In breve: è stato colpito? Ci chiami. La aiutiamo. Nelle PMI manca spesso un reparto di sicurezza interno, ed è proprio per questo che ci siamo: dal primo messaggio prendiamo in carico da remoto il primo soccorso per i Suoi web server, conserviamo le tracce, chiudiamo la vulnerabilità, bonifichiamo e documentiamo, fino alla conclusione dell'incidente.
Ora non cancelli nulla e non reinstalli nulla. Vale anche quando l'attività preme e il sito deve tornare a funzionare. Prima salvare, poi riparare. Segnali l'emergenza: Le diremo che cosa può fare da solo senza rischi.
È stato colpito? La situazione tipica nelle PMI
Chi dirige un'azienda con 20, 200 o 800 dipendenti ha di solito una o due persone per l'IT, un'agenzia per il sito web e un hoster per il server. È normale, ma nell'emergenza fa emergere delle lacune. Un pericolo acuto è probabile quando:
- Il Suo sito, il Suo portale clienti o il Suo shop online gira su PHP e nessuno sa con certezza quale versione esattamente.
- Un hoster, un cliente o un avviso del browser segnala anomalie.
- Il Suo amministratore riferisce che file o account sul web server non sono spiegabili.
- Non sa quali sistemi siano in generale raggiungibili pubblicamente.
- Il web server ha accesso a sistemi interni, database o archivi di file.
Che quasi tutte le versioni di PHP possano essere interessate lo riporta la stampa specializzata come sfondo: secondo i resoconti sono interessate le versioni fino a PHP 5.4. Com'è la situazione nelle PMI lo descrive la pagina Sicurezza IT per PMI e industria.
Che cosa fare subito
- Costituire un'unità di crisi. Direzione, IT, eventualmente protezione dei dati: poche persone, un solo decisore.
- Raccogliere i sistemi. Quali server, siti web e portali sono interessati o potrebbero esserlo? Basta un semplice elenco.
- Non modificare nulla. Niente operazioni di pulizia, niente reinstallazione, niente ripristino di backup.
- Far verificare i collegamenti. Il web server è collegato alla rete interna? Allora un attacco al sito può riguardare più del solo sito.
- Contattare hoster e agenzia. Chieda a entrambi di conservare i registri e di confermare stato e responsabilità. Come farlo lo spiega Come chiedere al Suo hoster lo stato della patch.
- Mettere in sicurezza gli accessi. Cambiare password e chiavi solo dopo averlo concordato e da dispositivi puliti.
- Ci contatti ora. Ci chiami o ci scriva su WhatsApp.
Primo soccorso per i web server: come procediamo nelle PMI
Un'azienda di medie dimensioni non può permettersi un fermo, ma nemmeno un intervento incontrollato. Per questo lavoriamo per livelli, che disturbano il più poco possibile l'attività in corso:
- Livello 1, isolare: chiariamo se i server interessati debbano essere temporaneamente limitati. Per PHP2Shell il BSI (l'Ufficio federale tedesco per la sicurezza informatica) raccomanda di scollegare i web server dalla rete quando un aggiornamento non è subito possibile.
- Livello 2, salvare: salviamo log, file e database, così che l'incidente resti documentabile.
- Livello 3, risolvere: patch o configurazione, riavvio di tutti i processi PHP, chiusura degli accessi sconosciuti.
- Livello 4, verificare: cerchiamo tracce e danni conseguenti sul sistema e nel contesto, anche sui server adiacenti.
Un punto decisivo per chi decide: un aggiornamento del CMS, ad esempio di WordPress, non chiude la vulnerabilità di PHP, e una patch non rimuove il codice dannoso già introdotto. Chi dopo l'aggiornamento dice «fatto» non ha svolto metà del lavoro.
Errori tipici nelle PMI nelle prime ore
Dalla pratica si conoscono alcuni schemi che aggravano il danno. Primo: la responsabilità viene rimpallata. L'hoster rimanda al cliente, l'agenzia all'hoster, l'amministratore alla direzione. Stabilisca quindi presto chi decide. Secondo: si ripristina troppo in fretta. Ripristinare un vecchio backup senza chiudere la porta d'ingresso riporta con sé l'aggressore. Terzo: la comunicazione rimane indietro: collaboratori, clienti e partner commerciali vengono a sapere dell'incidente di seconda mano.
