Kort sagt: Er I berørt? Ring til os. Vi hjælper. Har I en it-nødsituation på webserveren og ingen ekspert ved hånden, så engager os med én besked: Vi overtager fra den første besked, arbejder på afstand uden transport og fastholder alt skriftligt, indtil hændelsen er afsluttet og dokumenteret.
Slet intet og opsæt intet på ny nu. Heller ikke som forberedelse til leverandøren. Systemets tilstand er det vigtigste bevismiddel. Meld en nødsituation, så afklarer vi adgange og roller sammen.
Er I berørt? Hvornår en nødleverandør er nødvendig
Ikke enhver forstyrrelse er en sikkerhedshændelse. En leverandør til nødsituationer er fornuftig, hvis mindst ét af disse punkter passer:
- Jeres webserver opfører sig påfaldende, og ingen i huset kan placere årsagen.
- Der er mistanke om skadelig kode, et indbrud eller data, der er sluppet ud.
- Hostingudbyderen har spærret tilbuddet eller kræver en oprydning.
- Jeres PHP-version er gammel eller uafklaret, og I ved ikke, om PHP2Shell-sårbarhederne er blevet udnyttet.
- Jeres egen it eller bureauet er ikke tilgængeligt eller har ingen erfaring med hændelser.
Mistanken er nok. Om I selv kan komme videre, eller I har brug for støtte, kan vurderes med siden Rette selv eller hente en leverandør?.
Hvad I gør med det samme
- Frys tilstanden. Ingen ændringer på serveren, ingen oprydningsaktioner, ingen opdateringer i blinde.
- List adgangene. Hvilke panel-, SSH-, CMS- og databaseadgange findes, og hvem administrerer dem?
- Underret hostingudbyderen. Bed den om at bevare logs og snapshots. Fortæl intet, som den bør vide, i skjul.
- Fastlæg beslutningstageren. Hvem i virksomheden godkender nedlukninger, genstart og skift af adgangskoder?
- Afklar datasituationen. Ligger der personoplysninger, betalingsdata eller forretningshemmeligheder på systemet?
- Underret de involverede. Databeskyttelsesrådgiveren og, hvis der findes et, cyberforsikringsselskabet.
- Engager leverandøren. Ring til os eller skriv på WhatsApp. Vi overtager fra den første besked.
Sådan forløber engagementet
En nødsituation tåler ikke en lang kontraktproces, men den tåler heller ikke huller i ansvar og databeskyttelse. Derfor går vi frem i denne rækkefølge:
- Første samtale: Vi lytter til situationen og stiller de få spørgsmål, der er nødvendige for en første vurdering.
- Afstem rammen: Vi afklarer sammen, hvilke systemer vi må kontrollere, hvem der beslutter, og hvordan vi udveksler oplysninger.
- Regulér databeskyttelsen: Får vi adgang til systemer med personoplysninger, drøfter vi den nødvendige aftale om databehandling. Grundlaget forklarer siden Databehandling ved serveradgang.
- Opret adgang: I giver os kun de rettigheder, der er nødvendige for opgaven. Efter afslutningen inddrages adgangene igen.
- Arbejde og rapporter: Vi vender tilbage med delstatus og fastholder resultaterne skriftligt.
Hvordan I grundlæggende sammenligner udbydere, står i Vælg en it-sikkerhedsleverandør: 12 spørgsmål. Kontraktlige forpligtelser omkring sikkerhed behandler Leverandøraftaler: Regulér sikkerhedsforpligtelser klart.
Hvordan hjælper PHP SOS konkret?
- Danne overblik over situationen: Hvad er sket, hvilke servere kører, hvilke PHP-versioner og hvilken driftsform (PHP-FPM, mod_php, LiteSpeed) er i brug?
- Sikre og lukke: Vi sikrer logs, filer og database. Derefter afhjælper vi årsagen: rettelse, konfiguration eller spærring af adgange, med genstart af alle PHP-processer.
- Kontrollere og rense: Vi leder efter webshells, bagdøre, cronjobs og fremmede adgange og fjerner dem eller bygger op på ny fra rene kilder.
- Hærde og rapportere: I modtager en rapport med tidslinje, fund og anbefalinger. Ved større hændelser fører vi over i en incident response.
