Lyhyesti: Jos toimistonne usea asiakassivusto on kohteena, se on harvoin sattumaa, vaan yleensä yhteinen palvelin, jaettu pääsy tai sama PHP-versio. Koskeeko tämä teitä? Ottakaa yhteyttä heti. Annamme teille yleiskuvan, rajaamme tapauksen etänä, puhdistamme järjestelmät ja toimitamme raportit asiakkaillenne.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Vaikka asiakkaiden paine on kova: ilman varmistettuja lokeja ja tiedostoja ei voi selvittää syytä eikä todistaa, mikä ei ollut kohteena. Ilmoittakaa hätätilanne, niin otamme tilanteen hoitoon ensimmäisestä viestistä alkaen.
Koskeeko tämä teitä? Merkkejä, kun asiakassivustoja on murrettu
Toimistona näette kaavoja, joita yksittäiset ylläpitäjät eivät koskaan huomaa. Yhteiseen tapaukseen viittaavat:
- Useat asiakassivustot näyttävät samaan aikaan samoja oireita: uudelleenohjauksia, roskapostisisältöä, selaimen varoituksia.
- Sama tuntematon ylläpitäjätili tai sama epäilyttävä tiedosto ilmestyy eri asiakkailla.
- Hosting-yritys ilmoittaa väärinkäytöstä tai poikkeavasta kuormituksesta tilillä, jolla on monta projektia.
- Asiakkaat soittavat, koska heidän sivustostaan varoitetaan Googlessa, ja vastatarkistuksessa löydätte lisää samassa tilassa olevia sivustoja.
- Kehittäjällä tai entisellä työntekijällä oli pääsy moneen projektiin, ja yksi tunnus on päätynyt vääriin käsiin.
- Keskitetyn työkalun, esimerkiksi julkaisun, varmuuskopioiden tai päivityspalvelun, kautta tehdyt huoltotyöt ovat muuttaneet sivustoa, jota ette ole koskeneet.
- Ylläpidätte monia sivustoja PHP-versioilla, joiden korjaustilaa ette pysty todentamaan jokaisen osalta.
PHP2Shellin myötä lisäksi haavoittuvuus on itse PHP-tulkissa. CMS-päivitys, esimerkiksi WordPressin, ei sulje sitä; ratkaisevaa on PHP-ajoympäristö, joka todella palvelee sivuja.
Mitä teette heti
- Listatkaa kohteena olevat sivustot: verkkotunnus, palvelin, hosting-tili, PHP-versio, CMS, vastuuhenkilöt. Myös epäilytapaukset kuuluvat mukaan.
- Etsikää yhteisiä tekijöitä: Sama palvelin? Samat tunnukset? Sama lisäosa? Sama julkaisureitti?
- Eristäkää vaarassa olevat sivustot: Siirtäkää haittakoodia aktiivisesti jakavat sivustot huoltotilaan. Älkää poistako.
- Varmistakaa lokit ja tila: Pyytäkää hosting-yritystä säilyttämään lokit; varmistakaa omat julkaisulokinne.
- Tarkistakaa keskitetyt tunnukset: Kenellä on pääsy hosting-paneeliin, SSH:hon, Gitiin, salasanahallintaan ja julkaisuun? Muutokset vasta sovittuaan.
- Tiedottakaa asiakkaille pidättyvästi: Aluksi vain se, mikä on todennettua. Älkää nimetkö syytä ennen kuin se on selvillä.
- Ottakaa yhteyttä meihin: Soittakaa tai kirjoittakaa WhatsAppilla.
Miten PHP SOS auttaa konkreettisesti?
- Tilanteen kartoitus: Kokoamme kanssanne yleiskuvan kaikista sivustoista ja palvelimista ja ryhmittelemme ne kiireellisyyden mukaan: aktiivisesti jaettu haittakoodi, epäily tietovuodosta, todennäköisesti vain korjaamaton.
- Varmistus ja sulkeminen: Varmistamme jokaisen kohteena olevan järjestelmän, ennen kuin mitään muutetaan, ja suljemme yhteisen sisäänkäynnin: tunnukset, PHP:n tila, kaikkien prosessien uudelleenkäynnistys.
- Tarkistus ja puhdistus: Etsimme järjestelmällisesti kaikilta sivustoilta samoja jälkiä, poistamme web shellit ja takaovet ja palautamme siististi. Lisätietoja sivulla Haittaohjelmien ja web shellien poistatus.
- Koventaminen ja raportointi: Erotamme sivustot toisistaan, missä se on järkevää, ja toimitamme asiakaskohtaisen lyhyen raportin, jonka voitte antaa eteenpäin, sekä kokonaisraportin teille.
Työskentelemme etänä, ilman matkustamista, kaikkialla Saksassa ja Euroopassa. Halutessanne taustalla toimistonne hyväksi, kuten sivulla Toimistot ja white label kuvataan.
Miksi toimistoilla kaatuu usein monta sivustoa yhtä aikaa
Se, joka ylläpitää monta projektia yhdellä palvelimella, säästää kustannuksissa mutta vaihtaa eristyksen mukavuuteen. Jos kaikki toimii saman käyttäjän ja saman PHP-prosessipoolin alla, murretun sivuston koodi voi lukea ja muuttaa naapureiden tiedostoja. Se ei ole eksoottinen tapaus vaan useiden asetusten vakiotila. Miten poolit saa erotettua siististi, kuvaa PHP-FPM-poolien eristäminen.
