Pe scurt: Sunteți afectat? Sunați-ne. Vă ajutăm. În firmele mijlocii lipsește adesea un departament propriu de securitate, iar exact pentru aceasta suntem noi aici: preluăm de la primul mesaj, la distanță, primul ajutor pentru serverele dumneavoastră web, conservăm urmele, închidem vulnerabilitatea, curățăm și documentăm, până când incidentul este încheiat.
Acum nu ștergeți nimic și nu reinstalați nimic. Aceasta se aplică și atunci când activitatea presează și site-ul trebuie să funcționeze din nou. Mai întâi salvați, apoi reparați. Anunțați urgența; vă spunem ce puteți face singur fără risc.
Sunteți afectat? Situația tipică în firmele mijlocii
Cine conduce o companie cu 20, 200 sau 800 de angajați are de obicei una sau două persoane pentru IT, o agenție pentru site și un furnizor de hosting pentru server. Este normal, dar scoate la iveală lacune în caz grav. Un pericol acut este probabil dacă:
- Site-ul, portalul de clienți sau magazinul online rulează pe PHP și nimeni nu știe sigur ce versiune anume.
- Un furnizor de hosting, un client sau un avertisment din browser semnalează anomalii.
- Administratorul dumneavoastră raportează că fișiere sau conturi de pe serverul web nu pot fi explicate.
- Nu știți ce sisteme sunt, de fapt, accesibile public.
- Serverul web are acces la sisteme interne, baze de date sau depozite de fișiere.
Faptul că aproape toate versiunile PHP pot fi afectate este menționat de presa de specialitate drept context: potrivit rapoartelor, sunt afectate versiunile până înapoi la PHP 5.4. Cum arată situația în firmele mijlocii descrie pagina Securitate IT pentru firme mijlocii și industrie.
Ce faceți imediat
- Formați o celulă de criză. Conducerea, IT, eventual protecția datelor: puține persoane, un singur factor de decizie.
- Adunați sistemele. Ce servere, site-uri și portaluri sunt afectate sau ar putea fi? O listă simplă este suficientă.
- Nu modificați nimic. Fără acțiuni de curățare, fără reinstalare, fără restaurarea copiilor de siguranță.
- Verificați conexiunile. Serverul web este conectat la rețeaua internă? Atunci un atac asupra site-ului poate afecta mai mult decât doar site-ul.
- Abordați furnizorul de hosting și agenția. Rugați-i pe amândoi să păstreze jurnalele și să confirme starea și responsabilitățile. Cum, găsiți la Cum vă întrebați furnizorul de hosting despre starea patchului.
- Securizați accesurile. Parolele și cheile se schimbă doar după înțelegere și de pe dispozitive curate.
- Contactați-ne acum. Sunați-ne sau scrieți-ne pe WhatsApp.
Primul ajutor pentru serverele web: cum procedăm în firmele mijlocii
O firmă mijlocie nu își poate permite o oprire, dar nici o intervenție necontrolată. De aceea lucrăm în trepte, care deranjează cât mai puțin activitatea curentă:
- Treapta 1, izolarea: Clarificăm dacă serverele afectate trebuie limitate temporar. BSI recomandă la PHP2Shell scoaterea serverelor web din rețea, dacă o actualizare nu este posibilă imediat.
- Treapta 2, salvarea: Salvăm logurile, fișierele și bazele de date, pentru ca incidentul să rămână dovedibil.
- Treapta 3, remedierea: Patch sau configurație, repornirea tuturor proceselor PHP, închiderea accesurilor necunoscute.
- Treapta 4, verificarea: Căutăm pe sistem și în jurul lui urme și daune ulterioare, inclusiv la serverele învecinate.
Un punct decisiv pentru factorii de decizie: o actualizare a CMS-ului, de exemplu WordPress, nu închide vulnerabilitatea PHP, iar un patch nu elimină codul malițios deja introdus. Cine spune „gata” după actualizare nu a făcut jumătate din treabă.
Greșeli tipice în firmele mijlocii în primele ore
Din practică se cunosc câteva tipare care măresc paguba. Mai întâi, responsabilitatea este pasată de la unul la altul: furnizorul de hosting trimite la client, agenția la furnizorul de hosting, administratorul la conducere. De aceea stabiliți din timp cine decide. În al doilea rând, restaurarea se face prea repede. Restaurarea unui backup vechi fără a închide ușa de intrare îl readuce imediat și pe atacator. În al treilea rând, comunicarea rămâne pe loc: angajații, clienții și partenerii de afaceri află de incident din a doua mână.
