Εν συντομία: Όταν μια επίθεση αφορά περισσότερα από έναν μεμονωμένο ιστότοπο, χρειάζεστε έναν πάροχο Incident Response, που θα χειριστεί το περιστατικό με δομημένο τρόπο. Αναλαμβάνουμε την εικόνα της κατάστασης, τον περιορισμό, τον καθαρισμό και την ασφαλή αποκατάσταση, με σαφείς ρόλους και πλήρη τεκμηρίωση. Εσείς κρατάτε τις αποφάσεις, εμείς φροντίζουμε για την τεχνική βάση.
Τι σημαίνει Incident Response σε επιθέσεις σε διακομιστές
Το Incident Response είναι ο οργανωμένος χειρισμός ενός περιστατικού ασφαλείας. Αντί για βιαστικές μεμονωμένες ενέργειες, η εργασία ακολουθεί σταθερές φάσεις: εντοπισμός και αξιολόγηση, περιορισμός, εξάλειψη, αποκατάσταση, αποτίμηση. Κάθε μέτρο καταγράφεται με χρονική στιγμή και αιτιολόγηση.
Ειδικά στους διακομιστές ιστού αυτό είναι σημαντικό. Ένας διακομιστής με εφαρμογές PHP περιέχει συχνά στοιχεία πρόσβασης σε βάσεις δεδομένων, παρόχους πληρωμών, διακομιστές email και διεπαφές. Όποιος έχει εισέλθει εκεί, μπορεί να κινηθεί παραπέρα. Η κατάσταση μετά το PHP2Shell δείχνει πόσο γρήγορα μπορεί να προκύψει μια τέτοια περίσταση: εκτέλεση κώδικα χωρίς έλεγχο ταυτότητας, περισσότερες από 22,6 εκατομμύρια εκτεθειμένες εγκαταστάσεις σύμφωνα με την Unit 42 και κανένα δημοσιευμένο, επιβεβαιωμένο Indicator of Compromise.
Πότε χρειάζεστε πάροχο Incident Response
- επηρεάζονται ή μπορεί να επηρεάζονται περισσότεροι διακομιστές ή εφαρμογές
- υπάρχει υποψία ότι διέρρευσαν δεδομένα προσωπικού χαρακτήρα ή δεδομένα πληρωμών
- ένας επιτιθέμενος είναι ενδεχομένως ακόμη ενεργός, για παράδειγμα μέσω συνδέσεων που εκτελούνται ή νέων λογαριασμών
- υπάρχει εκβιασμός ή δημόσια ανακοίνωση της επίθεσης
- η ασφαλιστική εταιρεία, οι αρχές ή οι επιχειρηματικοί εταίροι αναμένουν μια τεκμηριωμένη διαδικασία
Σε έναν μεμονωμένο προσβεβλημένο ιστότοπο αρκεί συχνά η επείγουσα βοήθεια για παραβιασμένο ιστότοπο. Τη μετάβαση στον πλήρη χειρισμό περιστατικού τη συζητάμε μαζί σας, μόλις διαφανεί μεγαλύτερη έκταση.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διαλογή και εικόνα της κατάστασης: Διευκρινίζουμε τι παρατηρήθηκε, ποια συστήματα και δεδομένα μπορεί να επηρεάζονται και ποιος πρέπει να εμπλακεί εσωτερικά. Αποτέλεσμα είναι μια πρώτη, γραπτή εικόνα της κατάστασης με τα ανοιχτά ερωτήματα.
- Διάσωση ιχνών και περιορισμός: Τα logs, τα συστήματα αρχείων και οι βάσεις δεδομένων διασώζονται προτού παρέμβουμε. Στη συνέχεια απομονώνουμε τα προσβεβλημένα συστήματα, αποκλείουμε παραβιασμένες προσβάσεις και διακόπτουμε ορατές συνδέσεις του επιτιθέμενου.
- Εξάλειψη: Κλείνουμε την πόρτα εισόδου, για παράδειγμα με patch στις διορθωμένες εκδόσεις PHP και επανεκκίνηση όλων των workers, αφαιρούμε κερκόπορτες και αντικαθιστούμε μυστικά. Για τη λεπτομερή ανάλυση εμπλέκουμε, αν χρειαστεί, εξειδικευμένους συνεργάτες για ψηφιακή εγκληματολογία (IT forensics).
- Αποκατάσταση: Τα συστήματα επανέρχονται σε λειτουργία με έλεγχο, κατά το δυνατόν από καθαρές πηγές ή σε νέους διακομιστές. Τα παρακολουθούμε στη συνέχεια εντατικότερα για νέες ανωμαλίες.
- Αποτίμηση: Λαμβάνετε μια τελική αναφορά με χρονολόγιο, αιτίες, μέτρα και συστάσεις. Από κοινού καταγράφουμε τι πρέπει να γίνει πιο γρήγορα την επόμενη φορά.
Φυλάξτε τα logs του διακομιστή και μην αλλάζετε συστήματα προτού γίνει διάσωση. Το BSI συνιστά για το PHP2Shell να αποσυνδέονται προσωρινά από το δίκτυο οι διακομιστές ιστού που δεν μπορούν να λάβουν αμέσως patch.
Ρόλοι και επικοινωνία κατά τη διάρκεια του περιστατικού
Ένα περιστατικό χρειάζεται σαφείς αρμοδιότητες. Δοκιμασμένος τρόπος είναι ένας μικρός κύκλος από ένα άτομο με εξουσία απόφασης, έναν τεχνικό υπεύθυνο επικοινωνίας από την πλευρά σας και εμάς ως τεχνική ηγεσία. Οι ενημερώσεις κατάστασης γίνονται σε σταθερά διαστήματα και τα αποτελέσματα καταγράφονται γραπτώς.
