Īsi: ja jūsu vietne ir uzlauzta, svarīgākais jautājums ir „ko darīt, nesabojājot pēdas?“. Mēs attālināti uzņemamies ierobežošanu, saglabājam žurnālus un failus, noņemam ļaunprātīgu kodu, aizveram ielaušanās ceļu un visu dokumentējam. Lēmumi paliek jums, tehniskos faktus nodrošinām mēs.
Vietne uzlauzta: ko darīt pirmajā stundā?
Pirmie soļi nosaka, vai incidentu vēlāk varēs tīri izmeklēt. Mierīga rīcība ir svarīgāka par jebkādā cenā panāktu ātrumu. Šos punktus varat izpildīt paši uzreiz:
- Neko neizdzēst: nenoņemt failus, neveikt jaunu instalāciju virs vecā stāvokļa, neatjaunot rezerves kopiju, kamēr nav nodrošinātas pēdas.
- Norobežot: pārslēgt vietni uz apkopes režīmu vai uz laiku atvienot no tīkla, ja apmeklētāji ir apdraudēti vai dati varētu aizplūst.
- Saglabāt žurnālus: lūgt hostinga sniedzēju nepārrakstīt piekļuves un kļūdu žurnālus. PHP2Shell gadījumā speciālistu prese iesaka saglabāt servera žurnālus no 20.10.2026.
- Pierakstīt piekļuves: kam ir administratora, FTP, SSH un paneļa piekļuves? Paroles mainīt tikai pēc saskaņošanas un no tīras ierīces.
- Informēt iesaistītos: vadību, datu aizsardzības speciālistu un, ja ir polise, apdrošinātāju.
Pieņemiet, ka uzbrucējs ar piekļuvi tīmekļa serverim varēja nolasīt arī piekļuves datus no konfigurācijas failiem. Tāpēc datubāzes, pasta un API piekļuves jāiekļauj nomaināmo noslēpumu sarakstā.
Kādas pazīmes liecina par kompromitāciju, aprakstīts lapā Vai mani jau ir uzlauzuši?.
Kā PHP SOS palīdz konkrēti?
- Situācijas attēls: Mēs kopā ar jums noskaidrojam, kas ir novērots, kuras sistēmas varētu būt skartas un kādi dati tur atrodas. No tā rodas īss vērtējums ar nākamajiem soļiem.
- Nodrošināt un ierobežot: Mēs saglabājam failus, datubāzi un žurnālus, pirms kaut kas tiek mainīts. Pēc tam uzbrukumu ierobežojam, piemēram, bloķējot aizdomīgas piekļuves, izslēdzot inficētas funkcijas vai uz laiku norobežojot sistēmu.
- Atrast un aizvērt ielaušanās ceļu: Mēs pārbaudām PHP versiju un ielāpu stāvokli, CMS, paplašinājumus un piekļuves. Ja ielaušanās caur PHP2Shell šķiet ticama, ielāpojam un pārstartējam visus PHP procesus.
- Attīrīt un atjaunot: Webshell, slēptās piekļuves un manipulētie faili tiek noņemti vai stāvoklis tiek atjaunots no uzticamiem avotiem. Sīkāk skatiet lapā Ļaunprogrammatūras un webshell noņemšana.
- Noslēgums un ziņojums: Jūs saņemat incidenta dokumentāciju un ieteikumus nostiprināšanai. Ja nepieciešama tiesā izmantojama izmeklēšana, piesaistām specializētus forensikas partnerus.
Ko jūs saņemat no mums
- incidenta laika josla, ciktāl to var pamatot ar pēdām
- atrasto un noņemto kaitīgo komponentu saraksts
- iespējamā ielaušanās ceļa apraksts, skaidri sadalīts pēc kategorijām: apliecināts, iespējams un nezināms
- visu nomainīto piekļuvju un noslēpumu saraksts
- ieteikumi, kas jānodrošina ilgtermiņā
Ziņojums palīdz sarunās ar datu aizsardzības speciālistu, apdrošinātāju un, ja nepieciešams, policiju. Juridiskajam vērtējumam, piemēram, par VDAR ziņošanas pienākumu 72 stundu laikā, tas speciālistu konsultāciju neaizstāj.
