Εν συντομία: Αν στην agency σας επηρεάζονται πολλοί ιστότοποι πελατών, αυτό σπάνια είναι σύμπτωση, συνήθως πρόκειται για έναν κοινό διακομιστή, μια κοινή πρόσβαση ή την ίδια έκδοση PHP. Επηρεάζεστε; Επικοινωνήστε αμέσως. Σας δίνουμε εικόνα της κατάστασης, περιορίζουμε εξ αποστάσεως το περιστατικό, καθαρίζουμε τα συστήματα και σας παραδίδουμε αναφορές για τους πελάτες σας.
Μη διαγράψετε τίποτα και μη στήσετε τίποτα από την αρχή. Ακόμη κι αν η πίεση των πελατών είναι μεγάλη: χωρίς διασωσμένα logs και αρχεία δεν μπορεί να διευκρινιστεί η αιτία ούτε να αποδειχθεί τι δεν επηρεάστηκε. Δηλώστε το περιστατικό και αναλαμβάνουμε από το πρώτο μήνυμα.
Επηρεάζεστε; Ενδείξεις όταν παραβιάζονται ιστότοποι πελατών
Ως agency βλέπετε μοτίβα που οι μεμονωμένοι διαχειριστές δεν προσέχουν ποτέ. Σε κοινό περιστατικό παραπέμπουν:
- Περισσότεροι ιστότοποι πελατών εμφανίζουν ταυτόχρονα τα ίδια συμπτώματα: ανακατευθύνσεις, περιεχόμενο spam, προειδοποιήσεις στο πρόγραμμα περιήγησης.
- Ο ίδιος άγνωστος λογαριασμός διαχειριστή ή το ίδιο ύποπτο αρχείο εμφανίζεται σε διαφορετικούς πελάτες.
- Ο πάροχος φιλοξενίας αναφέρει κατάχρηση ή ασυνήθιστο φορτίο για έναν λογαριασμό όπου βρίσκονται πολλά έργα.
- Πελάτες τηλεφωνούν, επειδή ο ιστότοπός τους προειδοποιείται στη Google, και στον έλεγχο βρίσκετε και άλλους ιστοτόπους στην ίδια κατάσταση.
- Ένας προγραμματιστής ή πρώην εργαζόμενος είχε πρόσβαση σε πολλά έργα και μια πρόσβαση διέρρευσε.
- Εργασίες συντήρησης μέσω ενός κεντρικού εργαλείου, όπως deployment, αντίγραφα ασφαλείας ή υπηρεσία ενημερώσεων, άλλαξαν έναν ιστότοπο που δεν αγγίξατε.
- Λειτουργείτε πολλούς ιστοτόπους σε εκδόσεις PHP των οποίων το επίπεδο patch δεν μπορείτε να τεκμηριώσετε για καθεμία ξεχωριστά.
Από το PHP2Shell προστίθεται ότι η ευπάθεια βρίσκεται στον ίδιο τον διερμηνέα της PHP. Μια ενημέρωση CMS, για παράδειγμα στο WordPress, δεν την κλείνει· καθοριστικός είναι ο χρόνος εκτέλεσης της PHP που εξυπηρετεί πράγματι.
Τι κάνετε αμέσως τώρα
- Καταγράψτε τους επηρεαζόμενους ιστοτόπους: domain, διακομιστής, λογαριασμός φιλοξενίας, έκδοση PHP, CMS, υπεύθυνοι. Και οι ύποπτες περιπτώσεις ανήκουν εδώ.
- Αναζητήστε κοινά σημεία: Ίδιος διακομιστής; Ίδιες προσβάσεις; Ίδιο πρόσθετο; Ίδια διαδρομή deployment;
- Απομονώστε τους ιστοτόπους σε κίνδυνο: Θέστε σε λειτουργία συντήρησης τους ιστοτόπους που παραδίδουν ενεργά κακόβουλο κώδικα. Μη διαγράψετε.
- Φροντίστε να διασωθούν τα logs και η κατάσταση: Ζητήστε από τον πάροχο φιλοξενίας να διατηρήσει τα αρχεία καταγραφής· διασώστε τα δικά σας αρχεία καταγραφής deployment.
- Ελέγξτε τις κεντρικές προσβάσεις: Ποιος έχει πρόσβαση σε πίνακα ελέγχου φιλοξενίας, SSH, Git, διαχειριστή κωδικών και deployment; Αλλαγές μόνο μετά από συνεννόηση.
- Ενημερώστε τους πελάτες με φειδώ: Αρχικά μόνο ό,τι είναι τεκμηριωμένο. Μην αναφέρετε αιτία, προτού αυτή διαπιστωθεί.
