Fil-qosor: Jekk huwiex DDoS jew attakk ta' hackers jidher mit-traċċi. DDoS joħloq ħafna talbiet u jagħmel il-websajt bil-mod jew mhux disponibbli, imma ma jbiddel xejn. Exploit ġeneralment jeħtieġ biss ftit talbiet u jħalli fajls, kontijiet, proċessi jew konnessjonijiet ġodda. Il-klassifikazzjoni t-tajba tiddeċiedi jekk għandkomx tilqgħu t-tagħbija jew tikkontrollaw inċident.
Id-differenza b'kliem sempliċi
Attakk DDoS (Distributed Denial of Service) huwa bħal folla ta' nies li timblokka d-dħul ta' ħanut. Ħadd ma jidħol, imma fil-ħanut ma jinsteraq xejn. L-għan huwa li tiġi mgħobbija żżejjed il-websajt jew is-server tagħkom, biex klijenti veri ma jkomplux jgħaddu.
Exploit, min-naħa l-oħra, huwa dħul minn bieb miftuħ. L-attakkant jisfrutta dgħufija, pereżempju f'PHP, fis-CMS jew f'estensjoni, biex jesegwixxi kodiċi fuq is-server tagħkom. Dan jista' jseħħ bil-kwiet, mingħajr ma l-websajt issir aktar bil-mod. Il-konsegwenzi jibdew minn paġni spam, jgħaddu minn serq ta' data u jilħqu t-teħid tas-server.
Għall-maniġment id-differenza hija deċiżiva: DDoS huwa problema ta' disponibbiltà li tispiċċa mal-attakk. Exploit b'suċċess huwa inċident tas-sigurtà li jibqa' sakemm jinstab, jitnaddaf u jiġi ddokumentat.
DDoS jew attakk ta' hackers: is-sinjali fil-paragun
It-tabella li ġejja tgħin fl-ewwel klassifikazzjoni. Ma tissostitwixxix analiżi, imma turi fejn għandkom tħarsu l-ewwel.
| Karatteristika | Aktar DDoS | Aktar exploit jew dħul |
|---|---|---|
| Disponibbiltà | bil-mod jew waqgħet | spiss normali |
| Talbiet fil-log | ħafna, spiss uniformi | ftit, talbiet immirati |
| Fajls | bla bidla | fajls PHP ġodda jew mibdula |
| Kontijiet | bla bidla | admins ġodda, passwords mibdula |
| Proċessi | server tal-web u PHP b'tagħbija sħiħa | proċessi mhux magħrufa, mining, bgħit ta' spam |
| Netwerk | ħafna traffiku li jidħol | konnessjonijiet mhux tas-soltu 'il barra |
| Wara t-tmiem | kollox bħal qabel | it-traċċi jibqgħu |
Attenzjoni għas-sovrapposizzjonijiet: scanning bil-massa għal vulnerabbiltà jista' jidher bħal DDoS żgħir. Eżattament dan kien mistenni madwar PHP2Shell, meta l-attakkanti fittxew servers vulnerabbli. Tagħbija għolja tista' għalhekk tfisser ukoll li xi ħadd bħalissa qed jipprova jidħol.
L-ewwel verifiki fuq is-server
Il-kmandi li ġejjin ma jbiddlu xejn fis-sistema u jagħtu ħarsa ġenerali mgħaġġla. Jekk hemm suspett ta' dħul, issalvaw il-logs qabel ma tagħmlu interventi akbar.
# Tagħbija u ħin tat-tħaddim
uptime
# Konnessjonijiet miġbura u l-aktar partijiet oħra frekwenti
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head
# L-aktar indirizzi tal-klijenti frekwenti fil-log tal-aċċess (adattaw il-mogħdija)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
# Fajls PHP li nbidlu fl-aħħar 7 ijiem
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Proċessi bl-ogħla tagħbija tas-CPU
ps aux --sort=-%cpu | head -15
Fil-ħarsa ġenerali tal-konnessjonijiet ir-raba' kolonna turi l-parti l-oħra. Ħafna konnessjonijiet minn ftit indirizzi jew żieda għal multiplu tal-valur normali jindikaw sovratagħbija. Fajls PHP ġodda f'direttorji tal-upload jew tal-cache, proċessi taħt l-utent tas-server tal-web b'ismijiet barranin jew konnessjonijiet 'il barra lejn destinazzjonijiet mhux magħrufa jindikaw aktar dħul. Lista dettaljata issibu taħt Sinjali ta' kompromess wara PHP2Shell.
Għaliex tagħbija għolja tista' tkun ukoll manuvra ta' distrazzjoni
Jiġri li l-attakkanti joħolqu sovratagħbija filwaqt li fl-istess ħin jidħlu b'mod immirat. It-tim huwa mgħabbi bid-disponibbiltà, u t-traċċi veri jintilfu fil-ħoss tal-logs. Għalhekk japplika: anke jekk DDoS ikun ovvju, wara t-tmiem tiegħu ivverifikaw il-fajls, il-kontijiet u l-konnessjonijiet 'il barra.
Fil-każ ta' PHP2Shell jiżdied li, skont php.net u l-kumpaniji tas-sigurtà, ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. L-identifikazzjoni tistrieħ fuq l-analiżi tal-imġiba. Server li kien mhux ippatchjat matul il-perjodu ta' scanning minn nofs Ottubru 'il quddiem għandu għalhekk jiġi vverifikat indipendentement mit-tagħbija osservata.
