Na kratko: Če je pri vaši agenciji prizadetih več strani strank, to redko pomeni naključje, temveč običajno skupen strežnik, deljen dostop ali isto različico PHP. Če ste prizadeti, se javite takoj. Pripravimo vam pregled, na daljavo zajezimo incident, očistimo sisteme in dostavimo poročila za vaše stranke.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Tudi če je pritisk strank velik: brez zavarovanih dnevnikov in datotek ni mogoče ne razjasniti vzroka ne dokazati, kaj ni bilo prizadeto. Prijavite nujni primer in prevzamemo že od prvega sporočila.
Ste prizadeti? Znaki, ko so strani strank vdrte
Kot agencija vidite vzorce, ki jih posamezni upravljavci nikoli ne opazijo. Na skupen incident kažejo:
- Več strani strank hkrati kaže iste simptome: preusmeritve, nezaželene vsebine, opozorila v brskalniku.
- Isti neznani skrbniški račun ali ista sumljiva datoteka se pojavi pri različnih strankah.
- Ponudnik gostovanja sporoča zlorabo ali nenavadno obremenitev za račun, na katerem leži veliko projektov.
- Stranke kličejo, ker je njihova stran pri Googlu opozorjena, vi pa pri kontrolnem preverjanju najdete še druge strani v istem stanju.
- Razvijalec ali nekdanji sodelavec je imel dostop do mnogih projektov in dostop je uhajal.
- Vzdrževalna dela prek osrednjega orodja, na primer postavitve (deployment), varnostnih kopij ali storitve posodobitev, so spremenila stran, ki je niste vi niti dotaknili.
- Upravljate veliko strani na različicah PHP, katerih stanja popravkov ne morete dokazati za vsako posamezno.
Od PHP2Shell se pridruži še to, da ranljivost leži v samem interpreterju PHP. Posodobitev CMS-ja, na primer pri WordPressu, je ne zapre; odločilno je izvajalno okolje PHP, ki dejansko strežeta.
Kaj storite takoj
- Naštejte prizadete strani: domena, strežnik, račun gostovanja, različica PHP, CMS, odgovorni. Zraven sodijo tudi sumljivi primeri.
- Poiščite skupne točke: Isti strežnik? Isti dostopi? Isti vtičnik? Ista pot postavitve?
- Ogrožene strani izolirajte: Strani, ki aktivno dostavljajo škodljivo kodo, preklopite v vzdrževalni način. Ne brišite.
- Dajte zavarovati dnevnike in stanje: Prosite ponudnika gostovanja, naj ohrani zapisnike; zavarujte lastne zapisnike postavitev.
- Preverite osrednje dostope: Kdo ima dostop do upravljalne plošče gostovanja, SSH, Git, upravitelja gesel in postavitve? Spremembe šele po dogovoru.
- Stranke obveščajte zadržano: Najprej samo, kar je dokazano. Vzroka ne navajajte, dokler ni ugotovljen.
- Stopite v stik z nami: Pokličite ali pišite po WhatsAppu.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Z vami pridobimo pregled nad vsemi stranmi in strežniki ter jih razvrstimo po nujnosti: aktivno dostavljena škodljiva koda, sum uhajanja podatkov, verjetno samo nepopravljeno.
- Zavarovanje in zapiranje: Vsak prizadeti sistem zavarujemo, preden se kar koli spremeni, in zapremo skupna vstopna vrata: dostopi, stanje PHP, ponovni zagon vseh procesov.
- Preverjanje in čiščenje: Sistematično po vseh straneh iščemo iste sledi, odstranjujemo webshelle in stranska vrata ter čisto obnovimo. Podrobnosti na strani Odstranjevanje zlonamerne kode in webshellov.
- Utrjevanje in poročilo: Strani med seboj ločimo, kjer je smiselno, in dostavimo kratko poročilo za vsako stranko, ki ga lahko predate, ter skupno poročilo za vas.
Delamo na daljavo, brez prihoda na kraj, po vsej Nemčiji in Evropi. Na željo v ozadju za vašo agencijo, kot je opisano na strani Agencije in white label.
Zakaj pri agencijah pogosto padejo številne strani hkrati
Kdor upravlja veliko projektov na enem strežniku, prihrani stroške, a izolacijo zamenja za udobje. Če vse teče pod istim uporabnikom in istim bazenom procesov PHP, lahko koda vdrte strani bere in spreminja datoteke sosedov. To ni eksotičen primer, temveč standard v mnogih konfiguracijah. Kako bazene čisto ločiti, opisuje stran Izolacija bazenov PHP-FPM.
