Röviden: Érintett? Hívjon minket. Segítünk. Ha IT-vészhelyzet van a webszerveren, és nincs kéznél szakértő, egyetlen üzenettel megbízhat minket: az első üzenettől átvesszük az ügyet, távolról dolgozunk kiszállás nélkül, és mindent írásban rögzítünk, amíg az incidens le nem zárul, és dokumentált nem lesz.
Most ne töröljön semmit, és ne telepítsen újra semmit. A szolgáltató előkészítéseként sem. A rendszer állapota a legfontosabb bizonyíték. Vészhelyzet bejelentése, és közösen tisztázzuk a hozzáféréseket és a szerepeket.
Érintett? Mikor szükséges vészhelyzeti szolgáltató
Nem minden zavar biztonsági incidens. A vészhelyzeti szolgáltató akkor célszerű, ha legalább az egyik pont igaz:
- A webszervere feltűnően viselkedik, és a házban senki sem tudja besorolni az okot.
- Kártékony kód, behatolás vagy kiszivárgott adatok gyanúja áll fenn.
- A tárhelyszolgáltató letiltotta a szolgáltatást, vagy tisztítást kér.
- A PHP-verziója régi vagy tisztázatlan, és nem tudja, hogy kihasználták-e a PHP2Shell-réseket.
- A saját informatika vagy az ügynökség nem elérhető, vagy nincs tapasztalata incidensekkel.
A gyanú elegendő. Hogy maga is továbbjut-e, vagy támogatásra van szüksége, azt a Saját kezűleg megoldani, vagy szolgáltatót hívni? oldal segítségével mérlegelheti.
Mit tegyen azonnal
- Fagyassza be az állapotot. Ne legyen változtatás a szerveren, takarítás, vakon végzett frissítés.
- Sorolja fel a hozzáféréseket. Milyen panel-, SSH-, CMS- és adatbázis-hozzáférések léteznek, és ki kezeli őket?
- Tájékoztassa a tárhelyszolgáltatót. Kérje meg, hogy őrizze meg a naplókat és a snapshotokat. Ne hallgasson el semmit, amit tudnia kell.
- Jelölje ki a döntéshozót. Ki engedélyezi a vállalkozásnál a leállításokat, az újraindításokat és a jelszóváltásokat?
- Tisztázza az adathelyzetet. Vannak-e a rendszeren személyes adatok, fizetési adatok vagy üzleti titkok?
- Tájékoztassa az érintetteket. Az adatvédelmi felelőst és, ha van, a kiberbiztosítót.
- Bízzon meg szolgáltatót. Hívjon minket, vagy írjon WhatsAppon. Az első üzenettől átvesszük az ügyet.
Így zajlik a megbízás
A vészhelyzet nem tűr hosszú szerződéses folyamatot, de a felelősség és az adatvédelem terén sem tűr hiányosságokat. Ezért ebben a sorrendben járunk el:
- Első beszélgetés: Meghallgatjuk a helyzetet, és feltesszük azt a néhány kérdést, amely egy első értékeléshez szükséges.
- Keretek egyeztetése: Közösen tisztázzuk, mely rendszereket vizsgálhatjuk, ki dönt, és hogyan tartjuk a kapcsolatot.
- Adatvédelem rendezése: Ha személyes adatokat tartalmazó rendszerekhez férünk hozzá, megbeszéljük a szükséges adatfeldolgozási megállapodást. Az alapokat az Adatfeldolgozás szerverhozzáférésnél oldal magyarázza.
- Hozzáférés beállítása: Csak azokat a jogokat adja meg, amelyek a megbízáshoz szükségesek. A lezárás után a hozzáféréseket visszavonják.
- Munka és jelentések: Köztes állásokkal jelentkezünk, és az eredményeket írásban rögzítjük.
Hogyan hasonlíthatja össze alapvetően a szolgáltatókat, azt az IT-biztonsági szolgáltató kiválasztása: 12 kérdés tartalmazza. A biztonsággal kapcsolatos szerződéses kötelezettségekkel a Szolgáltatói szerződések: a biztonsági kötelezettségek világos szabályozása foglalkozik.
Hogyan segít konkrétan a PHP SOS?
- Helyzetfelmérés: Mi történt, mely szerverek futnak, mely PHP-verziók és melyik üzemmód (PHP-FPM, mod_php, LiteSpeed) van használatban?
- Mentés és lezárás: Mentjük a naplókat, a fájlokat és az adatbázist. Aztán elhárítjuk az okot: javítás, konfiguráció vagy hozzáférések letiltása, az összes PHP-folyamat újraindításával.
- Vizsgálat és tisztítás: Webshelleket, hátsó ajtókat, cron-feladatokat és idegen hozzáféréseket keresünk, és eltávolítjuk őket, vagy tiszta forrásokból újraépítünk.
- Keményítés és jelentés: Jelentést kap idővonallal, leletekkel és ajánlásokkal. Nagyobb incidenseknél Incident Response eljárásba vezetünk át.
Ha először csak a PHP-résről és a javítás igazolásáról van szó, a PHP2Shell azonnali segítség vállalkozásoknak a megfelelő. Ha kártékony kód van jelen, a Kártevő-eltávolítás a helyes kiindulópont.