- Επικοινωνήστε μαζί μας: Τηλεφωνήστε ή γράψτε μας στο WhatsApp.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγραφή της κατάστασης: Σχηματίζουμε μαζί σας εικόνα όλων των ιστοτόπων και διακομιστών και τους ταξινομούμε κατά επείγοντα χαρακτήρα: κακόβουλος κώδικας που παραδίδεται ενεργά, υποψία διαρροής δεδομένων, πιθανώς απλώς χωρίς patch.
- Διάσωση και κλείσιμο: Διασώζουμε κάθε επηρεαζόμενο σύστημα προτού αλλάξει οτιδήποτε και κλείνουμε την κοινή πόρτα εισόδου: προσβάσεις, επίπεδο PHP, επανεκκίνηση όλων των διεργασιών.
- Έλεγχος και καθαρισμός: Αναζητούμε συστηματικά σε όλους τους ιστοτόπους τα ίδια ίχνη, αφαιρούμε webshells και backdoors και επαναφέρουμε καθαρά. Λεπτομέρειες στη σελίδα Αφαίρεση malware και webshells.
- Σκλήρυνση και αναφορά: Διαχωρίζουμε τους ιστοτόπους μεταξύ τους όπου έχει νόημα και παραδίδουμε ανά πελάτη μια σύντομη αναφορά που μπορείτε να προωθήσετε, καθώς και μια συνολική αναφορά για εσάς.
Εργαζόμαστε εξ αποστάσεως, χωρίς μετακίνηση, σε όλη τη Γερμανία και την Ευρώπη. Αν το επιθυμείτε, στο παρασκήνιο για την agency σας, όπως περιγράφεται στη σελίδα Agencies και White Label.
Γιατί σε agencies πέφτουν συχνά πολλοί ιστότοποι ταυτόχρονα
Όποιος λειτουργεί πολλά έργα σε έναν διακομιστή, εξοικονομεί κόστος, ανταλλάσσει όμως απομόνωση με ευκολία. Αν όλα εκτελούνται κάτω από τον ίδιο χρήστη και το ίδιο pool διεργασιών PHP, ο κώδικας ενός παραβιασμένου ιστότοπου μπορεί να διαβάσει και να αλλάξει τα αρχεία των γειτόνων. Αυτό δεν είναι εξωτική περίπτωση, αλλά πρότυπο σε πολλές διαμορφώσεις. Πώς διαχωρίζονται σωστά τα pools, περιγράφει η σελίδα Απομόνωση των pools PHP-FPM.
Προστίθενται κοινές προσβάσεις: ένα κλειδί SSH για όλα τα έργα, ένας λογαριασμός φιλοξενίας με όλα τα domains, οι ίδιοι κωδικοί για staging και παραγωγή. Εδώ ισχύει η αρχή των ελάχιστων δικαιωμάτων. Περισσότερα στη σελίδα Δικαιώματα του χρήστη του διακομιστή ιστού.
Μετρά και η αλυσίδα εφοδιασμού: πρόσθετα, θέματα και βιβλιοθήκες προέρχονται από τρίτους, ο πάροχος φιλοξενίας ευθύνεται για την πλατφόρμα, η agency για τη λειτουργία. Πού περνούν αυτά τα όρια και πού δημιουργούνται κενά, πραγματεύεται η σελίδα Αλυσίδα εφοδιασμού agency και πάροχος φιλοξενίας.
Απογραφή, εκδόσεις PHP και επικοινωνία με τους πελάτες
Το συχνότερο πρόβλημα σε τέτοιες καταστάσεις είναι η έλλειψη επισκόπησης: Ποιος ιστότοπος εκτελείται σε ποιον διακομιστή με ποια έκδοση PHP και ποιος είναι αρμόδιος; Χωρίς αυτή τη λίστα δεν μπορεί να ειπωθεί ποιος επηρεάζεται από το patch και ποιος όχι. Πώς χτίζετε ένα τέτοιο μητρώο, δείχνει η σελίδα Απογραφή ιστότοπων και διακομιστών. Αν εκτελούνται παράλληλα πολλές εκδόσεις PHP, βοηθά επιπλέον η σελίδα Πολλές εκδόσεις PHP σε έναν διακομιστή.
