Stručne: Ste postihnutý? Zavolajte. Pomôžeme vám. V strednej firme často chýba vlastné bezpečnostné oddelenie a práve na to sme tu: preberáme od prvej správy na diaľku prvú pomoc pre vaše webové servery, zabezpečujeme stopy, uzatvárame zraniteľnosť, čistíme a dokumentujeme, kým nie je incident uzavretý.
Teraz nič nemažte a nič neinštalujte odznova. Platí to aj vtedy, keď prevádzka tlačí a web má opäť bežať. Najprv zabezpečiť, potom opravovať. Nahláste núdzový prípad, povieme vám, čo môžete bez rizika urobiť sami.
Ste postihnutý? Typická situácia v strednej firme
Kto vedie firmu s 20, 200 alebo 800 zamestnancami, má väčšinou jedného alebo dvoch ľudí pre IT, agentúru pre web a poskytovateľa hostingu pre server. Je to normálne, ale v kritickej situácii to odhalí medzery. Akútne ohrozenie je pravdepodobné, ak:
- Váš web, zákaznícky portál alebo e-shop beží na PHP a nikto nevie presne, ktorá verzia.
- Poskytovateľ hostingu, zákazník alebo upozornenie v prehliadači hlási nápadnosti.
- Váš administrátor hlási, že súbory alebo účty na webovom serveri sú nevysvetliteľné.
- Neviete, ktoré systémy sú vôbec verejne dostupné.
- Webový server má prístup k interným systémom, databázam alebo súborovým úložiskám.
Že môžu byť postihnuté takmer všetky verzie PHP, uvádza odborná tlač ako pozadie: Podľa správ sú postihnuté verzie až po PHP 5.4. Aká je situácia v strednej firme, popisuje stránka IT bezpečnosť pre stredné podniky a priemysel.
Čo urobiť hneď
- Vytvoriť krízový tím. Vedenie firmy, IT, prípadne ochrana údajov: niekoľko málo osôb, jeden rozhodujúci.
- Zozbierať systémy. Ktoré servery, weby a portály sú dotknuté alebo by mohli byť? Stačí jednoduchý zoznam.
- Nič nemeniť. Žiadne upratovacie akcie, žiadna nová inštalácia, žiadne vracanie záloh.
- Nechať skontrolovať spojenia. Je webový server napojený na internú sieť? Potom môže útok na web zasiahnuť viac než len web.
- Osloviť poskytovateľa hostingu a agentúru. Požiadajte oboch o uchovanie protokolov a potvrdenie stavu a zodpovedností. Ako, nájdete v časti Ako sa opýtať poskytovateľa hostingu na stav záplat.
- Zabezpečiť prístupy. Heslá a kľúče meniť len po dohode a z čistých zariadení.
- Ozvite sa hneď. Zavolajte alebo napíšte cez WhatsApp.
Prvá pomoc pre webové servery: ako postupujeme v strednej firme
Stredný podnik si nemôže dovoliť odstávku, ale ani nekontrolovaný zásah. Preto pracujeme v stupňoch, ktoré čo najmenej narúšajú bežiacu prevádzku:
- Stupeň 1, oddeliť: Objasníme, či sa musia dotknuté servery dočasne obmedziť. BSI pri PHP2Shell odporúča webové servery odpojiť od siete, ak aktualizáciu nemožno nasadiť hneď.
- Stupeň 2, zabezpečiť: Zabezpečíme logy, súbory a databázy, aby bol incident preukázateľný.
- Stupeň 3, odstrániť: Záplata alebo konfigurácia, reštart všetkých procesov PHP, uzavretie neznámych prístupov.
- Stupeň 4, skontrolovať: Hľadáme v systéme aj v jeho okolí stopy a následné škody, aj na susedných serveroch.
Rozhodujúci bod pre vedenie: Aktualizácia CMS, napríklad WordPressu, zraniteľnosť PHP neuzavrie a záplata neodstráni už zavlečený škodlivý kód. Kto po aktualizácii povie „hotovo“, nespravil polovicu práce.
Typické chyby v strednej firme v prvých hodinách
Z praxe poznáme niekoľko vzorcov, ktoré škodu zväčšujú. Po prvé: zodpovednosť sa prehadzuje z jedného na druhého. Poskytovateľ hostingu odkazuje na zákazníka, agentúra na poskytovateľa hostingu, administrátor na vedenie. Preto včas určite, kto rozhoduje. Po druhé: príliš rýchle obnovenie. Vrátiť starú zálohu bez uzavretia vstupných dverí privedie útočníka hneď späť. Po tretie: komunikácia sa zanedbá. Zamestnanci, zákazníci a obchodní partneri sa o incidente dozvedia z druhej ruky.