Miből ismeri fel a komoly vészhelyzeti szolgáltatót
Vészhelyzetben sokan az első szembejövő szolgáltatóhoz fordulnak. Három kérdés segít percek alatt rendet teremteni. Először: először mentenek, és csak utána változtatnak? Aki azonnal „takarít”, megakadályozza a későbbi kivizsgálást. Másodszor: írásban rögzítik, mit találtak és mit tettek? Dokumentáció nélkül sem a biztosító, sem az adatvédelmi felelős nem tud vele mit kezdeni. Harmadszor: megnevezik a korlátokat? Az a szolgáltató, aki mindent megoldhatónak nyilvánít, mielőtt látta volna a rendszert, óvatosan kezelendő.
Azt is ellenőrizze, érti-e a szolgáltató az Ön üzemmódját. A PHP-FPM, az Apache mod_php-val, a php-cgi, a FrankenPHP és a LiteSpeed másképp viselkedik a javításnál, és a frissítés után az összes folyamatot újra kell indítani, különben a régi állapot fut tovább a memóriában.
Amit egy vészhelyzeti szolgáltató nem tud nyújtani
Érdemes előre ismerni a korlátokat. Egyetlen szolgáltató sem tud visszamenőleg olyan naplókat előállítani, amelyeket soha nem írtak meg, vagy amelyeket már felülírtak. Hiányzó nyomok esetén nyíltan megnevezzük a hiányosságokat. Azt sem ígérheti senki, hogy egy megtisztított rendszert soha többé nem támadnak meg. A jogi tanácsadás pedig nem tartozik a megbízásunkhoz: a bejelentési kötelezettségekkel, a felelősséggel és a biztosítással kapcsolatos kérdések az adatvédelmi felelőshöz, az ügyvédhez és a biztosítóhoz tartoznak, mi nekik szolgáltatjuk a műszaki tényeket.
Mit érdemes elküldenie nekünk
- az incidens rövid leírása és az időpont, amikor feltűnt
- az érintett domainek, szerverek és, amennyiben ismert, a PHP-verzió
- a tárhelyszolgáltató neve és a szerződés típusa (megosztott tárhely, vServer, root szerver, menedzselt szerver)
- döntési jogkörrel rendelkező kapcsolattartó
- meglévő mentések és azok állapota
Miért a PHP SOS
A munkánk Made in Germany, és a kiberbiztonsági szakemberekből álló partnerhálózatunkkal több mint 25 éve az informatikai biztonságra szakosodtunk. Állandó kapcsolattartóval beszél, távolról dolgozunk egész Németországban és Európában, és minden lépést dokumentálunk. Nyíltan megmondjuk, mi bizonyított és mi nem, és nem teszünk olyan ígéreteket, amelyeket egy komoly szolgáltató sem adhat. A sorrendünk mindig ugyanaz: először mentés, aztán változtatás, aztán jelentés.
Érintett? Hívjon minket. Segítünk.
Ne keresgéljen tovább a megfelelő szolgáltató után, amíg az incidens zajlik. Hívjon minket, vagy írjon WhatsAppon, az első üzenettől átvesszük az ügyet. Vészhelyzet bejelentése most.
Gyakori kérdések
Miből ismerem fel a jó IT-vészhelyzeti szolgáltatót?
Először nyomokat ment, és csak utána változtat, nyíltan elválasztja a bizonyítottat a feltételezettől, minden lépést dokumentál, és nem ígér csodát. Legyen gyanakvó az olyan kijelentésekkel szemben, mint „garantáltan tiszta minden”, mert ezt senki sem ígérheti komolyan.
Milyen hozzáférésekre van szüksége egy szolgáltatónak IT-vészhelyzetben?
Általában SSH- vagy paneles hozzáférésre a szerverhez, hozzáférésre a CMS-háttérhez és az adatbázishoz, vagy az Ön engedélyére, hogy beszéljen a tárhelyszolgáltatóval. Csak azt adja meg, ami szükséges, és jegyezze fel, ki mikor milyen hozzáférést kapott.
Szükségem van adatfeldolgozási szerződésre a távoli hozzáféréshez?
Ha egy szolgáltató személyes adatokat tartalmazó rendszerekhez fér hozzá, többnyire adatfeldolgozásra vonatkozó szabályozás szükséges. Az értékelést az adatvédelmi felelősök vagy ügyvédek végzik. Ezt már az elején tisztázzuk Önnel.
Mi a különbség az incident response és a kártevő-eltávolítás között?
A kártevő-eltávolítás megtisztít egy fertőzött rendszert. Az incident response tágabb: magában foglalja a helyzetképet, a megfékezést, a tisztítást, a kommunikációt és az utólagos feldolgozást, gyakran több rendszeren át.
Be kell vonni a tárhelyszolgáltatómat?
Gyakran igen, például snapshotokhoz, naplókhoz vagy tiltások feloldásához. Egyeztetünk a tárhelyszolgáltatójával, ha ezt engedélyezi. Hogy mi vizsgálható, az attól a jogosultságtól függ, amelyet kapunk.