Накратко: Засегнати ли сте? Обадете се. Помагаме Ви. В средния бизнес често няма собствен отдел по сигурност и точно за това сме тук: поемаме от първото съобщение отдалечено първата помощ за Вашите уеб сървъри, запазваме следите, затваряме уязвимостта, почистваме и документираме, докато инцидентът бъде приключен.
Сега не трийте нищо и не инсталирайте наново. Това важи и когато дейността притиска и сайтът трябва да заработи отново. Първо запазване, после поправка. Съобщете за спешен случай и ще Ви кажем какво можете да направите сами без риск.
Засегнати ли сте? Типичното положение в средния бизнес
Който ръководи предприятие с 20, 200 или 800 служители, обикновено има един или двама души за ИТ, агенция за уебсайта и хостинг доставчик за сървъра. Това е нормално, но при спешен случай показва пропуски. Остра опасност е налице, когато:
- Вашият уебсайт, клиентски портал или онлайн магазин работи на PHP и никой не знае със сигурност коя точно версия.
- Хостинг доставчик, клиент или предупреждение в браузъра съобщава за нередности.
- Вашият администратор съобщава, че файлове или акаунти на уеб сървъра не могат да се обяснят.
- Не знаете кои системи изобщо са достъпни публично.
- Уеб сървърът има достъп до вътрешни системи, бази данни или файлови хранилища.
Специализираната преса посочва като основа, че почти всички версии на PHP може да са засегнати: според съобщения са засегнати версии чак до PHP 5.4. Как изглежда положението в средния бизнес, описва страницата ИТ сигурност за средния бизнес и индустрията.
Какво да направите веднага
- Съберете кризисен кръг. Управление, ИТ, при нужда защита на данните: малко лица, едно вземащо решения.
- Съберете системите. Кои сървъри, уебсайтове и портали са засегнати или може да са? Достатъчен е прост списък.
- Не променяйте нищо. Без разчистване, без нова инсталация, без възстановяване на резервни копия.
- Накарайте да проверят връзките. Свързан ли е уеб сървърът с вътрешната мрежа? Тогава атака срещу уебсайта може да засяга повече от самия уебсайт.
- Обърнете се към хостинг доставчика и агенцията. Помолете и двамата да запазят протоколите и да потвърдят състоянието и отговорностите. Как, е описано в Как да попитате хостинг доставчика за състоянието на пача.
- Осигурете достъпите. Паролите и ключовете се сменят само след уточняване и от чисти устройства.
- Свържете се с нас сега. Обадете се или пишете по WhatsApp.
Първа помощ за уеб сървъри: как действаме в средния бизнес
Едно средно предприятие не може да си позволи спиране на дейността, но и неконтролирана намеса. Затова работим на стъпки, които смущават текущата дейност възможно най-малко:
- Стъпка 1, изолиране: Изясняваме дали засегнатите сървъри трябва да бъдат временно ограничени. При PHP2Shell BSI препоръчва уеб сървърите да се изключат от мрежата, ако актуализацията не е възможна веднага.
- Стъпка 2, запазване: Запазваме логове, файлове и бази данни, за да може инцидентът да бъде доказуем.
- Стъпка 3, отстраняване: Пач или конфигурация, рестартиране на всички PHP процеси, затваряне на непознати достъпи.
- Стъпка 4, проверка: Търсим в системата и в околността следи и последващи щети, включително по съседни сървъри.
Решаваща точка за вземащите решения: актуализация на CMS, например на WordPress, не затваря уязвимостта в PHP, а пачът не премахва вече внедрен зловреден код. Който след актуализацията каже „готово“, не е свършил половината работа.
Типични грешки в средния бизнес в първите часове
От практиката са известни няколко модела, които увеличават щетите. Първо, отговорността се прехвърля насам-натам: хостинг доставчикът сочи клиента, агенцията – хостинг доставчика, администраторът – управлението. Затова определете рано кой решава. Второ, възстановява се твърде бързо. Възстановяването на старо резервно копие без затваряне на входната врата връща и атакуващия. Трето, комуникацията се оставя настрана: служителите, клиентите и бизнес партньорите научават за инцидента от втора ръка.
