Stručne: Ste postihnutý? Zavolajte. Pomôžeme vám. Ak máte IT núdzový stav na webovom serveri a žiadneho odborníka poruke, poverte nás jednou správou: preberáme prípad od prvej správy, pracujeme na diaľku bez výjazdu a všetko zaznamenávame písomne, kým nie je incident uzavretý a zdokumentovaný.
Teraz nič nemažte a nič neinštalujte odznova. Ani ako prípravu pre dodávateľa. Stav systému je najdôležitejší dôkazný prostriedok. Nahláste núdzový prípad a prístupy a roly objasníme spoločne.
Ste postihnutý? Kedy je potrebný núdzový dodávateľ
Nie každá porucha je bezpečnostný incident. Dodávateľ pre núdzový stav je užitočný, ak platí aspoň jeden z týchto bodov:
- Váš webový server sa správa nápadne a nikto v podniku nevie určiť príčinu.
- Je podozrenie na škodlivý kód, vniknutie alebo uniknuté údaje.
- Poskytovateľ hostingu službu zablokoval alebo žiada vyčistenie.
- Vaša verzia PHP je stará alebo nejasná a neviete, či sa zraniteľnosti PHP2Shell zneužili.
- Vlastné IT alebo agentúra nie je dostupná alebo nemá skúsenosti s incidentmi.
Stačí podozrenie. Či si poradíte sami, alebo potrebujete podporu, pomôže zvážiť stránka Odstrániť sám, alebo zavolať dodávateľa?.
Čo urobiť hneď
- Zmraziť stav. Žiadne zmeny na serveri, žiadne upratovacie akcie, žiadne aktualizácie naslepo.
- Vypísať prístupy. Aké prístupy cez panel, SSH, CMS a databázu existujú a kto ich spravuje?
- Informovať poskytovateľa hostingu. Požiadajte ho, aby zachoval logy a snapshoty. Nezamlčte nič, čo má vedieť.
- Určiť rozhodujúcu osobu. Kto vo firme schvaľuje vypnutia, reštarty a zmeny hesiel?
- Objasniť situáciu s údajmi. Ležia v systéme osobné údaje, platobné údaje alebo obchodné tajomstvá?
- Informovať zainteresovaných. Zodpovednú osobu pre ochranu údajov a, ak existuje, kybernetického poisťovateľa.
- Poveriť dodávateľa. Zavolajte alebo napíšte cez WhatsApp. Preberáme prípad od prvej správy.
Ako prebieha poverenie
Núdzový stav neznesie dlhý zmluvný proces, ale neznesie ani medzery v zodpovednosti a ochrane údajov. Preto postupujeme v tomto poradí:
- Úvodný rozhovor: Vypočujeme situáciu a položíme niekoľko málo otázok, ktoré sú potrebné pre prvé posúdenie.
- Dohodnúť rámec: Spoločne objasníme, ktoré systémy smieme kontrolovať, kto rozhoduje a ako sa budeme dorozumievať.
- Upraviť ochranu údajov: Ak pristupujeme k systémom s osobnými údajmi, prerokujeme potrebnú dohodu o spracúvaní osobných údajov v mene prevádzkovateľa. Základy vysvetľuje stránka Spracúvanie v mene prevádzkovateľa pri prístupe na server.
- Zriadiť prístup: Dáte nám len tie oprávnenia, ktoré sú pre zákazku potrebné. Po ukončení sa prístupy opäť odoberú.
- Práca a správy: Ozveme sa s priebežnými stavmi a výsledky zaznamenáme písomne.
Ako poskytovateľov porovnávať vo všeobecnosti, nájdete v časti Výber dodávateľa IT bezpečnosti: 12 otázok. Zmluvné povinnosti v oblasti bezpečnosti rieši Zmluvy s dodávateľmi: jasne upraviť bezpečnostné povinnosti.
Ako PHP SOS konkrétne pomáha?
- Zmapovať situáciu: Čo sa stalo, ktoré servery bežia, aké verzie PHP a aký režim prevádzky (PHP-FPM, mod_php, LiteSpeed) sa používajú?
- Zabezpečiť a uzavrieť: Zabezpečíme logy, súbory a databázu. Potom odstránime príčinu: záplata, konfigurácia alebo zablokovanie prístupov, s reštartom všetkých procesov PHP.
- Skontrolovať a vyčistiť: Hľadáme webshelly, zadné vrátka, cronjoby a cudzie prístupy a odstraňujeme ich alebo zostavujeme znova z čistých zdrojov.
- Spevniť a podať správu: Dostanete správu s časovou osou, nálezmi a odporúčaniami. Pri väčších incidentoch prechádzame na Incident Response.