La Comunicarea de criză după un atac găsiți indicii despre cum se poate rezolva aceasta calm. Ca regulă practică: mai bine puțin spus, dar dovedit.
Cum ajută PHP SOS concret?
- Imaginea situației: Clarificăm cu dumneavoastră sistemele, modul de operare (PHP-FPM, mod_php sau LiteSpeed), datele și persoanele de contact. O primă privire de ansamblu se formează rapid, chiar și fără cunoștințe de detaliu.
- Salvare și închidere: Conservăm urmele și închidem ușa de intrare, fără a perturba inutil procesele dumneavoastră.
- Verificare și curățare: Webshell-urile, ușile dosnice, cronjob-urile și conturile străine sunt căutate și eliminate. Detalii la Eliminarea malware-ului și a webshell-urilor.
- Securizare și raport: Primiți un raport pentru conducere, protecția datelor și asigurători. La cerere construim împreună cu dumneavoastră prevenirea, de exemplu printr-un contract de mentenanță de securitate.
Dacă incidentul depășește un server web, trecem la un Incident Response structurat.
După aceea: prevenire fără un departament propriu de securitate
Când incidentul este încheiat, rămâne întrebarea cum îl preveniți pe următorul sau cel puțin cum îl recunoașteți mai devreme. Pentru firmele fără echipă proprie de securitate, patru lucruri sunt cele mai importante: un inventar actual al tuturor site-urilor și serverelor, o persoană de contact clară pentru actualizări, copii de siguranță verificate și un scurt plan de urgență IT.
Dacă firma dumneavoastră intră sub obligațiile NIS2 este o chestiune juridică la care nu răspundem. Informații generale găsiți pe pagina noastră, încadrarea o fac avocatul sau responsabilul cu protecția datelor.
Ce ar trebui să ne trimiteți
- o scurtă descriere a incidentului și a momentului
- o listă a site-urilor, magazinelor și portalurilor cu furnizorul de hosting și, în măsura în care o cunoașteți, versiunea PHP
- numele administratorului, ale agenției și ale furnizorului de hosting care cunosc sistemul
- indicii dacă serverul web este conectat la sisteme interne
- informații despre copiile de siguranță și despre o asigurare cyber existentă
De ce PHP SOS
Lucrăm Made in Germany și suntem specializați în securitate IT de peste 25 de ani, împreună cu rețeaua noastră de parteneri din profesioniști cyber. Pentru dumneavoastră aceasta înseamnă: un singur interlocutor în loc de mulți, muncă la distanță, fără deplasare, în toată Germania și Europa, și o documentație cu care puteți face față în fața clienților, asigurătorului și autorităților. Separăm deschis ce este dovedit, probabil și necunoscut și nu promitem nimic ce nu poate ține nimeni.
Sunteți afectat? Sunați-ne. Vă ajutăm.
Pentru primul ajutor nu aveți nevoie de un departament propriu de securitate, ci de un interlocutor care începe. Preluăm cazul de la primul mesaj și rămânem alături până când incidentul este încheiat și documentat. Anunțați acum urgența.
Întrebări frecvente
Ce faceți în caz de atac cibernetic fără un departament propriu de securitate IT?
Păstrați urmele, nu ștergeți nimic, desemnați un factor de decizie și cereți ajutor extern. O firmă mijlocie nu trebuie să poată face totul singură. Preluăm partea tehnică și colaborăm cu administratorul, agenția sau furnizorul dumneavoastră de hosting.
Sunt IMM-urile chiar ținta atacurilor?
Da. Scanările automate caută servere neactualizate, fără să țină cont de mărimea firmei. La PHP2Shell, Palo Alto Networks (Unit 42) a numărat peste 22,6 milioane de instanțe expuse și potențial vulnerabile.
Trebuie să se oprească activitatea noastră dacă serverul web a fost atacat?
Nu neapărat. Adesea site-ul și magazinul pot fi izolate, în timp ce sistemele interne continuă să funcționeze. Clarificăm mai întâi dacă există conexiuni între serverul web și rețeaua dumneavoastră internă.
Ni se aplică NIS2 și ce înseamnă aceasta în caz de incident?
Dacă firma dumneavoastră intră sub NIS2 depinde de sector și de mărime și este o chestiune juridică. O privire de ansamblu oferă pagina noastră despre NIS2; încadrarea pentru cazul dumneavoastră aparține avocatului sau responsabilului cu protecția datelor.
Cum ne pregătim pentru următorul incident?
Cu un inventar al sistemelor, o persoană de contact desemnată, backupuri verificate și un scurt plan de urgență. Vă ajutăm la construire după încheierea incidentului acut.