda ir atšķirība starp Incident Response un ļaunprogrammatūras noņemšanu?
Ļaunprogrammatūras noņemšana attīra inficētu sistēmu. Incident Response ir plašāks: tas ietver situācijas attēlu, ierobežošanu, attīrīšanu, komunikāciju un pēcapstrādi, bieži vairākās sistēmās.
Vai jāiesaista mans hostinga sniedzējs?
Bieži jā, piemēram, snapshot, žurnālu vai bloķējumu atcelšanai. Mēs saskaņojamies ar jūsu hostinga sniedzēju, ja to atļaujat. Ko var pārbaudīt, atkarīgs no tiesībām, ko saņemam.