Fil-qosor: Meta attakk jaffettwa iktar minn websajt waħda, għandkom bżonn fornitur ta' Incident Response li jittratta l-inċident b'mod strutturat. Aħna nieħdu ħsieb l-istampa tas-sitwazzjoni, il-kontenzjoni, it-tindif u r-restawr sigur, b'rwoli ċari u dokumentazzjoni mingħajr lakuni. Intom żżommu d-deċiżjonijiet, aħna niżguraw il-bażi teknika.
X'tfisser Incident Response f'attakki fuq servers
L-Incident Response huwa t-trattament ordnat ta' inċident tas-sigurtà. Minflok azzjonijiet individwali magħmulin b'ħeffa, ix-xogħol isegwi fażijiet fissi: tagħraf u tikklassifika, tikkontjeni, telimina, tirrestawra, tagħmel segwitu. Kull miżura tiġi rreġistrata bil-ħin u r-raġuni.
Speċjalment fil-każ ta' servers tal-web dan huwa importanti. Server b'applikazzjonijiet tal-PHP spiss fih aċċessi għal databases, fornituri tal-pagamenti, servers tal-posta u interfaces. Min daħal hemm jista' jkompli miexi 'l quddiem. Is-sitwazzjoni wara PHP2Shell turi kemm tista' tinħoloq malajr sitwazzjoni bħal din: eżekuzzjoni ta' kodiċi mingħajr awtentikazzjoni, aktar minn 22,6 miljun istanza esposta skont Unit 42 u l-ebda Indicators of Compromise ippubblikati u kkonfermati.
Meta għandkom bżonn fornitur ta' Incident Response
- diversi servers jew applikazzjonijiet huma affettwati jew jistgħu jkunu affettwati
- hemm suspett li data personali jew data tal-pagamenti ħarġet
- attakkant jista' jkun għadu attiv, pereżempju permezz ta' konnessjonijiet li għadhom għaddejjin jew kontijiet ġodda
- hemm estorsjoni jew tħabbira pubblika tal-attakk
- l-assigurazzjoni, l-awtoritajiet jew is-sieħba tan-negozju jistennew proċess iddokumentat
F'każ ta' websajt waħda infettata ħafna drabi tkun biżżejjed l-għajnuna ta' emerġenza għal websajt hackjata. It-tranżizzjoni għat-trattament sħiħ tal-inċident niddiskutuha magħkom hekk kif tibda tidher firxa akbar.
Kif tgħin PHP SOS b'mod konkret?
- Triage u stampa tas-sitwazzjoni: Niċċaraw dak li ġie osservat, liema sistemi u data jistgħu jkunu affettwati u min internament jeħtieġ jiġi involut. Ir-riżultat huwa l-ewwel stampa bil-miktub tas-sitwazzjoni bi mistoqsijiet miftuħa.
- Insalvaw it-traċċi u nikkontjenu: Il-logs, is-sistemi tal-fajls u d-databases jiġu megħjuna qabel ma nintervjenu. Imbagħad nisolaw is-sistemi affettwati, nimblukkaw l-aċċessi kompromessi u nwaqqfu l-konnessjonijiet rikonoxxibbli tal-attakkant.
- Neliminaw: Nagħlqu l-bieb tad-dħul, pereżempju billi nipatchjaw għall-verżjonijiet irranġati ta' PHP u nerġgħu nibdew il-workers kollha, ineħħu backdoors u nibdlu s-sigrieti. Għall-analiżi dettaljata, jekk ikun meħtieġ, ninvolvu msieħba speċjalizzati fil-forensika tal-IT.
- Nirrestawraw: Is-sistemi jerġgħu jaħdmu b'mod ikkontrollat, jekk possibbli minn sorsi nodfa jew fuq servers imwaqqfa mill-ġdid. Wara nosservawhom b'attenzjoni akbar għal anomaliji ġodda.
- Segwitu: Tirċievu rapport finali bi skeda ta' żmien, kawżi, miżuri u rakkomandazzjonijiet. Flimkien nirreġistraw x'għandu jmur aktar malajr l-għada.
Żommu l-logs tas-server u tibdlu l-ebda sistema qabel ma jsir backup. Il-BSI jirrakkomanda fil-każ ta' PHP2Shell li servers tal-web li ma jistgħux jiġu ppatchjati minnufih jitneħħew temporanjament min-netwerk.
Rwoli u komunikazzjoni waqt l-inċident
Inċident jeħtieġ responsabbiltajiet ċari. Wera li huwa utli grupp żgħir magħmul minn persuna b'setgħa ta' deċiżjoni, ta' persuna ta' kuntatt teknika min-naħa tagħkom u minna bħala tmexxija teknika. Il-laqgħat dwar is-sitwazzjoni jsiru f'intervalli fissi u r-riżultati jiġu rreġistrati bil-miktub.
