Pe scurt: Dacă un atac afectează mai mult decât un singur site, aveți nevoie de un furnizor de Incident Response care să trateze incidentul în mod structurat. Noi preluăm imaginea de situație, izolarea, curățarea și refacerea în siguranță, cu roluri clare și documentare completă. Deciziile rămân la dumneavoastră, iar noi asigurăm baza tehnică.
Ce înseamnă Incident Response la atacuri asupra serverelor
Incident Response este tratarea ordonată a unui incident de securitate. În locul unor acțiuni izolate și grăbite, munca urmează faze fixe: recunoaștere și încadrare, izolare, eliminare, refacere, evaluare finală. Fiecare măsură este consemnată cu momentul și motivarea ei.
Tocmai la serverele web acest lucru este important. Un server cu aplicații PHP conține adesea date de acces la baze de date, furnizori de plăți, servere de e-mail și interfețe. Cine a pătruns acolo se poate deplasa mai departe. Situația de după PHP2Shell arată cât de repede poate apărea o asemenea stare: execuție de cod fără autentificare, peste 22,6 milioane de instanțe expuse potrivit Unit 42 și niciun Indicator of Compromise (IOC) publicat și confirmat.
Când aveți nevoie de un furnizor de Incident Response
- mai multe servere sau aplicații sunt afectate sau ar putea fi afectate
- există suspiciunea că date cu caracter personal sau date de plată au fost exfiltrate
- este posibil ca un atacator să fie încă activ, de exemplu prin conexiuni în desfășurare sau conturi noi
- există o extorcare sau un anunț public al atacului
- asigurătorul, autoritățile sau partenerii de afaceri așteaptă un proces documentat
Pentru un singur site infectat, de multe ori este suficient ajutorul de urgență pentru site hackuit. Trecerea la tratarea completă a incidentului o discutăm cu dumneavoastră de îndată ce se conturează o amploare mai mare.
Cum ajută PHP SOS concret?
- Triaj și imagine de situație: Clarificăm ce a fost observat, ce sisteme și date pot fi afectate și cine trebuie implicat intern. Rezultatul este o primă imagine de situație, în scris, cu întrebările rămase deschise.
- Conservarea urmelor și izolarea: Logurile, sistemele de fișiere și bazele de date sunt salvate înainte de a interveni. Apoi izolăm sistemele afectate, blocăm accesurile compromise și întrerupem conexiunile identificabile ale atacatorului.
- Eliminarea: Închidem punctul de intrare, de exemplu prin actualizarea la versiunile PHP corectate și repornirea tuturor workerilor, eliminăm ușile dosnice și schimbăm secretele. Pentru analiza de detaliu implicăm, la nevoie, parteneri specializați în criminalistică IT.
- Refacerea: Sistemele reintră în funcțiune în mod controlat, pe cât posibil din surse curate sau pe servere reinstalate. După aceea le monitorizăm mai atent pentru eventuale noi anomalii.
- Evaluarea finală: Primiți un raport final cu cronologie, cauze, măsuri și recomandări. Stabilim împreună ce ar trebui să meargă mai repede data viitoare.
Păstrați logurile serverului și nu modificați sistemele înainte ca acestea să fie salvate. În cazul PHP2Shell, BSI (Oficiul Federal German pentru Securitatea Informațiilor) recomandă ca serverele web care nu pot fi actualizate imediat să fie scoase temporar din rețea.
Roluri și comunicare pe durata incidentului
Un incident are nevoie de responsabilități clare. S-a dovedit eficient un grup restrâns format dintr-o persoană cu putere de decizie, un interlocutor tehnic din partea dumneavoastră și noi, în rolul de conducere tehnică. Ședințele de situație au loc la intervale fixe, iar rezultatele sunt consemnate în scris.
În paralel se desfășoară sarcini pe care nu le preluăm noi, dar pentru care furnizăm datele de fapt: verificarea unei obligații de notificare conform RGPD în termen de 72 de ore, informarea asigurătorului, o eventuală sesizare și comunicarea de criză față de clienți și parteneri.
De ce avem nevoie de la dumneavoastră și ce primiți
Avem nevoie de accesuri administrative la sistemele afectate, de o privire de ansamblu asupra infrastructurii și a furnizorilor de servicii, de o persoană cu putere de decizie și de disponibilitatea de a opri temporar sisteme, la nevoie. Sunt utile planurile de urgență existente, schemele de rețea și backupurile datate.
Primiți un jurnal continuu al incidentului, imagini de situație regulate în limbaj ușor de înțeles, un raport final pentru conducere, responsabilul cu protecția datelor și asigurător, precum și o listă prioritizată de îmbunătățiri. Cum vă pregătiți mai bine pentru următorul incident este descris în Cum creați un plan de urgență IT pentru serverele web.
Greșeli tipice în primele ore
Multe incidente devin mai grave pentru că, în agitație, pașii bine intenționați se fac în ordinea greșită. Aceste tipare le vedem frecvent:
- Reinstalarea imediată: Serverul este șters și reinstalat înainte de a fi salvat. După aceea nu se mai poate lămuri dacă datele au fost exfiltrate.
- Schimbarea parolelor de pe sistemul infectat: Dacă atacatorul mai are acces, vede și parolele noi.
- Ștergerea doar a fișierului vizibil: Webshell-ul a dispărut, dar a doua ușă dosnică din cronjob rămâne.
- Patch fără repornire: Fișierele PHP noi sunt pe disc, dar workerii vechi continuă să ruleze în memorie.
- Nimeni nu ține un jurnal: Mai târziu nu mai știe nimeni cine ce a modificat și când. Asta îngreunează discuțiile cu asigurătorul și cu autoritățile.
Un proces coordonat previne aceste greșeli fără a întârzia izolarea.
Ce nu promitem
Nu promitem că fiecare incident va fi elucidat complet; fără urme, rămân întrebări deschise, iar acest lucru îl scriem ca atare în raport. Nu oferim consultanță juridică și nu facem afirmații despre răspundere sau acoperirea asigurării. Scopul nostru este un final clar: lucrăm la incident până când acesta este încheiat și documentat.
Întrebări frecvente
Care este diferența dintre Incident Response și criminalistica IT?
Incident Response urmărește să izoleze incidentul și să repună în funcțiune activitatea în siguranță. Criminalistica IT clarifică în detaliu și cu valoare probatorie ce s-a întâmplat. În practică, cele două se împletesc, iar criminalistica conservă adesea urmele în paralel.
Când ar trebui să apelez la un furnizor de Incident Response?
De îndată ce există suspiciunea că un atacator a avut acces la sisteme și nu puteți estima cu certitudine amploarea. Cu cât conservarea urmelor începe mai devreme, cu atât mai multe lucruri se pot dovedi mai târziu.
Cine decide pe parcursul incidentului?
Deciziile le luați dumneavoastră, de exemplu despre opriri, comunicare sau notificări. Noi pregătim bazele tehnice, vă arătăm opțiunile împreună cu consecințele lor și punem în aplicare deciziile.
Trebuie să anunț poliția?
O sesizare este oportună în multe cazuri și relevantă pentru unele asigurări. Punctele centrale de contact Cybercrime ale poliției (ZAC, Germania) sunt competente în acest sens. Dacă și când depuneți sesizarea, hotărâți împreună cu avocatul dumneavoastră.