Krótko: Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy. W średnich firmach często brakuje własnego działu bezpieczeństwa i właśnie po to jesteśmy: od pierwszej wiadomości przejmujemy zdalnie pierwszą pomoc dla Państwa serwerów WWW, zabezpieczamy ślady, zamykamy lukę, czyścimy i dokumentujemy, aż incydent zostanie zakończony.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Dotyczy to także sytuacji, gdy działalność naciska i strona ma znów działać. Najpierw zabezpieczyć, potem naprawiać. Zgłoś awarię, powiemy Państwu, co mogą Państwo bezpiecznie zrobić sami.
Czy są Państwo dotknięci? Typowa sytuacja w średniej firmie
Kto prowadzi firmę z 20, 200 lub 800 pracownikami, ma zwykle jedną lub dwie osoby do IT, agencję od strony i hostingodawcę od serwera. To normalne, ale w sytuacji kryzysowej uwidacznia luki. Ostre zagrożenie jest prawdopodobne, gdy:
- Państwa strona, portal klienta lub sklep internetowy działa na PHP i nikt nie wie na pewno, jaka to dokładnie wersja.
- Hostingodawca, klient lub ostrzeżenie w przeglądarce zgłasza nieprawidłowości.
- Państwa administrator informuje, że pliki lub konta na serwerze WWW są niewytłumaczalne.
- Nie wiedzą Państwo, które systemy w ogóle są dostępne publicznie.
- Serwer WWW ma dostęp do systemów wewnętrznych, baz danych lub zasobów plikowych.
Prasa branżowa podaje jako tło, że dotknięte mogą być niemal wszystkie wersje PHP: według doniesień dotyczy to wersji aż do PHP 5.4. Jak wygląda sytuacja w średnich firmach, opisuje strona Bezpieczeństwo IT dla średnich firm i przemysłu.
Co należy zrobić teraz
- Zebrać zespół kryzysowy. Zarząd, IT, ewentualnie ochrona danych: kilka osób, jeden decydent.
- Zebrać systemy. Jakie serwery, strony i portale są dotknięte lub mogą być? Wystarczy prosta lista.
- Niczego nie zmieniać. Bez akcji sprzątających, bez ponownej instalacji, bez przywracania kopii zapasowych.
- Zlecić sprawdzenie połączeń. Czy serwer WWW jest podłączony do sieci wewnętrznej? Wtedy atak na stronę może dotyczyć czegoś więcej niż tylko strony.
- Zwrócić się do hostingodawcy i agencji. Proszę poprosić obu o zachowanie dzienników oraz potwierdzenie stanu i odpowiedzialności. Jak to zrobić, opisuje artykuł Jak zapytać hostingodawcę o stan poprawek.
- Zabezpieczyć dostępy. Hasła i klucze zmieniać tylko po uzgodnieniu i z czystych urządzeń.
- Zgłosić się teraz. Proszę zadzwonić lub napisać na WhatsApp.
Pierwsza pomoc dla serwerów WWW: jak postępujemy w średniej firmie
Średnia firma nie może sobie pozwolić na przestój, ale też na niekontrolowaną interwencję. Dlatego pracujemy w etapach, które jak najmniej zakłócają bieżącą działalność:
- Etap 1, izolacja: Wyjaśniamy, czy dotknięte serwery trzeba czasowo ograniczyć. W przypadku PHP2Shell BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) zaleca odłączenie serwerów WWW od sieci, jeśli aktualizacja nie jest od razu możliwa.
- Etap 2, zabezpieczenie: Zabezpieczamy logi, pliki i bazy danych, aby incydent pozostał możliwy do udowodnienia.
- Etap 3, usunięcie przyczyny: Poprawka lub konfiguracja, restart wszystkich procesów PHP, zamknięcie nieznanych dostępów.
- Etap 4, sprawdzenie: Szukamy śladów i szkód następczych w systemie i jego otoczeniu, także na sąsiednich serwerach.
Rozstrzygający punkt dla decydentów: aktualizacja CMS, na przykład WordPressa, nie zamyka luki PHP, a poprawka nie usuwa już wprowadzonego złośliwego kodu. Kto po aktualizacji mówi „zrobione”, nie wykonał połowy pracy.
Typowe błędy w średnich firmach w pierwszych godzinach
Z praktyki znamy kilka wzorców, które powiększają szkodę. Po pierwsze, odpowiedzialność jest przerzucana tam i z powrotem: hostingodawca odsyła do klienta, agencja do hostingodawcy, administrator do zarządu. Dlatego proszę wcześnie ustalić, kto decyduje. Po drugie, system jest odtwarzany zbyt szybko. Wgranie starej kopii zapasowej bez zamknięcia drzwi włamania przywraca razem z nią atakującego. Po trzecie, zaniedbywana jest komunikacja: pracownicy, klienci i partnerzy biznesowi dowiadują się o incydencie z drugiej ręki.