Drejer det sig først og fremmest kun om PHP-sårbarheden og patch-dokumentationen, passer PHP2Shell-akuthjælp til virksomheder. Foreligger der skadelig kode, er fjernelse af malware det rette udgangspunkt.
Hvordan I genkender en seriøs nødleverandør
I en nødsituation griber mange til den første den bedste udbyder. Tre spørgsmål hjælper med at skabe orden på få minutter. For det første: Bliver der først sikret og først derefter ændret? Den, der »rydder op« med det samme, spærrer for den senere opklaring. For det andet: Bliver det skriftligt fastholdt, hvad der blev fundet og gjort? Uden dokumentation kan hverken forsikringsselskab eller databeskyttelsesrådgiver bruge noget til noget. For det tredje: Bliver grænser nævnt? En udbyder, der erklærer alt for muligt, før den har set systemet, skal behandles med forsigtighed.
Kontrollér også, om leverandøren forstår jeres driftsform. PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed opfører sig forskelligt ved patching, og efter opdateringen skal alle processer genstartes, ellers kører den gamle tilstand videre i hukommelsen.
Hvad en nødleverandør ikke kan levere
Det kan betale sig at kende grænserne på forhånd. Ingen leverandør kan med tilbagevirkende kraft fremstille logs, som aldrig blev skrevet eller allerede er blevet overskrevet. Ved manglende spor benævner vi hullerne åbent. Heller ikke kan nogen love, at et renset system aldrig mere bliver angrebet. Og juridisk rådgivning hører ikke til vores opgave: Spørgsmål om anmeldelsespligt, ansvar og forsikring går til databeskyttelsesrådgiver, advokat og forsikringsselskab; vi leverer dem de tekniske fakta.
Hvad I bør sende til os
- en kort beskrivelse af hændelsen og tidspunktet, hvor den blev opdaget
- berørte domæner, servere og, så vidt det er kendt, PHP-versionen
- hostingudbyderens navn og kontraktens type (shared hosting, vServer, root-server, managed server)
- en kontaktperson med beslutningskompetence
- eksisterende sikkerhedskopier og deres status
Hvorfor PHP SOS
Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. I taler med en fast kontaktperson, vi arbejder på afstand i hele Tyskland og Europa og dokumenterer hvert skridt. Vi siger åbent, hvad der er dokumenteret, og hvad der ikke er, og vi giver ingen løfter, som ingen seriøs leverandør kan give. Vores rækkefølge er altid den samme: først sikre, så ændre, så rapportere.
Er I berørt? Ring til os. Vi hjælper.
Led ikke videre efter den rette leverandør, mens hændelsen står på. Ring til os eller skriv på WhatsApp, vi overtager fra den første besked. Meld en nødsituation nu.
Ofte stillede spørgsmål
Hvordan genkender jeg en god leverandør til it-nødsituationer?
Den sikrer spor, før den ændrer noget, skelner åbent mellem dokumenteret og formodet, dokumenterer hvert skridt og lover ingen mirakler. Vær mistænksom over for udsagn som »garanteret helt ren«, for det kan ingen seriøst love.
Hvilke adgange har en leverandør brug for i en it-nødsituation?
Som regel SSH- eller paneladgang til serveren, adgang til CMS-backend og database eller jeres tilladelse til at tale med hostingudbyderen. Giv kun det, der er nødvendigt, og notér, hvem der har fået hvilken adgang hvornår.
Har jeg brug for en databehandleraftale til fjernadgangen?
Får en leverandør adgang til systemer med personoplysninger, er en aftale om databehandling som regel nødvendig. Vurderingen træffer databeskyttelsesrådgivere eller advokater. Vi afklarer det med jer helt fra begyndelsen.
Hvad er forskellen på incident response og fjernelse af malware?
Fjernelse af malware renser et angrebet system. Incident response er bredere anlagt: Den omfatter situationsbillede, inddæmning, oprydning, kommunikation og efterbehandling, ofte på tværs af flere systemer.
Skal min hostingudbyder inddrages?
Ofte ja, for eksempel til snapshots, logs eller ophævelse af spærringer. Vi afstemmer med jeres hostingudbyder, hvis I tillader det. Hvad der kan kontrolleres, afhænger af de rettigheder, vi får.