Īsi: ja uzbrukums skar vairāk nekā vienu vietni, jums vajadzīgs Incident Response pakalpojumu sniedzējs, kas incidentu apstrādā strukturēti. Mēs uzņemamies situācijas attēlu, ierobežošanu, attīrīšanu un drošu atjaunošanu ar skaidrām lomām un pilnīgu dokumentāciju. Lēmumi paliek jums, tehnisko pamatu nodrošinām mēs.
Ko Incident Response nozīmē serveru uzbrukumu gadījumā
Incident Response ir drošības incidenta sakārtota apstrāde. Nevis haotiskas atsevišķas darbības, bet darbs pēc noteiktām fāzēm: atpazīt un klasificēt, ierobežot, novērst, atjaunot, veikt pēcapstrādi. Katrs pasākums tiek fiksēts ar laiku un pamatojumu.
Tieši tīmekļa serveriem tas ir svarīgi. Serveris ar PHP lietojumprogrammām bieži satur piekļuves datus datubāzēm, maksājumu pakalpojumu sniedzējiem, pasta serveriem un saskarnēm. Kas tur ir iekļuvis, var pārvietoties tālāk. Situācija pēc PHP2Shell parāda, cik ātri šāds stāvoklis var rasties: koda izpilde bez autentifikācijas, vairāk nekā 22,6 miljoni publiski pieejamu instanču pēc Unit 42 datiem un nav publicētu, apstiprinātu Indicators of Compromise.
Kad jums vajadzīgs Incident Response pakalpojumu sniedzējs
- ir skarti vai varētu būt skarti vairāki serveri vai lietojumprogrammas
- ir aizdomas, ka aizplūduši personas dati vai maksājumu dati
- uzbrucējs, iespējams, vēl ir aktīvs, piemēram, ar notiekošiem savienojumiem vai jauniem kontiem
- ir šantāža vai publisks paziņojums par uzbrukumu
- apdrošinātājs, iestādes vai uzņēmējdarbības partneri sagaida dokumentētu norisi
Vienas inficētas vietnes gadījumā bieži pietiek ar ārkārtas palīdzību uzlauztas vietnes gadījumā. Pāreju uz pilnu incidenta apstrādi apspriežam ar jums, tiklīdz iezīmējas lielāks apjoms.
Kā PHP SOS palīdz konkrēti?
- Triāža un situācijas attēls: Mēs noskaidrojam, kas ir novērots, kuras sistēmas un dati var būt skarti un kas jāiesaista iekšēji. Rezultāts ir pirmais rakstiskais situācijas attēls ar atklātajiem jautājumiem.
- Nodrošināt pēdas un ierobežot: Žurnāli, failu sistēmas un datubāzes tiek saglabātas, pirms iejaucamies. Pēc tam izolējam skartās sistēmas, bloķējam kompromitētās piekļuves un pārtraucam atpazīstamos uzbrucēja savienojumus.
- Novērst: Mēs aizveram ielaušanās ceļu, piemēram, ielāpojot labotajās PHP versijās un pārstartējot visus darbprocesus, noņemam slēptās piekļuves un nomainām noslēpumus. Detalizētai analīzei vajadzības gadījumā iesaistām specializētus partnerus IT forensikā.
- Atjaunot: Sistēmas kontrolēti atgriežas darbībā, pēc iespējas no tīriem avotiem vai uz no jauna uzstādītiem serveriem. Pēc tam tās pastiprināti uzraugām, vai neparādās jaunas neparastas pazīmes.
- Pēcapstrāde: Jūs saņemat noslēguma ziņojumu ar laika joslu, cēloņiem, pasākumiem un ieteikumiem. Kopā fiksējam, kas nākamreiz jādara ātrāk.
Saglabājiet servera žurnālus un nemainiet sistēmas, pirms nav izveidota drošā kopija. PHP2Shell gadījumā BSI iesaka tīmekļa serverus, kurus nevar uzreiz ielāpot, uz laiku atvienot no tīkla.
Lomas un komunikācija incidenta laikā
Incidentam vajadzīgas skaidras atbildības jomas. Labi sevi pierādījusi neliela grupa: persona ar lēmuma pieņemšanas tiesībām, tehniska kontaktpersona jūsu pusē un mēs kā tehniskā vadība. Situācijas apspriedes notiek noteiktos intervālos, rezultāti tiek fiksēti rakstiski.
