Trumpai: Kai jūsų svetainė nulaužta, svarbiausias klausimas yra „ką daryti nesunaikinant pėdsakų?“. Nuotoliniu būdu perimame sulaikymą, saugome žurnalus ir failus, šaliname kenkėjišką kodą, uždarome įsilaužimo kelią ir viską dokumentuojame. Sprendimus priimate jūs, techninius faktus pateikiame mes.
Svetainė nulaužta: ką daryti per pirmąją valandą?
Pirmieji žingsniai lemia, ar incidentą vėliau pavyks tvarkingai išaiškinti. Ramybė svarbiau už skubėjimą bet kokia kaina. Šiuos punktus galite atlikti patys iš karto:
- Nieko netrinti: nešalinti failų, nediegti iš naujo ant senos būsenos, neatkurti atsarginės kopijos, kol nesukurta kopija.
- Izoliuoti: perjungti svetainę į priežiūros režimą arba laikinai atjungti nuo tinklo, jei kyla pavojus lankytojams ar gali nutekėti duomenų.
- Išsaugoti žurnalus: paprašyti talpintojo neperrašyti prieigos ir klaidų žurnalų. Dėl PHP2Shell specializuota spauda pataria saugoti serverio žurnalus nuo 2026 m. spalio 20 d.
- Užsirašyti prieigas: kas turi administratoriaus, FTP, SSH ir valdymo skydelio prieigas? Slaptažodžius keisti tik pasitarus ir tik iš švaraus įrenginio.
- Informuoti dalyvius: vadovybę, duomenų apsaugos pareigūną, o jei yra polisas, ir draudiką.
Darykite prielaidą, kad užpuolikas, turėjęs prieigą prie žiniatinklio serverio, galėjo perskaityti ir prisijungimo duomenis iš konfigūracijos failų. Todėl duomenų bazės, pašto ir API prieigos turi patekti į keistinų paslapčių sąrašą.
Kokie požymiai rodo kompromitavimą, aprašyta puslapyje Ar jau esu kompromituotas?.
Kaip PHP SOS padeda konkrečiai?
- Padėties vaizdas: Kartu su jumis išsiaiškiname, kas buvo pastebėta, kurios sistemos gali būti paveiktos ir kokie duomenys jose saugomi. Iš to parengiamas trumpas vertinimas su tolesniais žingsniais.
- Išsaugoti ir sulaikyti: Prieš ką nors keisdami išsaugome failus, duomenų bazę ir žurnalus. Po to sulaikome ataką, pavyzdžiui, užblokuodami įtartinas prieigas, išjungdami užkrėstas funkcijas ar laikinai izoliuodami sistemą.
- Rasti ir uždaryti įsilaužimo kelią: Tikriname PHP versiją ir pataisų būseną, CMS, plėtinius ir prieigas. Jei įsilaužimas per PHP2Shell tikėtinas, įdiegiame pataisą ir paleidžiame iš naujo visus PHP procesus.
- Išvalyti ir atkurti: Žiniatinklio apvalkalai (webshell), užpakalinės durys ir pakeisti failai pašalinami arba būsena atstatoma iš patikimų šaltinių. Išsamiau rašoma puslapyje Kenkėjiškos programos ir webshell šalinimas.
- Užbaigimas ir ataskaita: Gaunate incidento dokumentaciją ir sustiprinimo rekomendacijas. Jei reikia teisme priimtino ištyrimo, pasitelkiame specializuotus kriminalistikos partnerius.
Ką iš mūsų gausite
- incidento laiko juostą, kiek ją galima pagrįsti pėdsakais
- rastų ir pašalintų kenkėjiškų komponentų sąrašą
- tikėtino įsilaužimo kelio aprašymą, aiškiai atskiriant įrodytą, tikėtiną ir nežinomą
- visų pakeistų prieigų ir paslapčių sąrašą
- rekomendacijas, ką reikėtų apsaugoti ilgalaikiai
Ataskaita padeda pokalbiuose su duomenų apsaugos pareigūnu, draudiku ir prireikus policija. Teisinio vertinimo, pavyzdžiui, BDAR pareigos pranešti per 72 valandas, ji nepakeičia ir specialistų konsultacijos neatstoja.
