Lyhyesti: Jos hyökkäys koskee useampaa kuin yhtä verkkosivustoa, tarvitsette incident response -palveluntarjoajan, joka käsittelee poikkeaman jäsennellysti. Hoidamme tilannekuvan, rajaamisen, puhdistuksen ja turvallisen palautuksen selkeillä rooleilla ja aukottomalla dokumentaatiolla. Päätökset pysyvät teillä, me huolehdimme tekniseen perustaan.
Mitä incident response tarkoittaa palvelinhyökkäyksissä
Incident response on tietoturvapoikkeaman järjestelmällistä käsittelyä. Hätäisten yksittäistoimien sijaan työ etenee kiinteissä vaiheissa: havaitseminen ja arviointi, rajaaminen, poisto, palautus, jälkityö. Jokainen toimenpide kirjataan ajankohtineen ja perusteineen.
Verkkopalvelimilla tämä on erityisen tärkeää. PHP-sovelluksia ajava palvelin sisältää usein tunnukset tietokantoihin, maksupalveluntarjoajiin, sähköpostipalvelimiin ja rajapintoihin. Joka on päässyt sinne, voi edetä edelleen. PHP2Shellin jälkeinen tilanne osoittaa, kuinka nopeasti tällainen tilanne voi syntyä: tunnistautumaton koodin suoritus, Unit 42:n mukaan yli 22,6 miljoonaa julkisesti tavoitettavissa olevaa instanssia ja ei yhtään julkaistua, vahvistettua Indicators of Compromise -tunnistetta.
Milloin tarvitsette incident response -palveluntarjoajan
- useat palvelimet tai sovellukset ovat vaarantuneet tai voivat olla vaarantuneita
- on epäilys, että henkilötietoja tai maksutietoja on valunut ulos
- hyökkääjä voi olla yhä aktiivinen, esimerkiksi käynnissä olevien yhteyksien tai uusien tilien kautta
- on kiristys tai julkinen ilmoitus hyökkäyksestä
- vakuutusyhtiö, viranomaiset tai liikekumppanit odottavat dokumentoitua kulkua
Yksittäisen saastuneen verkkosivuston kohdalla riittää usein hätäapu hakkeroituun verkkosivustoon. Siirtymästä täyteen poikkeaman käsittelyyn sovimme kanssanne heti, kun laajempi ulottuvuus on näköpiirissä.
Miten PHP SOS auttaa konkreettisesti?
- Triage ja tilannekuva: Selvitämme, mitä on havaittu, mitkä järjestelmät ja tiedot voivat olla vaarantuneet ja ketkä sisäisesti on otettava mukaan. Tuloksena on ensimmäinen kirjallinen tilannekuva avoimine kysymyksineen.
- Jälkien turvaaminen ja rajaaminen: Lokit, tiedostojärjestelmät ja tietokannat turvataan ennen kuin puutumme asiaan. Sen jälkeen eristämme vaarantuneet järjestelmät, estämme vaarantuneet pääsyt ja katkaisemme hyökkääjän tunnistettavat yhteydet.
- Poisto: Suljemme sisäänkäynnin esimerkiksi asentamalla korjatut PHP-versiot ja käynnistämällä kaikki workerit uudelleen, poistamme takaovet ja vaihdamme salaisuudet. Yksityiskohtaista analyysia varten otamme tarvittaessa mukaan IT-forensiikkaan erikoistuneita kumppaneita.
- Palautus: Järjestelmät otetaan hallitusti takaisin käyttöön, mahdollisuuksien mukaan puhtaista lähteistä tai uudelleen pystytetyille palvelimille. Valvomme niitä sen jälkeen tehostetusti uusien poikkeamien varalta.
- Jälkityö: Saatte loppuraportin, jossa on aikajana, syyt, toimenpiteet ja suositukset. Kirjaamme yhdessä, mikä sujuu seuraavalla kerralla nopeammin.
Säilyttäkää palvelinlokit älkääkä muuttako järjestelmiä, ennen kuin tilanne on turvattu. PHP2Shellin osalta BSI suosittelee ottamaan tilapäisesti pois verkosta verkkopalvelimet, joita ei voi heti korjata.
Roolit ja viestintä poikkeaman aikana
Poikkeama tarvitsee selkeät vastuut. Hyväksi on osoittautunut pieni ryhmä, johon kuuluvat päätösvaltainen henkilö, tekninen yhteyshenkilö teidän puoleltanne ja me teknisenä johtona. Tilannepalaverit pidetään kiintein väliajoin ja tulokset kirjataan kirjallisesti.