Paralēli norit uzdevumi, ko mēs neuzņemamies, bet kuriem sniedzam faktus: ziņošanas pienākuma pārbaude saskaņā ar VDAR 72 stundu laikā, apdrošinātāja informēšana, iespējams iesniegums policijai un krīzes komunikācija ar klientiem un partneriem.
Ko mums vajag no jums un ko jūs saņemat
Mums vajadzīgas administratīvās piekļuves skartajām sistēmām, infrastruktūras un pakalpojumu sniedzēju pārskats, persona ar lēmuma pieņemšanas tiesībām un gatavība vajadzības gadījumā uz laiku izslēgt sistēmas. Noderīgi ir esošie ārkārtas rīcības plāni, tīkla shēmas un rezerves kopijas ar datumu.
Jūs saņemat nepārtrauktu incidenta protokolu, regulārus situācijas attēlus saprotamā valodā, noslēguma ziņojumu vadībai, datu aizsardzības speciālistam un apdrošinātājam, kā arī prioritizētu uzlabojumu sarakstu. Kā sagatavoties nākamajam incidentam labāk, aprakstīts rakstā IT ārkārtas rīcības plāna izveide tīmekļa serveriem.
Tipiskas kļūdas pirmajās stundās
Daudzi incidenti kļūst smagāki tāpēc, ka satraukumā labi domāti soļi tiek veikti nepareizā secībā. Šos modeļus redzam bieži:
- Uzreiz uzstādīt no jauna: serveris tiek dzēsts un instalēts no jauna, pirms izveidota kopija. Pēc tam vairs nevar noskaidrot, vai dati ir aizplūduši.
- Mainīt paroles no inficētās sistēmas: ja uzbrucējam vēl ir piekļuve, viņš redz arī jaunās paroles.
- Izdzēst tikai redzamo failu: webshell ir prom, otra slēptā piekļuve cron uzdevumā paliek.
- Ielāpot bez pārstartēšanas: jaunie PHP faili atrodas diskā, bet vecie darbprocesi turpina darboties atmiņā.
- Neviens neved protokolu: vēlāk neviens vairs nezina, kas un kad ir mainīts. Tas apgrūtina sarunas ar apdrošinātāju un iestādēm.
Saskaņota norise šīs kļūdas novērš, nekavējot ierobežošanu.
Ko mēs nesolām
Mēs nesolām, ka katrs incidents tiks pilnībā noskaidrots; bez pēdām jautājumi paliek atklāti, un to arī ierakstām ziņojumā. Mēs nesniedzam juridisko konsultāciju un nesniedzam apgalvojumus par atbildību vai apdrošināšanas segumu. Mūsu mērķis ir skaidrs noslēgums: mēs strādājam pie incidenta, līdz tas ir slēgts un dokumentēts.
Biežāk uzdotie jautājumi
Kāda ir atšķirība starp Incident Response un IT forensiku?
Incident Response mērķis ir ierobežot incidentu un droši atjaunot darbību. IT forensika detalizēti un ar pierādījumu vērtību noskaidro, kas noticis. Praksē abas darbojas kopā, forensika bieži paralēli saglabā pēdas.
Kad man jāpiesaista Incident Response pakalpojumu sniedzējs?
Tiklīdz rodas aizdomas, ka uzbrucējs ir ticis pie sistēmām un jūs nevarat droši novērtēt apjomu. Jo agrāk sākas pēdu nodrošināšana, jo vairāk vēlāk var pierādīt.
Kas pieņem lēmumus incidenta laikā?
Lēmumus pieņemat jūs, piemēram, par izslēgšanu, komunikāciju vai ziņojumiem. Mēs sagatavojam tehniskos pamatus, parādām variantus ar to sekām un īstenojam lēmumus.
Vai man jāiesaista policija?
Iesniegums daudzos gadījumos ir lietderīgs un dažām apdrošināšanām svarīgs. Par to atbild policijas centrālie kontaktpunkti kibernoziegumu jomā (Zentrale Ansprechstellen Cybercrime). Vai un kad iesniegt iesniegumu, lemjat kopā ar savu advokātu.