В Кризисна комуникация след атака ще намерите указания как това да се реши спокойно. Като правило важи: по-добре кажете малко, но доказано.
Как конкретно помага PHP SOS?
- Преглед на положението: Изясняваме с Вас системите, режима на работа (PHP-FPM, mod_php или LiteSpeed), данните и лицата за контакт. Първи преглед се получава бързо, дори без подробни познания.
- Запазване и затваряне: Запазваме следите и затваряме входната врата, без да смущаваме излишно Вашите процеси.
- Проверка и почистване: Уеб шелове, задни вратички, cron задачи и чужди акаунти се търсят и премахват. Подробности в Премахване на зловреден софтуер и уеб шелове.
- Заздравяване и отчет: Получавате доклад за управлението, защитата на данните и застрахователя. По желание изграждаме с Вас превенцията, например чрез договор за поддръжка на сигурността.
Ако инцидентът излезе извън рамките на един уеб сървър, преминаваме към структурирано реагиране при инциденти (Incident Response).
След това: превенция без собствен отдел по сигурност
Когато инцидентът е приключен, остава въпросът как да предотвратите следващия или поне да го разпознаете по-рано. За предприятия без собствен екип по сигурност най-важни са четири неща: актуален опис на всички уебсайтове и сървъри, ясен партньор за контакт за актуализациите, проверени резервни копия и кратък ИТ план за спешни случаи.
Дали Вашето предприятие попада под задълженията на NIS2, е правен въпрос, на който не отговаряме. Общи сведения ще намерите на нашата страница, преценката правят адвокатът или длъжностното лице по защита на данните.
Какво да ни изпратите
- кратко описание на инцидента и на момента
- списък на уебсайтовете, магазините и порталите с хостинг доставчик и, доколкото е известна, версия на PHP
- имена на администратора, агенцията и хостинг доставчика, които познават системата
- указания дали уеб сървърът е свързан с вътрешни системи
- данни за резервните копия и за съществуваща киберзастраховка
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. За Вас това означава: един партньор за контакт вместо много, работа отдалечено без пътуване в цяла Германия и Европа и документация, с която да се представите пред клиенти, застрахователи и органи. Открито разграничаваме доказаното, вероятното и неизвестното и не обещаваме нищо, което никой не може да изпълни.
Засегнати ли сте? Обадете се. Помагаме Ви.
За първата помощ не Ви трябва собствен отдел по сигурност, а партньор, който започва. Поемаме от първото съобщение и оставаме, докато инцидентът бъде приключен и документиран. Съобщете за спешен случай сега.
Често задавани въпроси
Какво да направя при кибератака без собствен отдел по ИТ сигурност?
Да запазите следите, да не трийте нищо, да определите лице за вземане на решения и да потърсите външна помощ. Една средна фирма не е нужно да може всичко сама. Ние поемаме техническата страна и работим заедно с Вашия администратор, агенция или хостинг доставчик.
Малките и средните предприятия изобщо цел на атаки ли са?
Да. Автоматизираните сканирания търсят непачнати сървъри, без да обръщат внимание на размера на фирмата. При PHP2Shell Palo Alto Networks (Unit 42) отчете над 22,6 милиона изложени, потенциално уязвими инстанции.
Трябва ли дейността ни да спре, ако уеб сървърът е атакуван?
Не непременно. Често уебсайтът и магазинът могат да се изолират, докато вътрешните системи продължават да работят. Първо изясняваме има ли връзки между уеб сървъра и Вашата вътрешна мрежа.
Важи ли NIS2 за нас и какво означава това при инцидент?
Дали Вашето предприятие попада под NIS2, зависи от бранша и размера и е правен въпрос. Преглед дава нашата страница за NIS2; преценката за Вашия случай принадлежи на адвоката или на длъжностното лице по защита на данните.
Как да се подготвим за следващия инцидент?
С опис на системите, определено лице за контакт, проверени резервни копия и кратък план за спешни случаи. Помагаме с изграждането, след като острият инцидент е приключен.