En bref : vous êtes concerné ? Appelez-nous. Nous vous aidons. Si vous avez une urgence informatique sur le serveur web et aucun expert sous la main, mandatez-nous d'un simple message : nous prenons le relais dès le premier message, travaillons à distance sans déplacement et consignons tout par écrit, jusqu'à ce que l'incident soit clos et documenté.
Ne supprimez rien et ne réinstallez rien pour l'instant. Pas même en préparation pour le prestataire. L'état du système est la preuve la plus importante. Signaler une urgence, et nous clarifierons ensemble les accès et les rôles.
Êtes-vous concerné ? Quand un prestataire d'urgence est nécessaire
Toute perturbation n'est pas un incident de sécurité. Un prestataire pour l'urgence est judicieux si au moins un de ces points s'applique :
- Votre serveur web se comporte de façon anormale et personne en interne ne peut en identifier la cause.
- Vous soupçonnez la présence de code malveillant, une intrusion ou une fuite de données.
- L'hébergeur a bloqué l'offre ou exige un nettoyage.
- Votre version de PHP est ancienne ou incertaine, et vous ne savez pas si les failles PHP2Shell ont été exploitées.
- Votre service informatique ou l'agence est injoignable ou n'a pas d'expérience des incidents.
Le soupçon suffit. Pour savoir si vous pouvez vous en sortir seul ou si vous avez besoin d'aide, la page Corriger soi-même ou faire appel à un prestataire ? vous aide à peser.
Ce que vous faites tout de suite
- Figer l'état. Aucune modification du serveur, aucune opération de rangement, aucune mise à jour à l'aveugle.
- Lister les accès. Quels accès au panneau d'administration, SSH, CMS et base de données existent, et qui les gère ?
- Informer l'hébergeur. Demandez-lui de conserver les journaux et les instantanés. Ne lui cachez rien de ce qu'il doit savoir.
- Désigner un décideur. Qui, dans l'entreprise, autorise les arrêts, les redémarrages et les changements de mot de passe ?
- Clarifier la nature des données. Le système contient-il des données personnelles, des données de paiement ou des secrets d'affaires ?
- Informer les parties concernées. Le délégué à la protection des données et, s'il en existe un, le cyberassureur.
- Mandater le prestataire. Appelez-nous ou écrivez-nous sur WhatsApp. Nous prenons le relais dès le premier message.
Comment se déroule le mandat
Une urgence ne supporte pas un long processus contractuel, mais elle ne supporte pas non plus de lacunes en matière de responsabilité et de protection des données. C'est pourquoi nous procédons dans cet ordre :
- Premier échange : nous écoutons la situation et posons les quelques questions nécessaires à une première évaluation.
- Définir le cadre : nous clarifions ensemble quels systèmes nous pouvons examiner, qui décide et comment nous échangeons.
- Régler la protection des données : si nous accédons à des systèmes contenant des données personnelles, nous discutons de l'accord de sous-traitance nécessaire. La page Sous-traitance en cas d'accès au serveur en explique les bases.
- Mettre en place l'accès : vous ne nous donnez que les droits nécessaires à la mission. Une fois celle-ci terminée, les accès sont de nouveau retirés.
- Travail et rapports : nous vous communiquons des points d'étape et consignons les résultats par écrit.
Pour savoir comment comparer les prestataires en général, voir Choisir un prestataire en sécurité informatique : 12 questions. Les obligations contractuelles en matière de sécurité sont traitées dans Contrats de prestataires : définir clairement les obligations de sécurité.
Comment PHP SOS aide-t-il concrètement ?
- Faire le point : que s'est-il passé, quels serveurs sont en service, quelles versions de PHP et quel mode d'exécution (PHP-FPM, mod_php, LiteSpeed) sont utilisés ?
- Sécuriser et fermer : nous sécurisons les journaux, les fichiers et la base de données. Puis nous éliminons la cause : correctif, configuration ou blocage d'accès, avec redémarrage de tous les processus PHP.
- Examiner et nettoyer : nous recherchons les webshells, les portes dérobées, les tâches cron et les accès étrangers, et nous les supprimons ou reconstruisons à partir de sources saines.
- Durcir et rendre compte : vous recevez un rapport avec chronologie, éléments trouvés et recommandations. Pour les incidents plus importants, nous passons à une réponse aux incidents.
S'il ne s'agit d'abord que de la faille PHP et de la preuve du correctif, l'aide d'urgence PHP2Shell pour entreprises convient. En présence de code malveillant, la suppression de logiciels malveillants est le bon point de départ.