Varjant ieħor huma e-mails ta' estorsjoni li fihom jiġi mhedded attakk DDoS jekk ma jsirx ħlas. Żommu messaġġi bħal dawn, ma tħallsux mingħajr ma tikkonsultaw esperti u ikkunsidraw rapport lill-Zentrale Ansprechstelle Cybercrime (ZAC, il-punt ta' kuntatt taċ-ċiberkriminalità tal-pulizija Ġermaniża). Informaw fl-istess ħin lill-hoster tagħkom, biex jistgħu jiġu ppreparati miżuri ta' protezzjoni. Kif tevalwaw il-logs għal dan tinsab fil-gwida Kif tevalwaw il-logs tas-server wara attakk.
X'għandkom tagħmlu fl-ewwel sigħat
Meta hemm suspett ta' DDoS:
- Informaw lill-hoster jew liċ-ċentru tad-data; hemmhekk spiss hemm filtri quddiem is-server.
- Attivaw jew saħħu servizz ta' protezzjoni li jinsab quddiem jew WAF b'patching virtwali.
- Iffissaw rate limits fis-server tal-web u pproteġu b'mod speċjali paġni għaljin bħat-tiftix jew il-basket.
- Żommu l-logs, biex l-attakk aktar tard ikun jista' jiġi traċċat.
Meta hemm suspett ta' dħul:
- Tħassru xejn u terġgħux tistabbilixxu s-server qabel ma jiġu salvati l-logs u l-fajls affettwati.
- Aġġornaw PHP għal verżjoni rranġata u erġgħu ibdew il-workers kollha, jekk dan għadu ma sarx.
- Jekk l-aġġornament ma jkunx possibbli minnufih, neħħu temporanjament il-websajt min-netwerk, kif jirrakkomanda l-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni).
- Ġeddu l-kredenzjali minn apparat nadif, mhux mis-server possibbilment affettwat.
- Ħallu jiġi vverifikat jekk data personali tistax tkun affettwata; allura jistgħu jiġru limiti ta' notifika.
Fiż-żewġ każijiet tgħin nota qasira u fattwali għall-hoster u l-fornituri tas-servizzi: minn meta teżisti l-problema, liema websajts huma affettwati, x'osservajtu u x'ġie mibdul diġà. Innutaw ukoll min ħa liema deċiżjoni. Din l-iskeda taż-żmien tiffranka ħin fl-analiżi u aktar tard tiswa għall-assigurazzjoni, għall-protezzjoni tad-data u għat-trattament intern ta' wara. Jekk mhux ċar jekk hemmx attakk xorta waħda, ittrattaw is-sitwazzjoni b'prekawzjoni bħala inċident, sakemm ma jiġix ippruvat il-kuntrarju.
Kif tgħin PHP SOS b'mod konkret?
- Nikklassifikaw is-sitwazzjoni remotament skont it-tagħbija, il-logs, il-fajls u l-konnessjonijiet u ngħidulkom bi ħsiebna x'probabbilment qed tittrattaw.
- Fil-każ ta' sovratagħbija napplikaw filtri, rate limits u regoli ta' protezzjoni quddiem, sakemm l-attakk jonqos.
- Fil-każ ta' suspett ta' dħul nieħdu f'idejna l-Incident Response strutturat: insalvaw, nillimitaw, insibu l-kawża, ninnadfu.
- Fl-aħħar niddokumentaw x'ġara u liema miżuri ġew implimentati, sakemm l-inċident jingħalaq.
Mistoqsijiet frekwenti
Attakk DDoS jista' jisraq data?
Attakk DDoS pur jimmira lejn id-disponibbiltà, mhux lejn id-data. Ma jbiddel l-ebda fajl u ma jaqra l-ebda database. Jista', madankollu, jidher fl-istess ħin ma' tentattiv ta' dħul, u għalhekk xorta jixraq li titħares lejn il-fajls u l-kontijiet.
Kif nagħraf li l-websajt tiegħi ġiet hackjata?
Indikazzjonijiet tipiċi huma fajls PHP ġodda jew mibdula, kontijiet ta' amministratur mhux magħrufa, ridirezzjonijiet lejn paġni barranin, konnessjonijiet mhux mistennija 'il barra u proċessi li ma jaqblux mal-applikazzjoni tagħkom. Sinjal wieħed mhuwiex prova, diversi flimkien huma sinjal serju.
CDN jew WAF jgħinu kontra ż-żewġ tipi ta' attakk?
Kontra attakki bbażati fuq il-volum servizz li jinsab quddiem ġeneralment jgħin tajjeb. Kontra exploits ir-regoli jaħdmu biss jekk jagħrfu l-mudell. F'PHP2Shell Cloudflare stess tindika li regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed.
Irrid nirrapporta attakk DDoS?
Dan jiddependi mill-każ individwali u mis-settur tagħkom. Mingħajr aċċess għal data personali, l-obbligu ta' notifika skont il-GDPR ġeneralment ma japplikax, imma jistgħu jeżistu obbligi speċifiċi għas-settur. Iċċarawh mal-uffiċjal tal-protezzjoni tad-data jew ma' avukat.