Na kratko: Ste prizadeti? Pokličite nas. Pomagamo. V srednje velikih podjetjih pogosto manjka lasten varnostni oddelek in za to smo tu mi: od prvega sporočila na daljavo prevzamemo prvo pomoč za vaše spletne strežnike, zavarujemo sledi, zapremo ranljivost, očistimo in dokumentiramo, dokler incident ni zaključen.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. To velja tudi, če poslovanje pritiska in naj bi stran spet delovala. Najprej zavarovati, nato popraviti. Prijavite nujni primer, povemo vam, kaj lahko brez tveganja storite sami.
Ste prizadeti? Tipično stanje v srednje velikem podjetju
Kdor vodi podjetje z 20, 200 ali 800 zaposlenimi, ima običajno enega ali dva človeka za IT, agencijo za spletno stran in ponudnika gostovanja za strežnik. To je običajno, a v resnem primeru razkrije vrzeli. Akutna ogroženost je verjetna, če:
- vaša spletna stran, uporabniški portal ali spletna trgovina teče na PHP in nihče zagotovo ne ve, katera različica natančno.
- ponudnik gostovanja, stranka ali opozorilo v brskalniku sporoča nenavadnosti.
- vaš skrbnik poroča, da so datoteke ali računi na spletnem strežniku nepojasnjeni.
- ne veste, kateri sistemi so sploh javno dosegljivi.
- ima spletni strežnik dostop do notranjih sistemov, zbirk podatkov ali datotečnih shramb.
Da so lahko prizadete skoraj vse različice PHP, kot ozadje navaja strokovni tisk: po poročilih so prizadete različice vse do PHP 5.4. Kakšno je stanje v srednje velikih podjetjih, opisuje stran IT-varnost za srednje velika podjetja in industrijo.
Kaj storite takoj
- Oblikujte krizni krog. Vodstvo, IT, po potrebi varstvo podatkov: malo ljudi, en odločevalec.
- Zberite sisteme. Kateri strežniki, spletne strani in portali so prizadeti ali bi lahko bili? Zadošča preprost seznam.
- Ničesar ne spreminjajte. Brez pospravljanja, brez nove namestitve, brez obnavljanja varnostnih kopij.
- Dajte preveriti povezave. Ali je spletni strežnik priključen na notranje omrežje? Takrat lahko napad na spletno stran zadene več kot samo spletno stran.
- Nagovorite ponudnika gostovanja in agencijo. Prosite oba, naj ohranita zapisnike ter potrdita stanje in pristojnosti. Kako, je na strani Tako ponudnika gostovanja vprašate po stanju popravkov.
- Zavarujte dostope. Gesla in ključe spreminjajte samo po dogovoru in s čistih naprav.
- Javite se zdaj. Pokličite ali pišite po WhatsAppu.
Prva pomoč za spletne strežnike: kako delujemo v srednje velikih podjetjih
Srednje veliko podjetje si ne more privoščiti mirovanja, a tudi ne nenadzorovanega posega. Zato delamo po stopnjah, ki čim manj motijo tekoče poslovanje:
- Stopnja 1, izolacija: Razjasnimo, ali je treba prizadete strežnike začasno omejiti. BSI pri PHP2Shell priporoča, da se spletni strežniki odklopijo z omrežja, če posodobitev ni takoj mogoča.
- Stopnja 2, zavarovanje: Zavarujemo dnevnike, datoteke in zbirke podatkov, da incident ostane dokazljiv.
- Stopnja 3, odprava: Popravek ali konfiguracija, ponovni zagon vseh procesov PHP, zapiranje neznanih dostopov.
- Stopnja 4, preverjanje: Na sistemu in v okolici iščemo sledi in posledično škodo, tudi na sosednjih strežnikih.
Odločilna točka za odločevalce: posodobitev CMS-ja, na primer WordPressa, ranljivosti PHP ne zapre, popravek pa ne odstrani že vnesene škodljive kode. Kdor po posodobitvi reče »končano«, ni opravil polovice dela.
Tipične napake v srednje velikih podjetjih v prvih urah
Iz prakse poznamo nekaj vzorcev, ki škodo povečajo. Prvič, odgovornost se prelaga sem in tja: ponudnik gostovanja napoti na stranko, agencija na ponudnika, skrbnik na vodstvo. Zato zgodaj določite, kdo odloča. Drugič, obnova je prehitra. Obnoviti staro varnostno kopijo, ne da bi se zaprla vstopna vrata, pomeni, da napadalec pride takoj nazaj. Tretjič, komuniciranje obstane: zaposleni, stranke in poslovni partnerji za incident izvejo iz druge roke.