Ko mums vajag no jums
- Piekļuves: serverim (SSH vai panelis), CMS aizkulisēm un datubāzei, vai arī atļauja runāt tieši ar jūsu hostinga sniedzēju
- Kontaktpersona: sasniedzama persona ar tiesībām lemt par izslēgšanu, pārstartēšanu un paroļu maiņu
- Informācija: kopš kura laika problēma ir pamanāma, kādas izmaiņas veiktas pēdējā laikā, kam bija piekļuve
- Rezerves kopijas: kur atrodas kopijas un cik tās ir vecas
- Kontakts ar pakalpojumu sniedzējiem: aģentūra, izstrādātājs vai hostinga sniedzējs, kas pazīst sistēmu
Ko mēs nesolām
Mēs nevaram solīt, ka katru uzbrukumu var pilnībā rekonstruēt. Ja žurnālu trūkst vai tie jau ir pārrakstīti, paliek nepilnības, un mēs tās nosaucam atklāti. Mēs arī nesolām, ka attīrīta vietne uz visiem laikiem paliks droša. Mēs strādājam pie incidenta, līdz tas ir slēgts un dokumentēts, un pasakām, kas pēc tam vēl jādara.
Juridisko konsultāciju mēs nesniedzam. Jautājumi par ziņošanas pienākumiem, atbildību vai apdrošināšanas segumu jāvērš pie datu aizsardzības speciālista, advokāta un apdrošinātāja. Strukturētai rīcībai pēc incidenta palīdz mūsu kontrolsaraksts pēc uzlaušanas.
Kad nepieciešama plašāka incidenta apstrāde
Daži incidenti sniedzas tālāk par vienu vietni: vairāki serveri, aizplūduši klientu dati, šantāža vai uzbrucējs, kas pārvietojas tīklā. Tad pārejam uz strukturētu Incident Response ar noteiktām lomām, situācijas apspriedēm un saskaņotu komunikāciju. Pāreju apspriežam ar jums, tiklīdz tā iezīmējas.
Arī pēc nelielāka incidenta ir vērts paskatīties uz priekšu. Attīrīta vietne bez nostiprināšanas, atjauninājumiem un uzraudzības paliek viegls mērķis, jo uzbrucēji zināmus upurus bieži pārbauda atkārtoti. Tāpēc pēc noslēguma ir lietderīgi noteikt, kas turpmāk atbild par atjauninājumiem, rezerves kopijām un kontroli. Incidents bieži rāda tieši šeit nepilnību: neviens nejutās atbildīgs, vai piekļuves bija pie pakalpojuma sniedzēja, kas vairs nebija sasniedzams. Šos jautājumus noskaidrojam kopā ar jums noslēguma sarunā, lai no incidenta izaugtu labāka ikdienas darbība.
Biežāk uzdotie jautājumi
Vai uzlauzto vietni man uzreiz jāizdzēš un jāuzstāda no jauna?
Lūdzu, nesteidzieties. Ja izdzēšat visu, tiek iznīcinātas pēdas, kas parāda, kā uzbrucējs iekļuva un vai dati ir aizplūduši. Labāk ir vietni atvienot no tīkla vai norobežot un vispirms izveidot drošu kopiju.
Pēc kā es varu atpazīt, ka mana vietne ir uzlauzta?
Tipiskas pazīmes ir svešas pāradresācijas, surogātpasta lapas Google indeksā, nezināmi administratora konti, jauni PHP faili vai pārlūkprogrammas, hostinga sniedzēja vai Google brīdinājumi. Norādes var būt arī strauji pieaugusi servera slodze vai neparasta izejošā datplūsma.
Vai man par uzlaušanu jāziņo?
Ja var būt skarti personas dati, uzraudzības iestādei var būt jāziņo 72 stundu laikā. Vai tas attiecas uz jums, lūdzu, noskaidrojiet ar savu datu aizsardzības speciālistu vai advokātu.
Vai ārkārtas palīdzība der arī tad, ja serveris atrodas pie hostinga sniedzēja?
Jā. Mēs strādājam ar piekļuvi, kāda jums ir, un vajadzības gadījumā saskaņojamies ar jūsu hostinga sniedzēju. Ko varam pārbaudīt, atkarīgs no tiesībām, ko jūs mums varat piešķirt.