Lisäksi tulevat jaetut pääsyt: yksi SSH-avain kaikille projekteille, hosting-tili kaikilla verkkotunnuksilla, samat salasanat staging- ja tuotantoympäristöön. Tässä pätee pienimpien oikeuksien periaate. Lisää sivulla Verkkopalvelinkäyttäjän oikeudet.
Myös toimitusketju on osa asiaa: lisäosat, teemat ja kirjastot tulevat kolmansilta osapuolilta, hosting-yritys vastaa alustasta, toimisto toiminnasta. Missä nämä rajat kulkevat ja missä syntyy aukkoja, käsittelee Toimitusketju toimisto ja hosting-yritys.
Luettelo, PHP-versiot ja viestintä asiakkaille
Yleisin ongelma tällaisissa tilanteissa on yleiskuvan puute: Mikä sivusto toimii millä palvelimella millä PHP-versiolla, ja kuka on vastuussa? Ilman tätä luetteloa ei voi sanoa, ketä korjaus koskee ja ketä ei. Miten tällaisen hakemiston rakentaa, näyttää Verkkosivustojen ja palvelimien luettelo. Jos useita PHP-versioita toimii rinnakkain, auttaa lisäksi Useita PHP-versioita yhdellä palvelimella.
Asiakkaille selkeys on tärkeintä. Teidän ei tarvitse tietää kaikkea, mutta mitään ei pidä kaunistella: mikä on todennettua, mitä vielä tarkistetaan, mitä teette seuraavaksi? Muotoiluapua löydätte sivulta Asiakkaille tiedottaminen tapauksen jälkeen. Jos henkilötietoja on mukana, GDPR:n 33 artiklan mukaisilla ilmoitusvelvollisuuksilla voi olla merkitystä. Tämä on yleistä tietoa; arvion tekevät tietosuojavastaava ja lakimies. Jos tapaus laajenee yksittäisiä sivustoja pidemmälle, siirrymme jäsenneltyyn tietoturvapoikkeamien hallintaan (Incident Response).
Mitä teidän kannattaa lähettää meille
- luettelo kohteena olevista ja todennäköisesti kohteena olevista verkkotunnuksista
- tiedot palvelimesta ja hostingista projektikohtaisesti, siltä osin kuin tiedossa
- PHP-versiot sekä käytössä olevat CMS:t tai verkkokaupat
- tunnukset, jotka voitte antaa meille, ja tiimin roolit
- tiedot siitä, mitä viimeksi muutettiin tai julkaistiin
- päätöksiä sekä asiakasviestintää hoitavan yhteyshenkilön nimi
Miksi PHP SOS
Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Teillä on yksi yhteyshenkilö kaikille kohteena oleville projekteille, työskentelemme etänä ja dokumentoimme järjestelmäkohtaisesti, mitä on löydetty ja tehty. Emme lupaa ihmeitä. Sen, mitä ei voi todentaa, nimeämme tuntemattomaksi, jotta ette kerro asiakkaillenne enempää kuin tiedätte.
Koskeeko tämä teitä? Soittakaa. Autamme.
Kun useat asiakassivustonne ovat poikkeavia, aikapaine on kaksinkertainen: teknisesti ja suhteessa asiakkaisiinne. Ottakaa yhteyttä nyt: soittakaa tai kirjoittakaa WhatsAppilla. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen ja pysymme mukana, kunnes tapaus on käsitelty loppuun ja dokumentoitu. Ilmoittakaa hätätilanne nyt
Usein kysytyt kysymykset
Miksi usein useampi asiakassivusto on kohteena samaan aikaan?
Sivustot jakavat usein palvelimen, hosting-tilin, saman PHP-prosessin tai samat tunnukset. Kun hyökkääjä pääsee sisään yhdestä kohdasta, hän voi liikkua sivusuunnassa. Haavoittuva PHP koskee lisäksi kaikkia sivustoja, jotka sitä käyttävät.
Pitäisikö asiakkaille tiedottaa heti?
Se riippuu tilanteesta ja sopimuksesta. Selvittäkää ensin, mitkä sivustot ovat todella kohteena, ettette tiedota olettamuksilla. Jos henkilötietoja on mukana, ilmoitusvelvollisuudet ovat mahdollisia; arvion tekevät tietosuojavastaava tai lakimies.
Kuka vastaa, jos asiakkaan sivusto on murrettu?
Se määräytyy sopimustenne, ylläpidon laajuuden ja tapahtumien kulun mukaan. Emme anna siitä oikeudellista neuvontaa. Selkeä raportti syystä ja toimenpiteistä auttaa tämän selvittämisessä.
Voitteko työskennellä nimenne alla niin, ettei loppuasiakas näe meitä?
Halutessanne työskentelemme taustalla toimistonne hyväksi ja toimitamme raportteja, jotka voitte antaa asiakkaillenne. Yksityiskohdista sovimme etukäteen.
Riittääkö, että puhdistan asiakassivustot yksitellen?
Yleensä ei. Jos syy on yhteisellä palvelimella, jaetussa pääsyssä tai korjaamattomassa PHP-versiossa, ongelmat ilmestyvät yksittäisen puhdistuksen jälkeen uudelleen. Syy on poistettava samalla.