Ak ide spočiatku iba o zraniteľnosť PHP a doklad o záplate, hodí sa okamžitá pomoc pri PHP2Shell pre firmy. Ak sa našiel škodlivý kód, správnym východiskom je odstránenie malvéru.
Podľa čoho spoznáte seriózneho núdzového dodávateľa
V núdzi mnohí siahnu po prvom poskytovateľovi. Tri otázky pomôžu urobiť poriadok za pár minút. Po prvé: Najprv sa zabezpečuje a až potom mení? Kto hneď „upratuje“, zablokuje neskoršie objasnenie. Po druhé: Zaznamenáva sa písomne, čo sa našlo a urobilo? Bez dokumentácie s tým nevie nič začať ani poisťovateľ, ani zodpovedná osoba pre ochranu údajov. Po tretie: Uvádzajú sa hranice? K poskytovateľovi, ktorý vyhlási všetko za uskutočniteľné ešte predtým, než videl systém, pristupujte opatrne.
Preverte aj to, či dodávateľ rozumie vášmu režimu prevádzky. PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed sa pri záplatovaní správajú odlišne a po aktualizácii sa musia reštartovať všetky procesy, inak v pamäti beží ďalej starý stav.
Čo núdzový dodávateľ nedokáže
Oplatí sa poznať hranice vopred. Žiadny dodávateľ nedokáže spätne vyrobiť logy, ktoré sa nikdy nezapisovali alebo sa už prepísali. Pri chýbajúcich stopách medzery otvorene pomenujeme. Nikto tiež nemôže zaručiť, že vyčistený systém už nikdy nebude napadnutý. A právne poradenstvo nepatrí do našej zákazky: otázky k oznamovacím povinnostiam, zodpovednosti a poisteniu patria zodpovedným osobám pre ochranu údajov, právnikovi a poisťovateľovi, my im dodáme technické fakty.
Čo by ste nám mali poslať
- stručný opis incidentu a času, kedy sa objavil
- dotknuté domény, servery a, ak je známa, verzia PHP
- názov poskytovateľa hostingu a typ zmluvy (zdieľaný hosting, vServer, root server, managed server)
- kontaktná osoba s rozhodovacou právomocou
- existujúce zálohy a ich stav
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Hovoríte s jedným stálym kontaktným partnerom, pracujeme na diaľku v celej Európe a dokumentujeme každý krok. Otvorene povieme, čo je preukázané a čo nie, a nedávame sľuby, ktoré nemôže dať žiadny seriózny dodávateľ. Naše poradie je vždy rovnaké: najprv zabezpečiť, potom meniť, potom podať správu.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Nehľadajte ďalej vhodného dodávateľa, kým incident prebieha. Zavolajte alebo napíšte cez WhatsApp, preberáme prípad od prvej správy. Nahlásiť núdzový prípad teraz.
Časté otázky
Podľa čoho spoznám dobrého dodávateľa pre IT núdzový stav?
Najprv zabezpečí stopy a až potom niečo mení, otvorene rozlišuje medzi preukázaným a domnelým, dokumentuje každý krok a nesľubuje zázraky. Nedôverčivý by ste mali byť pri výrokoch ako „zaručene čisté“, pretože to nikto seriózne nemôže zaručiť.
Aké prístupy potrebuje dodávateľ pri IT núdzovom stave?
Spravidla prístup cez SSH alebo panel k serveru, prístup do backendu CMS a k databáze, alebo váš súhlas, aby mohol komunikovať s poskytovateľom hostingu. Dajte len to, čo je potrebné, a zaznamenajte, kto kedy dostal aký prístup.
Potrebujem pre vzdialený prístup zmluvu o spracúvaní osobných údajov?
Ak dodávateľ pristupuje k systémom s osobnými údajmi, zvyčajne je potrebná úprava spracúvania v mene prevádzkovateľa. Posúdenie urobia zodpovedné osoby pre ochranu údajov alebo právnici. Objasníme to s vami hneď na začiatku.
Aký je rozdiel medzi Incident Response a odstránením malvéru?
Odstránenie malvéru vyčistí napadnutý systém. Incident Response je širšie: zahŕňa prehľad situácie, izoláciu, vyčistenie, komunikáciu a dodatočnú starostlivosť, často naprieč viacerými systémami.
Musí sa zapojiť môj poskytovateľ hostingu?
Často áno, napríklad pre snapshoty, logy alebo zrušenie blokácií. S vaším poskytovateľom hostingu sa dohodneme, ak to dovolíte. Čo sa dá skontrolovať, závisí od oprávnení, ktoré dostaneme.