Stručne: Ak útok postihuje viac než jediný web, potrebujete poskytovateľa Incident Response, ktorý incident spracuje štruktúrovane. Prevezmeme obraz situácie, zastavenie, vyčistenie a bezpečnú obnovu, s jasnými rolami a plnou dokumentáciou. Rozhodnutia zostávajú vám, technický základ zabezpečíme my.
Čo znamená Incident Response pri útokoch na servery
Incident Response je usporiadané spracovanie bezpečnostného incidentu. Namiesto hektických jednotlivých akcií sa práca riadi pevnými fázami: rozpoznať a zaradiť, zastaviť, odstrániť, obnoviť, vyhodnotiť. Každé opatrenie sa zaznamenáva s časom a odôvodnením.
Práve pri webových serveroch je to dôležité. Server s aplikáciami PHP často obsahuje prístupové údaje k databázam, poskytovateľom platieb, poštovým serverom a rozhraniam. Kto sa tam dostal, môže sa pohybovať ďalej. Situácia po PHP2Shell ukazuje, ako rýchlo môže takáto situácia vzniknúť: spúšťanie kódu bez autentifikácie, podľa Unit 42 viac ako 22,6 milióna exponovaných inštancií a žiadne zverejnené, potvrdené Indicators of Compromise.
Kedy potrebujete poskytovateľa Incident Response
- je dotknutých alebo by mohlo byť dotknutých viac serverov či aplikácií
- existuje podozrenie, že unikli osobné alebo platobné údaje
- útočník je možno stále aktívny, napríklad prostredníctvom prebiehajúcich spojení alebo nových účtov
- ide o vydieranie alebo verejné oznámenie útoku
- poisťovňa, orgány alebo obchodní partneri očakávajú zdokumentovaný postup
Pri jedinom napadnutom webe často stačí núdzová pomoc pri hacknutom webe. Prechod k plnému spracovaniu incidentu s vami prerokujeme, hneď ako sa ukáže väčší rozsah.
Ako konkrétne pomáha PHP SOS?
- Triedenie a obraz situácie: Objasníme, čo sa pozorovalo, ktoré systémy a údaje môžu byť dotknuté a koho treba interne zapojiť. Výsledkom je prvý písomný obraz situácie s otvorenými otázkami.
- Zabezpečiť stopy a zastaviť: Logy, súborové systémy a databázy sa zabezpečia skôr, než zasiahneme. Potom izolujeme dotknuté systémy, zablokujeme kompromitované prístupy a prerušíme rozpoznateľné spojenia útočníka.
- Odstrániť: Uzavrieme vstupnú bránu, napríklad záplatovaním na opravené verzie PHP a reštartom všetkých workerov, odstránime zadné vrátka a vymeníme tajomstvá. Na detailnú analýzu podľa potreby zapojíme špecializovaných partnerov pre IT forenziku.
- Obnoviť: Systémy sa riadene vracajú do prevádzky, pokiaľ možno z čistých zdrojov alebo na novo nasadených serveroch. Potom ich zvýšene sledujeme z hľadiska opätovných nápadností.
- Vyhodnotiť: Dostanete záverečnú správu s časovou osou, príčinami, opatreniami a odporúčaniami. Spoločne zaznamenáme, čo by malo ísť nabudúce rýchlejšie.
Uchovajte logy servera a nemeňte systémy, kým nie je zabezpečený stav. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pri PHP2Shell odporúča webové servery, ktoré sa nedajú hneď záplatovať, dočasne odpojiť od siete.
Roly a komunikácia počas incidentu
Incident potrebuje jasné zodpovednosti. Osvedčila sa malá skupina: osoba s právomocou rozhodovať, technická kontaktná osoba na vašej strane a my ako technické vedenie. Porady o situácii sa konajú v pevných intervaloch, výsledky sa zaznamenávajú písomne.
Súbežne prebiehajú úlohy, ktoré neprevezmeme, ale dodáme k nim fakty: preverenie oznamovacej povinnosti podľa GDPR do 72 hodín, informovanie poisťovateľa, možné trestné oznámenie a krízová komunikácia voči zákazníkom a partnerom.
Čo potrebujeme od vás a čo dostanete
Potrebujeme administrátorské prístupy k dotknutým systémom, prehľad infraštruktúry a dodávateľov, osobu s právomocou rozhodovať a ochotu systémy v prípade potreby dočasne vypnúť. Užitočné sú existujúce pohotovostné plány, siete načrtnuté v schémach a zálohy s dátumom.
Dostanete priebežný protokol incidentu, pravidelné prehľady situácie v zrozumiteľnom jazyku, záverečnú správu pre vedenie, zodpovednú osobu pre ochranu údajov a poisťovateľa a prioritizovaný zoznam zlepšení. Ako sa lepšie pripraviť na ďalší incident, popisuje stránka Vytvorenie IT pohotovostného plánu pre webové servery.
Typické chyby v prvých hodinách
Mnohé incidenty sa zhoršia, pretože sa v rozrušení vykonajú dobre myslené kroky v nesprávnom poradí. Tieto vzory vidíme často:
- Okamžite nainštalovať odznova: Server sa zmaže a nainštaluje nanovo skôr, než sa zabezpečil stav. Potom sa už nedá objasniť, či unikli údaje.
- Meniť heslá z napadnutého systému: Ak má útočník ešte prístup, vidí aj nové heslá.
- Zmazať iba viditeľný súbor: Webshell je preč, druhé zadné vrátka v cronjobe zostanú.
- Záplatovať bez reštartu: Nové súbory PHP ležia na disku, starí workeri bežia ďalej v pamäti.
- Nikto nevedie protokol: Neskôr nikto nevie, kto kedy čo zmenil. Sťažuje to rozhovory s poisťovateľom a orgánmi.
Dohodnutý postup týmto chybám zabráni bez toho, aby sa oddialilo zastavenie útoku.
Čo nesľubujeme
Nesľubujeme, že každý incident sa úplne objasní; bez stôp zostanú otázky otvorené a tak to aj uvedieme v správe. Neposkytujeme právne poradenstvo ani vyjadrenia k zodpovednosti či poistnému krytiu. Naším cieľom je jasný koniec: na incidente pracujeme, kým nie je uzavretý a zdokumentovaný.
Časté otázky
Aký je rozdiel medzi Incident Response a IT forenzikou?
Incident Response má za cieľ incident zastaviť a bezpečne obnoviť prevádzku. IT forenzika podrobne a s dôkaznou hodnotou objasňuje, čo sa stalo. V praxi do seba zapadajú, forenzika často zabezpečuje stopy súbežne.
Kedy mám prizvať poskytovateľa služieb Incident Response?
Hneď ako vznikne podozrenie, že útočník mal prístup k systémom a vy nedokážete spoľahlivo odhadnúť rozsah. Čím skôr sa začne zabezpečovanie stôp, tým viac sa dá neskôr doložiť.
Kto rozhoduje počas incidentu?
Rozhodnutia robíte vy, napríklad o vypnutiach, komunikácii alebo oznámeniach. My pripravíme technické podklady, ukážeme možnosti s ich dôsledkami a rozhodnutia zrealizujeme.
Musím prizvať políciu?
Trestné oznámenie je v mnohých prípadoch zmysluplné a pre niektoré poisťovne relevantné. Zodpovedné sú za to centrálne kontaktné miesta pre kyberkriminalitu polície. Či a kedy podáte oznámenie, rozhodnite spolu so svojím právnikom.