V časti Krízová komunikácia po útoku nájdete rady, ako to vyriešiť pokojne. Ako pravidlo platí: radšej povedať málo, ale preukázateľne.
Ako PHP SOS konkrétne pomáha?
- Zmapovať situáciu: S vami objasníme systémy, režim prevádzky (PHP-FPM, mod_php alebo LiteSpeed), údaje a kontaktné osoby. Prvý prehľad vznikne rýchlo, aj bez podrobných znalostí.
- Zabezpečiť a uzavrieť: Zabezpečíme stopy a uzavrieme vstupné dvere bez zbytočného narušenia vašich procesov.
- Skontrolovať a vyčistiť: Webshelly, zadné vrátka, cronjoby a cudzie účty sa hľadajú a odstraňujú. Podrobnosti v časti Odstránenie malvéru a webshellov.
- Spevniť a podať správu: Dostanete správu pre vedenie firmy, ochranu údajov a poisťovateľa. Na želanie s vami vybudujeme prevenciu, napríklad cez bezpečnostnú zmluvu o údržbe.
Ak incident presiahne jeden webový server, prejdeme na štruktúrovanú Incident Response.
Potom: prevencia bez vlastného bezpečnostného oddelenia
Keď je incident uzavretý, zostáva otázka, ako zabrániť ďalšiemu alebo ho aspoň rozpoznať skôr. Pre firmy bez vlastného bezpečnostného tímu sú najdôležitejšie štyri veci: aktuálny inventár všetkých webov a serverov, jasný kontaktný partner pre aktualizácie, preverené zálohy a krátky IT núdzový plán.
Či vaša firma podlieha povinnostiam NIS2, je právna otázka, na ktorú neodpovedáme. Všeobecné informácie nájdete na našej stránke, posúdenie urobí právnik alebo zodpovedná osoba pre ochranu údajov.
Čo by ste nám mali poslať
- stručný opis incidentu a času
- zoznam webov, e-shopov a portálov s poskytovateľom hostingu a, ak je známa, verziou PHP
- mená administrátora, agentúry a poskytovateľa hostingu, ktorí systém poznajú
- informácie o tom, či je webový server prepojený s internými systémami
- údaje o zálohách a o existujúcom kybernetickom poistení
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Pre vás to znamená: jeden kontaktný partner namiesto mnohých, práca na diaľku bez výjazdu v celej Európe a dokumentácia, s ktorou obstojíte pred zákazníkmi, poisťovateľom a úradmi. Otvorene oddeľujeme preukázané, pravdepodobné a neznáme a nesľubujeme nič, čo nikto nemôže dodržať.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Na prvú pomoc nepotrebujete vlastné bezpečnostné oddelenie, ale kontaktného partnera, ktorý začne. Preberáme prípad od prvej správy a zostávame pri ňom, kým nie je incident uzavretý a zdokumentovaný. Nahlásiť núdzový prípad teraz.
Časté otázky
Čo robiť pri kybernetickom útoku bez vlastného oddelenia IT bezpečnosti?
Zachovať stopy, nič nemazať, určiť rozhodujúcu osobu a zabezpečiť externú pomoc. Stredná firma nemusí vedieť všetko sama. Technickú stránku preberieme my a spolupracujeme s vaším administrátorom, agentúrou alebo poskytovateľom hostingu.
Sú malé a stredné podniky vôbec terčom útokov?
Áno. Automatizované skeny hľadajú nezáplatované servery bez ohľadu na veľkosť firmy. Pri PHP2Shell napočítal Palo Alto Networks (Unit 42) viac ako 22,6 milióna exponovaných, potenciálne zraniteľných inštancií.
Musí naša prevádzka stáť, ak bol napadnutý webový server?
Nie nutne. Často sa dá web a e-shop oddeliť, kým interné systémy bežia ďalej. Najprv objasníme, či existujú spojenia medzi webovým serverom a vašou internou sieťou.
Platí NIS2 pre nás a čo to znamená pri incidente?
Či vaša firma spadá pod NIS2, závisí od odvetvia a veľkosti a je to právna otázka. Prehľad poskytuje naša stránka o NIS2; posúdenie pre váš prípad patrí právnikovi alebo zodpovednej osobe pre ochranu údajov.
Ako sa pripravíme na ďalší incident?
Inventárom systémov, určeným kontaktným partnerom, preverenými zálohami a krátkym núdzovým plánom. Pri budovaní pomôžeme po ukončení akútneho incidentu.