Παράλληλα εκτελούνται εργασίες που δεν αναλαμβάνουμε, για τις οποίες όμως παρέχουμε γεγονότα: ο έλεγχος μιας υποχρέωσης γνωστοποίησης βάσει ΓΚΠΔ εντός 72 ωρών, η ενημέρωση της ασφαλιστικής εταιρείας, μια ενδεχόμενη μήνυση και η επικοινωνία κρίσης προς πελάτες και εταίρους.
Τι χρειαζόμαστε από εσάς και τι λαμβάνετε
Χρειαζόμαστε διοικητικές προσβάσεις στα προσβεβλημένα συστήματα, μια επισκόπηση της υποδομής και των παρόχων υπηρεσιών, ένα άτομο με εξουσία απόφασης και την προθυμία να απενεργοποιηθούν προσωρινά συστήματα όταν χρειαστεί. Χρήσιμα είναι υπάρχοντα σχέδια έκτακτης ανάγκης, σκαρίφημα δικτύου και αντίγραφα ασφαλείας με ημερομηνία.
Λαμβάνετε ένα διαρκές πρωτόκολλο περιστατικού, τακτικές εικόνες της κατάστασης σε κατανοητή γλώσσα, μια τελική αναφορά για τη διοίκηση, τον υπεύθυνο προστασίας δεδομένων και την ασφαλιστική εταιρεία, καθώς και μια λίστα βελτιώσεων με προτεραιότητες. Πώς θα προετοιμαστείτε καλύτερα για το επόμενο περιστατικό, περιγράφει το Σύνταξη σχεδίου έκτακτης ανάγκης IT για διακομιστές ιστού.
Τυπικά λάθη τις πρώτες ώρες
Πολλά περιστατικά γίνονται βαρύτερα, επειδή στην αναστάτωση γίνονται καλοπροαίρετα βήματα με λάθος σειρά. Αυτά τα μοτίβα τα βλέπουμε συχνά:
- Άμεση επανεγκατάσταση: Ο διακομιστής διαγράφεται και εγκαθίσταται ξανά προτού γίνει διάσωση. Μετά δεν μπορεί πλέον να διευκρινιστεί αν διέρρευσαν δεδομένα.
- Αλλαγή κωδικών από το προσβεβλημένο σύστημα: Αν ο επιτιθέμενος έχει ακόμη πρόσβαση, βλέπει και τους νέους κωδικούς.
- Διαγραφή μόνο του ορατού αρχείου: Το webshell έφυγε, η δεύτερη κερκόπορτα στο cronjob μένει.
- Patch χωρίς επανεκκίνηση: Τα νέα αρχεία PHP βρίσκονται στον δίσκο, οι παλιοί workers συνεχίζουν να εκτελούνται στη μνήμη.
- Κανείς δεν τηρεί πρωτόκολλο: Αργότερα κανείς δεν ξέρει ποιος άλλαξε τι και πότε. Αυτό δυσκολεύει τις συζητήσεις με την ασφαλιστική εταιρεία και τις αρχές.
Μια συντονισμένη διαδικασία αποτρέπει αυτά τα λάθη, χωρίς να καθυστερεί τον περιορισμό.
Τι δεν υποσχόμαστε
Δεν υποσχόμαστε ότι κάθε περιστατικό θα διευκρινιστεί πλήρως· χωρίς ίχνη μένουν ανοιχτά ερωτήματα, και το γράφουμε έτσι στην αναφορά. Δεν παρέχουμε νομικές συμβουλές ούτε δηλώσεις για ευθύνη ή ασφαλιστική κάλυψη. Στόχος μας είναι ένα σαφές τέλος: εργαζόμαστε πάνω στο περιστατικό μέχρι να ολοκληρωθεί και να τεκμηριωθεί.
Συχνές ερωτήσεις
Ποια είναι η διαφορά ανάμεσα στο Incident Response και στην ψηφιακή εγκληματολογία (IT forensics);
Το Incident Response έχει στόχο να περιορίσει το περιστατικό και να αποκαταστήσει με ασφάλεια τη λειτουργία. Η ψηφιακή εγκληματολογία διευκρινίζει λεπτομερώς και με αποδεικτική αξία τι συνέβη. Στην πράξη τα δύο αλληλοσυμπληρώνονται, η εγκληματολογία διασώζει συχνά παράλληλα ίχνη.
Πότε πρέπει να προσλάβω πάροχο Incident Response;
Μόλις υπάρξει υποψία ότι ένας επιτιθέμενος είχε πρόσβαση σε συστήματα και δεν μπορείτε να εκτιμήσετε με βεβαιότητα την έκταση. Όσο νωρίτερα ξεκινά η διάσωση ιχνών, τόσο περισσότερα μπορούν να τεκμηριωθούν αργότερα.
Ποιος αποφασίζει κατά τη διάρκεια του περιστατικού;
Τις αποφάσεις τις παίρνετε εσείς, για παράδειγμα για απενεργοποιήσεις, επικοινωνία ή γνωστοποιήσεις. Εμείς προετοιμάζουμε τις τεχνικές βάσεις, δείχνουμε επιλογές με τις συνέπειές τους και υλοποιούμε τις αποφάσεις.
Πρέπει να ειδοποιήσω την αστυνομία;
Μια μήνυση είναι σε πολλές περιπτώσεις σκόπιμη και σημαντική για ορισμένες ασφαλιστικές. Αρμόδια είναι τα Κεντρικά Σημεία Επαφής για το Κυβερνοέγκλημα (ZAC) της αστυνομίας. Το αν και πότε θα υποβάλετε μήνυση, το αποφασίζετε με τον δικηγόρο σας.