Zraven pridejo deljeni dostopi: en ključ SSH za vse projekte, en račun gostovanja z vsemi domenami, ista gesla za testno in produkcijsko okolje. Tu velja načelo najmanjših pravic. Več o tem v prispevku Pravice uporabnika spletnega strežnika.
Pomembna je tudi dobavna veriga: vtičniki, teme in knjižnice prihajajo od tretjih, ponudnik gostovanja odgovarja za platformo, agencija za obratovanje. Kje te meje potekajo in kje nastajajo vrzeli, obravnava stran Dobavna veriga: agencija in ponudnik gostovanja.
Popis, različice PHP in komuniciranje s strankami
Najpogostejša težava v takih stanjih je manjkajoč pregled: Katera stran teče na katerem strežniku s katero različico PHP in kdo je pristojen? Brez tega seznama ni mogoče povedati, koga popravek zadeva in koga ne. Kako vzpostavite tak imenik, kaže stran Popis spletnih strani in strežnikov. Če vzporedno teče več različic PHP, dodatno pomaga stran Več različic PHP na enem strežniku.
Pri strankah šteje jasnost. Vsega vam ni treba vedeti, a ničesar ne olepšujte: Kaj je dokazano, kaj se še preverja, kaj boste storili naprej? Pomoč pri formulacijah najdete na strani Obveščanje strank po incidentu. Če so prizadeti osebni podatki, lahko pridejo v poštev obveznosti prijave po 33. členu GDPR. To je splošna informacija; oceno opravita pooblaščenec za varstvo podatkov in odvetnik. Če incident preraste posamezne strani, preidemo v strukturirano odzivanje na incidente.
Kaj nam pošljite
- seznam prizadetih in verjetno prizadetih domen
- podatki o strežniku in gostovanju za vsak projekt, kolikor so znani
- različice PHP in uporabljeni CMS ali trgovine
- dostopi, ki jih lahko omogočite, in vloge v ekipi
- napotki, kaj je bilo nazadnje spremenjeno ali razmeščeno
- ime kontaktne osebe za odločitve ter za komuniciranje s strankami
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Imate enega sogovornika za vse prizadete projekte, delamo na daljavo in za vsak sistem dokumentiramo, kaj je bilo najdeno in storjeno. Ne obljubljamo čudežev. Kar ni mogoče dokazati, imenujemo neznano, da pred strankami ne rečete več, kot veste.
Ste prizadeti? Pokličite nas. Pomagamo.
Če je več strani vaših strank nenavadnih, je časovni pritisk dvojen: tehnični in v odnosu do strank. Javite se zdaj: pokličite ali pišite po WhatsAppu. Prevzamemo že od prvega sporočila in ostanemo, dokler incident ni zaključen in dokumentiran. Prijavite nujni primer zdaj
Pogosta vprašanja
Zakaj je pogosto prizadetih več strani strank hkrati?
Strani si pogosto delijo strežnik, račun gostovanja, isti proces PHP ali iste dostopne podatke. Če napadalec vdre na enem mestu, se lahko premika vstran. Ranljiv PHP poleg tega zadene vse strani, ki ga uporabljajo.
Ali naj stranke takoj obvestim?
To je odvisno od stanja in pogodbe. Najprej razjasnite, katere strani so res prizadete, da ne obveščate z domnevami. Pri osebnih podatkih so možne obveznosti prijave; uvrstitev sodi k pooblaščencu za varstvo podatkov ali odvetniku.
Kdo odgovarja, če je bila stran stranke vdrta?
To se ravna po vaših pogodbah, obsegu vzdrževanja in poteku dogodkov. Pravnega svetovanja ne nudimo. Čisto poročilo o vzroku in ukrepih pomaga pri tej razjasnitvi.
Ali lahko delate pod našim imenom, ne da bi končna stranka videla nas?
Na željo delamo v ozadju za vašo agencijo in dostavimo poročila, ki jih lahko predate svojim strankam. Podrobnosti uskladimo vnaprej.
Ali zadostuje, da strani strank čistim posamično?
Večinoma ne. Če je vzrok v skupnem strežniku, v deljenem dostopu ali v nepopravljeni različici PHP, se težave po posamičnem čiščenju spet pojavijo. Vzrok je treba odpraviti hkrati.