Röviden: Érintett? Hívjon minket. Segítünk. A középvállalkozásoknál gyakran hiányzik a saját biztonsági részleg, és éppen erre vagyunk: az első üzenettől távolról átvesszük a webszervereinek elsősegélyét, mentjük a nyomokat, lezárjuk a rést, tisztítunk és dokumentálunk, amíg az incidens le nem zárul.
Most ne töröljön semmit, és ne telepítsen újra semmit. Ez akkor is érvényes, ha az üzem sürget, és a weboldalnak újra futnia kellene. Először mentés, aztán javítás. Vészhelyzet bejelentése, megmondjuk, mit tehet maga kockázat nélkül.
Érintett? Tipikus helyzet a középvállalkozásoknál
Aki 20, 200 vagy 800 munkatársat foglalkoztató vállalkozást vezet, annak többnyire egy-két embere van az informatikára, egy ügynöksége a weboldalra és egy tárhelyszolgáltatója a szerverre. Ez normális, de éles helyzetben láthatóvá teszi a hiányosságokat. Akut veszélyeztetettség valószínű, ha:
- A weboldala, az ügyfélportálja vagy a webshopja PHP-n fut, és senki sem tudja biztosan, pontosan melyik verzión.
- Egy tárhelyszolgáltató, egy ügyfél vagy egy böngészőbeli figyelmeztetés feltűnő jelenségeket jelez.
- A rendszergazdája arról számol be, hogy fájlok vagy fiókok a webszerveren megmagyarázhatatlanok.
- Nem tudja, mely rendszerek érhetők el egyáltalán nyilvánosan.
- A webszervernek hozzáférése van belső rendszerekhez, adatbázisokhoz vagy fájltárolókhoz.
Hogy szinte az összes PHP-verzió érintett lehet, azt a szakmai sajtó háttérként említi: beszámolók szerint a PHP 5.4-ig visszamenőleg érintettek verziók. Hogyan néz ki a helyzet a középvállalkozásoknál, azt az IT-biztonság a középvállalkozásoknak és az iparnak oldal írja le.
Mit tegyen azonnal
- Alakítson válságcsapatot. Vezetés, informatika, adott esetben adatvédelem: kevés ember, egy döntéshozó.
- Gyűjtse össze a rendszereket. Mely szerverek, weboldalak és portálok érintettek, vagy érintettek lehetnek? Egy egyszerű lista elegendő.
- Ne változtasson semmit. Ne takarítsanak, ne telepítsenek újra, ne állítsanak vissza mentéseket.
- Ellenőriztesse a kapcsolatokat. Kapcsolódik-e a webszerver a belső hálózathoz? Akkor egy weboldal elleni támadás többet érinthet, mint csak a weboldalt.
- Szólítsa meg a tárhelyszolgáltatót és az ügynökséget. Kérje meg mindkettőt, hogy őrizzék meg a naplókat, és erősítsék meg az állapotot és a felelősségeket. Hogyan, azt itt találja: Így kérdezze meg a tárhelyszolgáltatóját a javítási állapotról.
- Biztosítsa a hozzáféréseket. A jelszavakat és kulcsokat csak egyeztetés után, és tiszta eszközökről módosítsa.
- Jelentkezzen most. Hívjon minket, vagy írjon WhatsAppon.
Elsősegély webszerverekhez: hogyan járunk el a középvállalkozásoknál
Egy középvállalkozás nem engedhet meg magának állásidőt, de ellenőrizetlen beavatkozást sem. Ezért olyan lépcsőkben dolgozunk, amelyek a lehető legkevésbé zavarják a folyó üzemet:
- 1. lépcső, elzárás: Tisztázzuk, hogy az érintett szervereket átmenetileg korlátozni kell-e. A BSI a PHP2Shell esetében azt javasolja, hogy a webszervereket le kell választani a hálózatról, ha a frissítés nem lehetséges azonnal.
- 2. lépcső, mentés: Mentjük a naplókat, a fájlokat és az adatbázisokat, hogy az incidens igazolható maradjon.
- 3. lépcső, elhárítás: Javítás vagy konfiguráció, az összes PHP-folyamat újraindítása, az ismeretlen hozzáférések lezárása.
- 4. lépcső, vizsgálat: Nyomokat és következményes károkat keresünk a rendszeren és a környezetében, a szomszédos szervereken is.
Egy döntő pont a döntéshozóknak: egy CMS-frissítés, például a WordPresszé, nem zárja le a PHP-rést, és egy javítás nem távolítja el a már bejuttatott kártékony kódot. Aki a frissítés után „késznek” mondja, az a munka felét nem végezte el.
Tipikus hibák a középvállalkozásoknál az első órákban
A gyakorlatból ismerünk néhány mintát, amely növeli a kárt. Először: a felelősséget ide-oda tolják. A tárhelyszolgáltató az ügyfélre utal, az ügynökség a tárhelyszolgáltatóra, a rendszergazda a vezetésre. Ezért korán állapítsa meg, ki dönt. Másodszor: túl gyorsan állítanak vissza. Egy régi mentés visszaállítása a bejárat lezárása nélkül azonnal visszahozza a támadót is. Harmadszor: elmarad a kommunikáció: a munkatársak, az ügyfelek és az üzleti partnerek másodkézből értesülnek az incidensről.