Έναντι των πελατών μετρά η σαφήνεια. Δεν χρειάζεται να γνωρίζετε τα πάντα, αλλά να μην ωραιοποιείτε τίποτα: Τι είναι τεκμηριωμένο, τι ελέγχεται ακόμη, τι κάνετε στη συνέχεια; Βοήθεια για διατυπώσεις θα βρείτε στη σελίδα Ενημέρωση πελατών μετά από ένα περιστατικό. Αν θίγονται δεδομένα προσωπικού χαρακτήρα, μπορεί να παίζουν ρόλο υποχρεώσεις γνωστοποίησης κατά το άρθρο 33 ΓΚΠΔ. Πρόκειται για γενική πληροφορία· η εκτίμηση ανήκει στον υπεύθυνο προστασίας δεδομένων και στον δικηγόρο. Αν το περιστατικό ξεπεράσει μεμονωμένους ιστοτόπους, περνάμε σε δομημένη αντιμετώπιση περιστατικού (Incident Response).
Τι να μας στείλετε
- μια λίστα των επηρεαζόμενων και των πιθανώς επηρεαζόμενων domains
- στοιχεία για διακομιστή και φιλοξενία ανά έργο, στο μέτρο που είναι γνωστά
- εκδόσεις PHP και CMS ή καταστήματα που χρησιμοποιούνται
- τις προσβάσεις που μπορείτε να μας παραχωρήσετε και τους ρόλους στην ομάδα
- ενδείξεις για το τι άλλαξε ή αναπτύχθηκε τελευταίο
- όνομα του υπευθύνου επικοινωνίας για αποφάσεις και για την επικοινωνία με τους πελάτες
Γιατί PHP SOS
Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Έχετε έναν υπεύθυνο επικοινωνίας για όλα τα επηρεαζόμενα έργα, εργαζόμαστε εξ αποστάσεως και τεκμηριώνουμε ανά σύστημα τι βρέθηκε και τι έγινε. Δεν υποσχόμαστε θαύματα. Ό,τι δεν μπορεί να τεκμηριωθεί το χαρακτηρίζουμε άγνωστο, ώστε να μην πείτε στους πελάτες σας περισσότερα από όσα γνωρίζετε.
Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.
Όταν πολλοί ιστότοποι πελατών σας παρουσιάζουν ανωμαλίες, η πίεση χρόνου είναι διπλή: τεχνικά και στη σχέση με τους πελάτες σας. Επικοινωνήστε τώρα: τηλεφωνήστε ή γράψτε μας στο WhatsApp. Αναλαμβάνουμε από το πρώτο μήνυμα και μένουμε μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί. Δηλώστε τώρα το περιστατικό
Συχνές ερωτήσεις
Γιατί συχνά επηρεάζονται αμέσως περισσότεροι ιστότοποι πελατών;
Συχνά οι ιστότοποι μοιράζονται έναν διακομιστή, έναν λογαριασμό φιλοξενίας, την ίδια διεργασία PHP ή τα ίδια στοιχεία πρόσβασης. Αν ένας επιτιθέμενος μπει σε ένα σημείο, μπορεί να κινηθεί πλευρικά. Μια ευάλωτη PHP επηρεάζει επιπλέον όλους τους ιστότοπους που τη χρησιμοποιούν.
Να ενημερώσω αμέσως τους πελάτες;
Εξαρτάται από την κατάσταση και τη σύμβαση. Διευκρινίστε πρώτα ποιοι ιστότοποι επηρεάζονται πραγματικά, ώστε να μην ενημερώσετε με εικασίες. Όταν υπάρχουν δεδομένα προσωπικού χαρακτήρα, είναι πιθανές υποχρεώσεις γνωστοποίησης· η εκτίμηση ανήκει στον υπεύθυνο προστασίας δεδομένων ή στον δικηγόρο.
Ποιος ευθύνεται, αν παραβιάστηκε ο ιστότοπος ενός πελάτη;
Αυτό εξαρτάται από τις συμβάσεις σας, την έκταση της υποστήριξης και την πορεία των γεγονότων. Δεν παρέχουμε νομικές συμβουλές γι' αυτό. Μια καθαρή αναφορά για την αιτία και τα μέτρα βοηθά σε αυτή τη διευκρίνιση.
Μπορείτε να εργαστείτε υπό το όνομά μας, χωρίς να μας δει ο τελικός πελάτης;
Αν το επιθυμείτε, εργαζόμαστε στο παρασκήνιο για την agency σας και παραδίδουμε αναφορές που μπορείτε να προωθήσετε στους πελάτες σας. Τις λεπτομέρειες τις συζητάμε εκ των προτέρων.
Αρκεί να καθαρίσω τους ιστοτόπους των πελατών έναν έναν;
Συνήθως όχι. Αν η αιτία βρίσκεται στον κοινό διακομιστή, σε μια κοινή πρόσβαση ή σε έκδοση PHP χωρίς patch, τα προβλήματα επανεμφανίζονται μετά τον μεμονωμένο καθαρισμό. Πρέπει να αρθεί και η αιτία.