In Comunicazione di crisi dopo un attacco trova indicazioni su come risolverlo con calma. Come regola generale vale: meglio dire poco, ma documentato.
In concreto, come aiuta PHP SOS?
- Quadro della situazione: chiariamo con Lei sistemi, modalità di esecuzione (PHP-FPM, mod_php o LiteSpeed), dati e referenti. Una prima panoramica si ottiene in fretta, anche senza conoscenze di dettaglio.
- Salvare e chiudere: conserviamo le tracce e chiudiamo la porta d'ingresso senza disturbare inutilmente i Suoi processi.
- Verificare e bonificare: web shell, backdoor, cronjob e account estranei vengono cercati e rimossi. Dettagli in Rimozione di malware e web shell.
- Rafforzare e riferire: riceve una relazione per direzione, protezione dei dati e assicuratore. Su richiesta costruiamo con Lei la prevenzione, ad esempio con un contratto di manutenzione della sicurezza.
Se l'incidente va oltre un web server, passiamo a una Incident response strutturata.
Dopo: prevenzione senza un reparto di sicurezza interno
Quando l'incidente è concluso, resta la domanda su come impedire il prossimo o almeno riconoscerlo prima. Per le aziende senza un proprio team di sicurezza, quattro cose sono le più importanti: un inventario di tutti i siti web e server aggiornato, un referente chiaro per gli aggiornamenti, backup verificati e un breve piano di emergenza IT.
Se la Sua azienda rientri negli obblighi della NIS2 è una questione giuridica alla quale non rispondiamo. Informazioni generali le trova nella nostra pagina; l'inquadramento spetta all'avvocato o al responsabile della protezione dei dati.
Che cosa dovrebbe inviarci
- una breve descrizione dell'incidente e del momento
- un elenco di siti web, shop e portali con hoster e, per quanto nota, la versione di PHP
- nomi di amministratore, agenzia e hoster che conoscono il sistema
- indicazioni se il web server sia collegato a sistemi interni
- informazioni sui backup e su un'eventuale assicurazione cyber esistente
Perché PHP SOS
Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Per Lei significa: un solo interlocutore invece di tanti, lavoro da remoto senza trasferte in tutta la Germania e in Europa, e una documentazione con cui reggere il confronto con clienti, assicuratore e autorità. Distinguiamo apertamente tra provato, probabile e sconosciuto e non promettiamo nulla che nessuno possa mantenere.
È stato colpito? Ci chiami. La aiutiamo.
Per il primo soccorso non Le serve un reparto di sicurezza interno, ma un interlocutore che cominci. Ce ne occupiamo dal primo messaggio e restiamo accanto a Lei finché l'incidente non è concluso e documentato. Segnali subito l'emergenza.
Domande frequenti
Che cosa fare in caso di attacco informatico senza un reparto interno di sicurezza IT?
Conservare le tracce, non cancellare nulla, nominare un decisore e cercare aiuto esterno. Una PMI non deve saper fare tutto da sola. Ci occupiamo noi della parte tecnica e lavoriamo con il Suo amministratore, la Sua agenzia o il Suo hoster.
Anche le piccole e medie imprese sono un bersaglio degli attacchi?
Sì. Le scansioni automatizzate cercano server non aggiornati senza badare alle dimensioni dell'azienda. Per PHP2Shell Palo Alto Networks (Unit 42) ha contato più di 22,6 milioni di istanze esposte e potenzialmente vulnerabili.
La nostra attività deve fermarsi se il web server è stato attaccato?
Non necessariamente. Spesso sito web e shop si possono isolare mentre i sistemi interni continuano a funzionare. Chiariamo prima se esistono collegamenti tra il web server e la Sua rete interna.
La NIS2 vale per noi e che cosa significa in caso di incidente?
Se la Sua azienda rientri nella NIS2 dipende da settore e dimensioni ed è una questione giuridica. Una panoramica la offre la nostra pagina sulla NIS2; l'inquadramento per il Suo caso spetta all'avvocato o al responsabile della protezione dei dati.
Come ci prepariamo al prossimo incidente?
Con un inventario dei sistemi, un referente designato, backup verificati e un breve piano di emergenza. Aiutiamo nella costruzione dopo la conclusione dell'incidente acuto.