Trumpai: Jei jūsų agentūroje paveikta kelios klientų svetainės, tai retai atsitiktinumas, o dažniausiai bendras serveris, bendra prieiga ar ta pati PHP versija. Jei tai jus palietė, susisiekite iš karto. Padedame susidaryti apžvalgą, nuotoliu suvaldome incidentą, išvalome sistemas ir pateikiame ataskaitas jūsų klientams.
Dabar nieko netrinkite ir neįrenkite iš naujo. Net jei klientų spaudimas didelis: be išsaugotų žurnalų ir failų negalima nei išsiaiškinti priežasties, nei įrodyti, kas nebuvo paveikta. Pranešti apie avariją ir perimame nuo pirmos žinutės.
Ar tai jus palietė? Požymiai, kai klientų svetainės nulaužtos
Kaip agentūra matote šablonus, kurių pavieniai operatoriai niekada nepastebi. Į bendrą incidentą rodo:
- Kelios klientų svetainės tuo pačiu metu rodo tuos pačius simptomus: peradresavimus, šlamšto turinį, naršyklės įspėjimus.
- Ta pati nežinoma administratoriaus paskyra ar tas pats įtartinas failas atsiranda pas skirtingus klientus.
- Hostingo teikėjas praneša apie piktnaudžiavimą ar neįprastą apkrovą paskyrai, kurioje yra daug projektų.
- Klientai skambina, nes jų svetainę Google įspėja, ir patikrinę randate daugiau svetainių tokios pačios būklės.
- Kūrėjas ar buvęs darbuotojas turėjo prieigą prie daugelio projektų, ir viena prieiga nutekėjo.
- Priežiūros darbai per centrinį įrankį, pavyzdžiui, diegimą (deployment), atsargines kopijas ar atnaujinimų paslaugą, pakeitė svetainę, kurios jūs nelietėte.
- Valdote daug svetainių PHP versijomis, kurių pataisų būsenos negalite įrodyti kiekvienai atskirai.
Nuo PHP2Shell dar prisideda tai, kad spraga yra pačiame PHP interpretatoriuje. CMS atnaujinimas, pavyzdžiui, WordPress, jos neuždaro; lemiama yra PHP vykdymo aplinka, kuri iš tikrųjų aptarnauja užklausas.
Ką daryti nedelsiant
- Surašykite paveiktas svetaines: domenas, serveris, hostingo paskyra, PHP versija, CMS, atsakingieji. Įtarimo atvejai taip pat priklauso.
- Ieškokite bendrumų: tas pats serveris? Tos pačios prieigos? Tas pats papildinys? Tas pats diegimo kelias?
- Atskirkite pavojingas svetaines: aktyviai kenkėjišką kodą pateikiančias svetaines perjunkite į priežiūros režimą. Netrinkite.
- Leiskite išsaugoti žurnalus ir būseną: paprašykite hostingo teikėjo saugoti protokolus; išsaugokite savo diegimo protokolus.
- Patikrinkite centrines prieigas: kas turi prieigą prie hostingo skydelio, SSH, Git, slaptažodžių tvarkyklės ir diegimo? Pakeitimai tik pasitarus.
- Klientus informuokite santūriai: pirmiausia tik tai, kas įrodyta. Nenurodykite priežasties, kol ji nenustatyta.
- Susisiekite su mumis: paskambinkite arba parašykite per WhatsApp.
Kaip PHP SOS padeda konkrečiai?
- Įvertiname padėtį: kartu su jumis susidarome apžvalgą apie visas svetaines ir serverius ir surikiuojame pagal skubumą: aktyviai pateikiamas kenkėjiškas kodas, įtarimas dėl duomenų nutekėjimo, tikėtinai tik nepataisyta.
- Išsaugome ir uždarome: išsaugome kiekvieną paveiktą sistemą, kol dar niekas nepakeista, ir uždarome bendrą įsilaužimo kelią: prieigas, PHP būseną, visų procesų paleidimą iš naujo.
- Tikriname ir valome: sistemingai visose svetainėse ieškome tų pačių pėdsakų, šaliname webshell ir užpakalines duris ir tvarkingai atkuriame. Išsamiau skyriuje Kenkėjiškos programinės įrangos ir webshell šalinimas.
- Sutvirtiname ir pateikiame ataskaitą: kur prasminga, atskiriame svetaines viena nuo kitos ir pateikiame kiekvienam klientui trumpą ataskaitą, kurią galite perduoti, bei bendrą ataskaitą jums.
Dirbame nuotoliu, be atvykimo, visoje Vokietijoje ir Europoje. Pageidaujant fone jūsų agentūrai, kaip aprašyta puslapyje Agentūros ir White Label.
Kodėl agentūrose dažnai vienu metu pasimeta daug svetainių
Kas vienu serveriu valdo daug projektų, taupo išlaidas, bet mainais už patogumą atsisako izoliacijos. Jei viskas veikia po tuo pačiu naudotoju ir tuo pačiu PHP procesų baseinu, nulaužtos svetainės kodas gali skaityti ir keisti kaimynų failus. Tai ne egzotiškas atvejis, o standartas daugelyje konfigūracijų. Kaip tvarkingai atskirti baseinus, aprašo PHP-FPM baseinų izoliavimas.