Ko mums reikia iš jūsų
- Prieigos: prie serverio (SSH ar valdymo skydelis), CMS administravimo dalies ir duomenų bazės, arba leidimas tiesiogiai kalbėtis su jūsų talpintoju
- Kontaktinis asmuo: pasiekiamas žmogus su teise spręsti dėl išjungimo, paleidimo iš naujo ir slaptažodžių keitimo
- Informacija: nuo kada pastebima problema, kokie pakeitimai buvo atlikti neseniai, kas turėjo prieigą
- Atsarginės kopijos: kur laikomos kopijos ir kokios jos senumo
- Kontaktas su paslaugų teikėjais: agentūra, kūrėjas ar talpintojas, pažįstantys sistemą
Ko neapsiimame
Negalime pažadėti, kad kiekvieną ataką bus įmanoma visiškai atkurti. Jei žurnalų trūksta arba jie jau perrašyti, lieka spragų, ir apie jas kalbame atvirai. Taip pat neapsiimame, kad išvalyta svetainė visada liks saugi. Su incidentu dirbame, kol jis užbaigtas ir dokumentuotas, ir pasakome, ką dar reikia padaryti po to.
Teisinių konsultacijų neteikiame. Klausimai dėl pareigos pranešti, atsakomybės ar draudimo apsaugos skirti duomenų apsaugos pareigūnui, teisininkui ir draudikui. Struktūruotam darbui po incidento padeda mūsų kontrolinis sąrašas po įsilaužimo.
Kada reikalingas platesnis incidento tvarkymas
Kai kurie incidentai išeina už vienos svetainės ribų: keli serveriai, nutekėję klientų duomenys, šantažas ar užpuolikas, judantis tinkle. Tada pereiname prie struktūruoto incidentų valdymo (Incident Response) su aiškiais vaidmenimis, situacijos aptarimais ir suderinta komunikacija. Perėjimą aptariame su jumis, vos tik jis ima ryškėti.
Ir po mažesnio incidento verta žvelgti į priekį. Išvalyta svetainė be sustiprinimo, atnaujinimų ir stebėsenos tebėra patrauklus taikinys, nes užpuolikai žinomas aukas dažnai tikrina pakartotinai. Todėl baigus prasminga nustatyti, kas ateityje atsakingas už atnaujinimus, atsargines kopijas ir kontrolę. Incidentas dažnai atskleidžia spragą būtent čia: niekas nesijautė atsakingas arba prieigos buvo pas paslaugų teikėją, kurio nebepavyko pasiekti. Šiuos klausimus aptariame su jumis baigiamajame pokalbyje, kad iš incidento gimtų geresnė eksploatacija.
Dažni klausimai
Ar nulaužtą svetainę turiu iš karto ištrinti ir sukurti iš naujo?
Prašome neskubėti. Viską ištrynus sunaikinami pėdsakai, rodantys, kaip užpuolikas pateko vidun ir ar nutekėjo duomenų. Geriau svetainę atjungti nuo tinklo arba izoliuoti ir pirmiausia sukurti kopiją.
Kaip suprasti, kad mano svetainė nulaužta?
Tipiniai požymiai: svetimi peradresavimai, šlamšto puslapiai Google indekse, nežinomos administratoriaus paskyros, nauji PHP failai arba naršyklės, talpintojo ar Google įspėjimai. Požymiu gali būti ir smarkiai išaugusi serverio apkrova ar neįprastas išeinantis duomenų srautas.
Ar apie įsilaužimą turiu pranešti?
Jei galėjo būti paveikti asmens duomenys, per 72 valandas gali kilti pareiga pranešti priežiūros institucijai. Ar tai taikoma jums, išsiaiškinkite su savo duomenų apsaugos pareigūnu arba teisininku.
Ar skubi pagalba tinka, jei serveris yra pas talpintoją?
Taip. Dirbame su prieiga, kurią turite, ir prireikus derinamės su jūsų talpintoju. Ką galime patikrinti, priklauso nuo teisių, kurias galite mums suteikti.