A Krízis-kommunikáció egy támadás után oldalon talál tudnivalókat arról, hogyan oldható ez meg nyugodtan. Ökölszabályként: inkább kevesebbet mondjon, de azt igazoltan.
Hogyan segít konkrétan a PHP SOS?
- Helyzetfelmérés: Önnel együtt tisztázzuk a rendszereket, az üzemmódot (PHP-FPM, mod_php vagy LiteSpeed), az adatokat és a kapcsolattartókat. Az első áttekintés gyorsan elkészül, részletismeretek nélkül is.
- Mentés és lezárás: Mentjük a nyomokat, és lezárjuk a bejáratot úgy, hogy a folyamataiban ne okozzunk szükségtelen zavart.
- Vizsgálat és tisztítás: Webshelleket, hátsó ajtókat, cron-feladatokat és idegen fiókokat keresünk és távolítunk el. A részleteket itt találja: Kártevők és webshellek eltávolíttatása.
- Keményítés és jelentés: Jelentést kap a vezetés, az adatvédelem és a biztosító számára. Kívánságra Önnel együtt kiépítjük az elővigyázatossági intézkedéseket, például egy biztonsági karbantartási szerződéssel.
Ha az incidens egy webszerveren túlra terjed, strukturált Incident Response eljárásba lépünk.
Utána: elővigyázatosság saját biztonsági részleg nélkül
Ha az incidens lezárult, megmarad a kérdés, hogyan előzheti meg a következőt, vagy hogyan ismerheti fel legalább korábban. Saját biztonsági csapat nélküli vállalkozásoknál négy dolog a legfontosabb: az összes weboldal és szerver naprakész leltára, egy világos kapcsolattartó a frissítésekhez, ellenőrzött mentések és egy rövid IT-vészhelyzeti terv.
Hogy az Ön vállalkozása a NIS2 kötelezettségei alá tartozik-e, az jogi kérdés, amelyre nem válaszolunk. Általános információkat az oldalunkon talál, a besorolást az ügyvéd vagy az adatvédelmi felelős végzi.
Mit érdemes elküldenie nekünk
- az incidens és az időpontjának rövid leírása
- a weboldalak, webshopok és portálok listája a tárhelyszolgáltatóval és, amennyiben ismert, a PHP-verzióval
- a rendszert ismerő rendszergazda, ügynökség és tárhelyszolgáltató neve
- utalások arra, hogy a webszerver kapcsolódik-e belső rendszerekhez
- adatok a mentésekről és egy meglévő kiberbiztosításról
Miért a PHP SOS
A munkánk Made in Germany, és a kiberbiztonsági szakemberekből álló partnerhálózatunkkal több mint 25 éve az informatikai biztonságra szakosodtunk. Ez Önnek azt jelenti: egy kapcsolattartó sok helyett, kiszállás nélküli távoli munka egész Németországban és Európában, és olyan dokumentáció, amellyel megállja a helyét az ügyfelek, a biztosító és a hatóságok előtt. Nyíltan elválasztjuk a bizonyítottat, a valószínűt és az ismeretlent, és nem ígérünk semmit, amit senki sem tarthat be.
Érintett? Hívjon minket. Segítünk.
Az elsősegélyhez nincs szüksége saját biztonsági részlegre, hanem egy kapcsolattartóra, aki elkezdi. Az első üzenettől átvesszük az ügyet, és addig maradunk, amíg az incidens le nem zárul, és dokumentált nem lesz. Vészhelyzet bejelentése most.
Gyakori kérdések
Mit tegyünk kibertámadás esetén saját informatikai biztonsági részleg nélkül?
Meg kell őrizni a nyomokat, nem szabad semmit törölni, meg kell nevezni a döntéshozót, és külső segítséget kell hívni. Egy középvállalkozásnak nem kell mindent maga tudnia. Mi átvesszük a műszaki oldalt, és együtt dolgozunk az Ön rendszergazdájával, ügynökségével vagy tárhelyszolgáltatójával.
Célpontjai-e egyáltalán a támadásoknak a kis- és középvállalkozások?
Igen. Az automatizált szkennelések a javítatlan szervereket keresik, a cég méretére való tekintet nélkül. A PHP2Shell esetében a Palo Alto Networks (Unit 42) több mint 22,6 millió nyilvánosan elérhető, potenciálisan sebezhető példányt számolt.
Meg kell állnia az üzemünknek, ha a webszervert megtámadták?
Nem feltétlenül. Gyakran a weboldal és a webshop elzárható, miközben a belső rendszerek tovább futnak. Először azt tisztázzuk, vannak-e kapcsolatok a webszerver és az Ön belső hálózata között.
Vonatkozik ránk a NIS2, és mit jelent ez egy incidensnél?
Hogy az Ön vállalkozása a NIS2 hatálya alá tartozik-e, az ágazattól és a mérettől függ, és jogi kérdés. Áttekintést ad a NIS2-ről szóló oldalunk; az Ön esetére vonatkozó besorolás az ügyvédhez vagy az adatvédelmi felelőshöz tartozik.
Hogyan készüljünk fel a következő incidensre?
A rendszerek leltárával, megnevezett kapcsolattartóval, ellenőrzött mentésekkel és egy rövid vészhelyzeti tervvel. Segítünk a kiépítésben, miután az akut incidens lezárult.