Samanaikaisesti etenevät tehtävät, joita emme hoida mutta joihin toimitamme tosiasiat: GDPR:n mukaisen 72 tunnin ilmoitusvelvollisuuden arviointi, vakuutusyhtiön informointi, mahdollinen rikosilmoitus ja kriisiviestintä asiakkaille ja kumppaneille.
Mitä tarvitsemme teiltä ja mitä saatte
Tarvitsemme ylläpitäjän pääsyt vaarantuneisiin järjestelmiin, yleiskuvan infrastruktuurista ja palveluntarjoajista, päätösvaltaisen henkilön ja valmiuden sammuttaa järjestelmiä tarvittaessa tilapäisesti. Hyödyllisiä ovat olemassa olevat hätäsuunnitelmat, verkkokaaviot ja päivämäärällä varustetut varmuuskopiot.
Saatte jatkuvan poikkeamapöytäkirjan, säännölliset tilannekuvat ymmärrettävällä kielellä, loppuraportin johdolle, tietosuojavastaaville ja vakuutusyhtiölle sekä tärkeysjärjestykseen asetetun luettelon parannuksista. Miten varaudutte paremmin seuraavaan poikkeamaan, kuvataan sivulla IT-hätäsuunnitelman laatiminen verkkopalvelimille.
Tyypillisiä virheitä ensimmäisinä tunteina
Moni poikkeama vaikeutuu, koska kiihtymyksessä hyvää tarkoittavat askeleet tehdään väärässä järjestyksessä. Nämä mallit näemme usein:
- Heti uudelleenasennus: Palvelin poistetaan ja asennetaan uudelleen ennen kuin mitään on turvattu. Sen jälkeen ei voi enää selvittää, onko tietoja valunut ulos.
- Salasanojen vaihto vaarantuneelta järjestelmältä: Jos hyökkääjällä on yhä pääsy, hän näkee uudet salasanat.
- Vain näkyvän tiedoston poisto: Web shell on poissa, mutta toinen takaovi cron-tehtävässä jää.
- Korjaus ilman uudelleenkäynnistystä: Uudet PHP-tiedostot ovat levyllä, mutta vanhat workerit toimivat edelleen muistissa.
- Kukaan ei pidä pöytäkirjaa: Myöhemmin kukaan ei tiedä, kuka muutti mitä ja milloin. Se vaikeuttaa keskusteluja vakuutusyhtiön ja viranomaisten kanssa.
Yhteen sovitettu kulku estää nämä virheet viivyttämättä rajaamista.
Mitä emme lupaa
Emme lupaa, että jokainen poikkeama selvitetään täydellisesti; ilman jälkiä kysymyksiä jää auki, ja kirjoitamme sen myös raporttiin. Emme anna oikeudellista neuvontaa emmekä lausuntoja vastuusta tai vakuutussuojasta. Tavoitteemme on selkeä päätös: työskentelemme tapauksen parissa, kunnes se on päätetty ja dokumentoitu.
Usein kysytyt kysymykset
Mikä ero on incident responsella ja IT-forensiikalla?
Incident responsen tavoitteena on rajata poikkeama ja palauttaa toiminta turvallisesti. IT-forensiikka selvittää yksityiskohtaisesti ja todistusvoimaisesti, mitä tapahtui. Käytännössä ne nivoutuvat yhteen, ja forensiikka turvaa jäljet usein samanaikaisesti.
Milloin incident response -palveluntarjoaja kannattaa ottaa mukaan?
Heti kun on epäilys, että hyökkääjällä oli pääsy järjestelmiin, ettekä pysty arvioimaan laajuutta varmasti. Mitä aikaisemmin jälkien turvaaminen alkaa, sitä enemmän voidaan myöhemmin osoittaa.
Kuka tekee päätökset poikkeaman aikana?
Päätökset teette te, esimerkiksi sammutuksista, viestinnästä tai ilmoituksista. Valmistelemme tekniset perusteet, näytämme vaihtoehdot seurauksineen ja toteutamme päätökset.
Pitääkö poliisi ottaa mukaan?
Rikosilmoitus on monessa tapauksessa järkevä ja joillekin vakuutuksille merkityksellinen. Asiasta vastaavat poliisin Zentrale Ansprechstellen Cybercrime -yhteyspisteet (Saksan poliisin kyberrikosyhteyspisteet). Tekeekö ja milloin teette rikosilmoituksen, päätätte lakimiehenne kanssa.