B'mod parallel jaħdmu kompiti li ma nieħdux fuqna, imma li għalihom nipprovdu l-fatti: il-verifika ta' obbligu ta' notifika skont il-GDPR fi żmien 72 siegħa, l-informazzjoni lill-assikuratur, rapport possibbli lill-pulizija u l-komunikazzjoni f'kriżi mal-klijenti u s-sieħba.
X'għandna bżonn minnkom u x'tirċievu
Għandna bżonn aċċessi amministrattivi għas-sistemi affettwati, ħarsa ġenerali lejn l-infrastruttura u l-fornituri, persuna b'setgħa ta' deċiżjoni u d-disponibbiltà li s-sistemi jitfew temporanjament meta jkun meħtieġ. Jgħinu pjanijiet ta' emerġenza eżistenti, skizzi tan-netwerk u backups bid-data.
Tirċievu protokoll kontinwu tal-inċident, stampi regolari tas-sitwazzjoni f'lingwa li tinftiehem, rapport finali għad-direzzjoni, għall-uffiċjali tal-protezzjoni tad-data u għall-assikuraturi, kif ukoll lista prijoritizzata ta' titjib. Kif tippreparaw aħjar għall-inċident li jmiss tiddeskrivih Kif toħolqu pjan ta' emerġenza tal-IT għas-servers tal-web.
Żbalji tipiċi fl-ewwel sigħat
Ħafna inċidenti jaggravaw minħabba li fl-eċitament jittieħdu passi bi nbit tajjeb fl-ordni ħażina. Dawn il-mudelli narawhom spiss:
- Nerġgħu nwaqqfu minnufih: Is-server jitħassar u jerġa' jiġi installat qabel ma jsir backup. Wara ma jistax jiġi ċċarat aktar jekk data ħarġitx.
- Tibdlu l-passwords mis-sistema infettata: Jekk l-attakkant għad għandu aċċess, jara wkoll il-passwords il-ġodda.
- Tħassru biss il-fajl viżibbli: Il-webshell tmur, il-backdoor it-tieni fil-cronjob tibqa'.
- Patching mingħajr restart: Fajls ġodda tal-PHP jinsabu fuq id-disk, il-workers qodma jibqgħu jaħdmu fil-memorja.
- Ħadd ma jżomm protokoll: Aktar tard ħadd ma jiftakar min biddel xiex u meta. Dan jikkomplika l-konversazzjonijiet mal-assikuratur u mal-awtoritajiet.
Proċess miftiehem jipprevjeni dawn l-iżbalji mingħajr ma jdewwem il-kontenzjoni.
X'ma nwiegħdux
Ma nwiegħdux li kull inċident jiġi ċċarat kompletament; mingħajr traċċi jibqgħu mistoqsijiet miftuħa, u hekk niktbuha wkoll fir-rapport. Ma nagħtux parir legali u lanqas dikjarazzjonijiet dwar responsabbiltà jew kopertura tal-assigurazzjoni. L-għan tagħna huwa tmiem ċar: naħdmu fuq l-inċident sakemm jingħalaq u jiġi ddokumentat.
Mistoqsijiet frekwenti
X'inhi d-differenza bejn Incident Response u forensika tal-IT?
L-Incident Response għandu l-għan li jikkontjeni l-inċident u jirrestawra t-tħaddim b'mod sigur. Il-forensika tal-IT tiċċara fid-dettall u b'mod li jiżgura l-evidenza x'ġara. Fil-prattika t-tnejn jaħdmu flimkien, u l-forensika spiss issalva t-traċċi b'mod parallel.
Meta għandi nirrikorri għal fornitur ta' Incident Response?
Hekk kif ikun hemm suspett li attakkant kellu aċċess għas-sistemi u ma tistgħux tevalwaw l-estensjoni b'mod żgur. Kemm jibda kmieni s-salvataġġ tat-traċċi, aktar jista' jiġi ppruvat wara.
Min jiddeċiedi waqt l-inċident?
Id-deċiżjonijiet tieħduhom intom, pereżempju dwar it-tfajjar, il-komunikazzjoni jew in-notifiki. Aħna nħejju l-bażijiet tekniċi, nuru l-għażliet bil-konsegwenzi tagħhom u nimplimentaw id-deċiżjonijiet.
Irrid nirrikorri għall-pulizija?
Rapport għandu sens f'ħafna każijiet u huwa rilevanti għal xi assigurazzjonijiet. Il-Punti ta' Kuntatt Ċentrali għaċ-Cybercrime tal-pulizija huma responsabbli għal dan. Jekk u meta tippreżentaw rapport tiddeċiduh mal-avukat tagħkom.