V prispevku Krizno komuniciranje po napadu najdete napotke, kako to mirno rešiti. Kot pravilo palca velja: raje malo povedati, a to dokazano.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Z vami razjasnimo sisteme, način delovanja (PHP-FPM, mod_php ali LiteSpeed), podatke in kontaktne osebe. Prvi pregled nastane hitro, tudi brez podrobnega znanja.
- Zavarovanje in zapiranje: Zavarujemo sledi in zapremo vstopna vrata, ne da bi po nepotrebnem motili vaše procese.
- Preverjanje in čiščenje: Webshelli, stranska vrata, opravila cron in tuji računi se poiščejo in odstranijo. Podrobnosti pri Odstranjevanje zlonamerne kode in webshellov.
- Utrjevanje in poročilo: Prejmete poročilo za vodstvo, varstvo podatkov in zavarovalnico. Na željo z vami vzpostavimo preventivo, na primer prek pogodbe o varnostnem vzdrževanju.
Če incident preraste en spletni strežnik, preidemo v strukturirano odzivanje na incidente.
Po incidentu: preventiva brez lastnega varnostnega oddelka
Ko je incident zaključen, ostane vprašanje, kako preprečiti naslednjega ali ga vsaj prej prepoznati. Za podjetja brez lastne varnostne ekipe so najpomembnejše štiri stvari: ažuren popis vseh spletnih strani in strežnikov, jasen kontakt za posodobitve, preverjene varnostne kopije in kratek IT-načrt ukrepanja v sili.
Ali vaše podjetje spada pod obveznosti NIS2, je pravno vprašanje, na katerega ne odgovarjamo. Splošne informacije najdete na naši strani, uvrstitev opravita odvetnik ali pooblaščenec za varstvo podatkov.
Kaj nam pošljite
- kratek opis incidenta in časa
- seznam spletnih strani, trgovin in portalov s ponudnikom gostovanja in, kolikor je znano, različico PHP
- imena skrbnika, agencije in ponudnika gostovanja, ki sistem poznajo
- napotke, ali je spletni strežnik povezan z notranjimi sistemi
- podatke o varnostnih kopijah in obstoječem kibernetskem zavarovanju
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Za vas to pomeni: en sogovornik namesto mnogih, delo na daljavo brez prihoda na kraj po vsej Nemčiji in Evropi ter dokumentacija, s katero obstanete pred strankami, zavarovalnico in organi. Odkrito ločimo med dokazanim, verjetnim in neznanim in ne obljubljamo ničesar, česar nihče ne more izpolniti.
Ste prizadeti? Pokličite nas. Pomagamo.
Za prvo pomoč ne potrebujete lastnega varnostnega oddelka, temveč sogovornika, ki začne. Prevzamemo že od prvega sporočila in ostanemo, dokler incident ni zaključen in dokumentiran. Prijavite nujni primer zdaj.
Pogosta vprašanja
Kaj storiti ob kibernetskem napadu brez lastnega oddelka za IT-varnost?
Ohraniti sledi, ničesar ne izbrisati, določiti odločevalca in poiskati zunanjo pomoč. Srednje veliko podjetje ne mora vsega znati samo. Tehnično stran prevzamemo mi in sodelujemo z vašim skrbnikom, agencijo ali ponudnikom gostovanja.
Ali so majhna in srednje velika podjetja sploh tarča napadov?
Da. Samodejna skeniranja iščejo nepopravljene strežnike, ne glede na velikost podjetja. Pri PHP2Shell je Palo Alto Networks (Unit 42) naštel več kot 22,6 milijona izpostavljenih, potencialno ranljivih primerkov.
Ali mora naše poslovanje obstati, če je bil spletni strežnik napaden?
Ne nujno. Spletno stran in trgovino je pogosto mogoče izolirati, medtem ko notranji sistemi delujejo naprej. Najprej razjasnimo, ali obstajajo povezave med spletnim strežnikom in vašim notranjim omrežjem.
Ali NIS2 velja za nas in kaj to pomeni ob incidentu?
Ali vaše podjetje spada pod NIS2, je odvisno od panoge in velikosti in je pravno vprašanje. Pregled daje naša stran o NIS2; uvrstitev za vaš primer sodi k odvetniku ali pooblaščencu za varstvo podatkov.
Kako se pripravimo na naslednji incident?
S popisom sistemov, imenovanim kontaktom, preverjenimi varnostnimi kopijami in kratkim načrtom ukrepanja v sili. Pri vzpostavitvi pomagamo, ko je akutni incident zaključen.