À quoi reconnaît-on un prestataire d'urgence sérieux
En cas d'urgence, beaucoup se tournent vers le premier prestataire venu. Trois questions aident à remettre de l'ordre en quelques minutes. Premièrement : sécurise-t-on d'abord, et ne modifie-t-on qu'ensuite ? Qui « range » immédiatement compromet l'élucidation ultérieure. Deuxièmement : ce qui a été trouvé et fait est-il consigné par écrit ? Sans documentation, ni l'assureur ni le délégué à la protection des données ne peuvent en faire quoi que ce soit. Troisièmement : les limites sont-elles énoncées ? Un prestataire qui déclare tout réalisable avant d'avoir vu le système doit être traité avec prudence.
Vérifiez aussi que le prestataire comprend votre mode d'exécution. PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed se comportent différemment lors de l'application des correctifs, et après la mise à jour tous les processus doivent être redémarrés, sinon l'ancien état continue de tourner en mémoire.
Ce qu'un prestataire d'urgence ne peut pas faire
Il vaut la peine de connaître les limites à l'avance. Aucun prestataire ne peut reconstituer rétroactivement des journaux qui n'ont jamais été écrits ou qui ont déjà été écrasés. Lorsque des traces manquent, nous nommons ouvertement les lacunes. Personne non plus ne peut garantir qu'un système nettoyé ne sera plus jamais attaqué. Et le conseil juridique ne fait pas partie de notre mission : les questions d'obligations de notification, de responsabilité et d'assurance relèvent du délégué à la protection des données, de l'avocat et de l'assureur, à qui nous fournissons les faits techniques.
Ce que vous devriez nous envoyer
- une brève description de l'incident et du moment où il a été remarqué
- les domaines et serveurs concernés et, si elle est connue, la version de PHP
- le nom de l'hébergeur et le type de contrat (hébergement mutualisé, serveur virtuel, serveur root, serveur géré)
- une personne de contact habilitée à décider
- les sauvegardes existantes et leur état
Pourquoi PHP SOS
Nous travaillons Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous parlez à un interlocuteur fixe, nous travaillons à distance partout en Allemagne et en Europe et documentons chaque étape. Nous disons ouvertement ce qui est établi et ce qui ne l'est pas, et nous ne faisons pas de promesses qu'aucun prestataire sérieux ne peut tenir. Notre ordre est toujours le même : d'abord sécuriser, puis modifier, puis rendre compte.
Vous êtes concerné ? Appelez-nous. Nous vous aidons.
Ne cherchez pas plus longtemps le bon prestataire pendant que l'incident se déroule. Appelez-nous ou écrivez-nous sur WhatsApp, nous prenons le relais dès le premier message. Signaler une urgence maintenant.
Questions fréquentes
À quoi reconnaît-on un bon prestataire en cas d'urgence informatique ?
Il préserve les traces avant de modifier quoi que ce soit, distingue ouvertement ce qui est établi de ce qui est supposé, documente chaque étape et ne promet pas de miracles. Méfiez-vous des affirmations comme « garanti entièrement sain », car personne ne peut l'assurer sérieusement.
De quels accès un prestataire a-t-il besoin en cas d'urgence informatique ?
En règle générale, d'un accès SSH ou au panneau d'administration du serveur, d'un accès au back-office du CMS et à la base de données, ou de votre autorisation de parler avec l'hébergeur. Ne donnez que le nécessaire et consignez qui a reçu quel accès et quand.
Ai-je besoin d'un contrat de sous-traitance pour l'accès à distance ?
Lorsqu'un prestataire accède à des systèmes contenant des données personnelles, un accord de sous-traitance est généralement nécessaire. L'appréciation revient aux délégués à la protection des données ou aux avocats. Nous clarifions cela avec vous dès le début.
Quelle est la différence entre la réponse aux incidents et la suppression de logiciels malveillants ?
La suppression de logiciels malveillants nettoie un système infecté. La réponse aux incidents a une portée plus large : état des lieux, confinement, nettoyage, communication et suivi, souvent sur plusieurs systèmes.
Mon hébergeur doit-il être impliqué ?
Souvent oui, par exemple pour les instantanés, les journaux ou la levée de blocages. Nous nous concertons avec votre hébergeur si vous l'autorisez. Ce qui peut être vérifié dépend des droits que nous recevons.