W artykule Komunikacja kryzysowa po ataku znajdą Państwo wskazówki, jak rozwiązać to spokojnie. Jako zasada kciuka obowiązuje: lepiej powiedzieć mniej, ale w sposób udokumentowany.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: Wyjaśniamy z Państwem systemy, tryb pracy (PHP-FPM, mod_php lub LiteSpeed), dane i osoby kontaktowe. Pierwszy przegląd powstaje szybko, także bez szczegółowej wiedzy.
- Zabezpieczenie i zamknięcie: Zabezpieczamy ślady i zamykamy drzwi włamania, bez niepotrzebnego zakłócania Państwa procesów.
- Sprawdzenie i oczyszczenie: Webshelle, tylne drzwi, zadania cron i obce konta są wyszukiwane i usuwane. Szczegóły w artykule Usuwanie malware i webshelli.
- Wzmocnienie i raport: Otrzymują Państwo raport dla zarządu, ochrony danych i ubezpieczyciela. Na życzenie budujemy z Państwem prewencję, na przykład poprzez umowę serwisową w zakresie bezpieczeństwa.
Jeśli incydent wykracza poza jeden serwer WWW, przechodzimy do uporządkowanej reakcji na incydenty (Incident Response).
Potem: prewencja bez własnego działu bezpieczeństwa
Gdy incydent jest zakończony, pozostaje pytanie, jak zapobiec następnemu lub przynajmniej wcześniej go wykryć. Dla firm bez własnego zespołu bezpieczeństwa najważniejsze są cztery rzeczy: aktualny inwentarz wszystkich stron i serwerów, jasna osoba kontaktowa do aktualizacji, sprawdzone kopie zapasowe i krótki plan awaryjny IT.
To, czy Państwa przedsiębiorstwo podlega obowiązkom NIS2, jest kwestią prawną, na którą nie odpowiadamy. Ogólne informacje znajdą Państwo na naszej stronie, oceny dokonują prawnik lub inspektor ochrony danych.
Co warto nam przesłać
- krótki opis incydentu i jego czasu
- listę stron, sklepów i portali z hostingodawcą oraz, o ile znana, wersją PHP
- nazwy administratora, agencji i hostingodawcy, którzy znają system
- informację, czy serwer WWW jest połączony z systemami wewnętrznymi
- dane o kopiach zapasowych i istniejącym cyberubezpieczeniu
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Dla Państwa oznacza to: jedną osobę kontaktową zamiast wielu, pracę zdalną bez dojazdu w całych Niemczech i w Europie oraz dokumentację, z którą mogą Państwo wystąpić wobec klientów, ubezpieczyciela i urzędów. Otwarcie rozdzielamy to, co udowodnione, prawdopodobne i nieznane, i nie obiecujemy niczego, czego nikt nie może dotrzymać.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Do pierwszej pomocy nie potrzebują Państwo własnego działu bezpieczeństwa, lecz osoby kontaktowej, która zaczyna działać. Przejmujemy sprawę od pierwszej wiadomości i zostajemy przy niej, aż incydent zostanie zakończony i udokumentowany. Zgłoś awarię teraz.
Częste pytania
Co robić przy cyberataku bez własnego działu bezpieczeństwa IT?
Zachować ślady, niczego nie usuwać, wyznaczyć decydenta i zasięgnąć pomocy z zewnątrz. Średnia firma nie musi umieć wszystkiego sama. Przejmujemy stronę techniczną i współpracujemy z Państwa administratorem, agencją lub hostingodawcą.
Czy małe i średnie firmy w ogóle są celem ataków?
Tak. Zautomatyzowane skanowania szukają niezaktualizowanych serwerów, nie zwracając uwagi na wielkość firmy. W przypadku PHP2Shell Palo Alto Networks (Unit 42) naliczyło ponad 22,6 miliona wystawionych na dostęp, potencjalnie podatnych instancji.
Czy nasza działalność musi stanąć, jeśli serwer WWW został zaatakowany?
Niekoniecznie. Często stronę i sklep da się odizolować, podczas gdy systemy wewnętrzne działają dalej. Najpierw wyjaśniamy, czy istnieją połączenia między serwerem WWW a Państwa siecią wewnętrzną.
Czy NIS2 dotyczy nas i co to oznacza w razie incydentu?
To, czy Państwa przedsiębiorstwo podlega NIS2, zależy od branży i wielkości i jest kwestią prawną. Przegląd daje nasza strona o NIS2; ocena w Państwa przypadku należy do prawnika lub inspektora ochrony danych.
Jak przygotować się na kolejny incydent?
Dzięki inwentarzowi systemów, wyznaczonej osobie kontaktowej, sprawdzonym kopiom zapasowym i krótkiemu planowi awaryjnemu. Pomagamy w jego budowie po zakończeniu ostrego incydentu.