Prisideda ir bendros prieigos: vienas SSH raktas visiems projektams, hostingo paskyra su visais domenais, tie patys slaptažodžiai testavimo ir gamybos aplinkoms. Čia galioja mažiausių teisių principas. Daugiau skyriuje Žiniatinklio serverio naudotojo teisės.
Svarbi ir tiekimo grandinė: papildiniai, temos ir bibliotekos ateina iš trečiųjų šalių, hostingo teikėjas atsako už platformą, agentūra už veiklą. Kur šios ribos eina ir kur atsiranda spragų, nagrinėja Tiekimo grandinė: agentūra ir hostingo teikėjas.
Inventorius, PHP versijos ir komunikacija su klientais
Dažniausia tokių situacijų problema yra apžvalgos trūkumas: kuri svetainė veikia kuriame serveryje su kuria PHP versija ir kas atsakingas? Be šio sąrašo negalima pasakyti, kas paveikta pataisos, o kas ne. Kaip sudaryti tokį sąrašą, rodo Svetainių ir serverių inventorius. Jei lygiagrečiai veikia kelios PHP versijos, papildomai padeda Kelios PHP versijos viename serveryje.
Klientams svarbus aiškumas. Jums nereikia žinoti viso ko, bet nieko negalima gražinti: kas įrodyta, kas dar tikrinama, ką darote toliau? Formuluočių pagalbos rasite skyriuje Klientų informavimas po incidento. Jei paveikti asmens duomenys, pagal BDAR 33 straipsnį gali atsirasti pranešimo pareigų. Tai bendra informacija; vertinimas priklauso duomenų apsaugos pareigūnui ir teisininkui. Jei incidentas išauga už atskirų svetainių ribų, pereiname prie struktūruoto incidentų valdymo (Incident Response).
Ką mums atsiųsti
- paveiktų ir tikėtinai paveiktų domenų sąrašas
- duomenys apie serverį ir hostingą kiekvienam projektui, kiek žinoma
- PHP versijos ir naudojamos CMS ar parduotuvės
- prieigos, kurias galite mums suteikti, ir vaidmenys komandoje
- žinios, kas paskutinį kartą keista ar išleista
- kontaktinio asmens sprendimams ir kontaktinio asmens komunikacijai su klientais vardas
Kodėl PHP SOS
Dirbame Made in Germany ir kartu su savo kibernetinių specialistų partnerių tinklu daugiau nei 25 metus specializuojamės IT saugumo srityje. Turite vieną kontaktinį asmenį visiems paveiktiems projektams, dirbame nuotoliu ir kiekvienai sistemai dokumentuojame, kas rasta ir padaryta. Nežadame stebuklų. Ko neįmanoma įrodyti, įvardijame kaip nežinoma, kad klientams nepasakytumėte daugiau, nei žinote.
Ar tai jus palietė? Skambinkite. Padėsime.
Jei kelios jūsų klientų svetainės kelia įtarimų, laiko spaudimas dvigubas: techniškai ir santykyje su klientais. Susisiekite dabar: skambinkite arba rašykite per WhatsApp. Perimame nuo pirmos žinutės ir pasiliekame, kol incidentas bus užbaigtas ir dokumentuotas. Pranešti apie avariją dabar
Dažni klausimai
Kodėl dažnai paveikiamos iš karto kelios klientų svetainės?
Dažnai svetainės dalijasi vienu serveriu, viena hostingo paskyra, tuo pačiu PHP procesu ar tais pačiais prieigos duomenimis. Kai užpuolikas patenka vienoje vietoje, jis gali judėti į šonus. Pažeidžiamas PHP be to paveikia visas jį naudojančias svetaines.
Ar turėčiau iš karto informuoti klientus?
Tai priklauso nuo padėties ir sutarties. Pirmiausia išsiaiškinkite, kurios svetainės iš tikrųjų paveiktos, kad neinformuotumėte remdamiesi prielaidomis. Esant asmens duomenims galimos pranešimo pareigos; įvertinimas priklauso duomenų apsaugos pareigūnui ar teisininkui.
Kas atsako, jei kliento svetainė buvo nulaužta?
Tai priklauso nuo jūsų sutarčių, priežiūros apimties ir įvykių eigos. Teisinių konsultacijų neteikiame. Tvarkinga ataskaita apie priežastį ir priemones padeda tai išsiaiškinti.
Ar galite dirbti jūsų vardu, kad galutinis klientas mūsų nematytų?
Pageidaujant dirbame fone jūsų agentūrai ir pateikiame ataskaitas, kurias galite perduoti savo klientams. Smulkmenas aptariame iš anksto.
Ar pakanka klientų svetaines išvalyti po vieną?
Dažniausiai ne. Jei priežastis yra bendrame serveryje, bendroje prieigoje ar nepataisytoje PHP versijoje, problemos po pavienio valymo vėl pasirodo. Priežastį reikia pašalinti kartu.