Na kratko: Ste prizadeti? Pokličite nas. Pomagamo. Če imate IT-nujni primer na spletnem strežniku in nobenega strokovnjaka pri roki, nas naročite z enim sporočilom: prevzamemo že od prvega sporočila, delamo na daljavo brez prihoda na kraj in vse pisno zabeležimo, dokler incident ni zaključen in dokumentiran.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Tudi ne kot pripravo za izvajalca. Stanje sistema je najpomembnejši dokaz. Prijavite nujni primer, dostope in vloge razjasnimo skupaj.
Ste prizadeti? Kdaj je izvajalec za nujne primere potreben
Vsaka motnja ni varnostni incident. Izvajalec za nujne primere je smiseln, če velja vsaj ena od teh točk:
- Vaš spletni strežnik se obnaša nenavadno in nihče v hiši ne zna ugotoviti vzroka.
- Obstaja sum škodljive kode, vdora ali uhajanja podatkov.
- Ponudnik gostovanja je blokiral storitev ali zahteva čiščenje.
- Vaša različica PHP je stara ali nejasna in ne veste, ali sta bili ranljivosti PHP2Shell izkoriščeni.
- Lastna IT ali agencija ni dosegljiva ali nima izkušenj z incidenti.
Sum zadošča. Ali lahko napredujete sami ali potrebujete podporo, vam pomaga pretehtati stran Odpraviti sam ali poiskati izvajalca?.
Kaj storite takoj
- Zamrznite stanje. Brez sprememb na strežniku, brez pospravljanja, brez posodobitev na slepo.
- Naštejte dostope. Kateri dostopi do upravljalne plošče, SSH, CMS-ja in zbirke podatkov obstajajo in kdo jih upravlja?
- Obvestite ponudnika gostovanja. Prosite ga, naj ohrani dnevnike in posnetke. Ne zamolčite ničesar, kar mora vedeti.
- Določite odločevalca. Kdo v podjetju odobri ugasnitve, ponovne zagone in zamenjavo gesel?
- Razjasnite podatke. Ali so na sistemu osebni podatki, podatki o plačilih ali poslovne skrivnosti?
- Obvestite udeležene. Pooblaščenca za varstvo podatkov in, če obstaja, kibernetskega zavarovalca.
- Naročite izvajalca. Pokličite ali pišite po WhatsAppu. Prevzamemo že od prvega sporočila.
Kako poteka naročilo
Nujni primer ne prenese dolgega pogodbenega postopka, a tudi ne vrzeli pri odgovornosti in varstvu podatkov. Zato nadaljujemo v tem vrstnem redu:
- Prvi pogovor: Prisluhnemo stanju in zastavimo maloštevilna vprašanja, potrebna za prvo oceno.
- Uskladitev okvira: Skupaj razjasnimo, katere sisteme smemo preverjati, kdo odloča in kako si izmenjujemo informacije.
- Ureditev varstva podatkov: Če dostopamo do sistemov z osebnimi podatki, se pogovorimo o potrebnem dogovoru o obdelavi po naročilu. Osnove razlaga stran Obdelava po naročilu pri dostopu do strežnika.
- Vzpostavitev dostopa: Dobimo samo pravice, ki so za nalogo potrebne. Po zaključku se dostopi spet odvzamejo.
- Delo in poročila: Javljamo se z vmesnimi stanji in rezultate pisno zabeležimo.
Kako na splošno primerjate ponudnike, je opisano v prispevku Izbira ponudnika storitev IT-varnosti: 12 vprašanj. Pogodbene obveznosti glede varnosti obravnava prispevek Pogodbe z izvajalci: jasno urediti varnostne obveznosti.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Kaj se je zgodilo, kateri strežniki tečejo, katere različice PHP in kateri način delovanja (PHP-FPM, mod_php, LiteSpeed) so v uporabi?
- Zavarovanje in zapiranje: Zavarujemo dnevnike, datoteke in zbirko podatkov. Nato odpravimo vzrok: popravek, konfiguracija ali blokada dostopov, s ponovnim zagonom vseh procesov PHP.
- Preverjanje in čiščenje: Iščemo webshelle, stranska vrata, opravila cron in tuje dostope ter jih odstranimo ali pa znova zgradimo iz čistih virov.
- Utrjevanje in poročilo: Prejmete poročilo s časovnico, najdbami in priporočili. Pri večjih incidentih preidemo v odzivanje na incidente.
Če gre najprej samo za ranljivost PHP in dokaz o popravku, ustreza nujna pomoč pri PHP2Shell za podjetja. Če je prisotna škodljiva koda, je prava izhodiščna točka odstranjevanje zlonamerne kode.
Po čem prepoznate resnega izvajalca za nujne primere
V nujnem primeru mnogi posežejo po prvem ponudniku. Tri vprašanja pomagajo v minutah vzpostaviti red. Prvič: ali se najprej zavaruje in šele nato spreminja? Kdor takoj »pospravlja«, onemogoči poznejšo razjasnitev. Drugič: ali se pisno zabeleži, kaj je bilo najdeno in storjeno? Brez dokumentacije z njo ne morejo početi ničesar ne zavarovalnica ne pooblaščenec za varstvo podatkov. Tretjič: ali se imenujejo meje? S ponudnikom, ki vse razglasi za izvedljivo, preden je sistem sploh videl, je treba ravnati previdno.
Preverite tudi, ali izvajalec razume vaš način delovanja. PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed se pri popravljanju obnašajo različno, po posodobitvi pa je treba znova zagnati vse procese, sicer v pomnilniku teče staro stanje naprej.
Česa izvajalec za nujne primere ne zmore
Splača se vnaprej poznati meje. Noben izvajalec ne more naknadno ustvariti dnevnikov, ki nikoli niso bili zapisani ali so bili že prepisani. Pri manjkajočih sledeh vrzeli odkrito imenujemo. Tudi nihče ne more zagotoviti, da očiščen sistem nikoli več ne bo napaden. In pravno svetovanje ni del naše naloge: vprašanja o obveznostih prijave, odgovornosti in zavarovanju gredo pooblaščencu za varstvo podatkov, odvetniku in zavarovalnici, mi jim zagotovimo tehnična dejstva.
Kaj nam pošljite
- kratek opis incidenta in časa, ko je bil opažen
- prizadete domene, strežniki in, kolikor je znano, različica PHP
- ime ponudnika gostovanja in vrsta pogodbe (skupno gostovanje, vServer, korenski strežnik, upravljani strežnik)
- kontaktna oseba s pooblastilom za odločanje
- obstoječe varnostne kopije in njihovo stanje
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Govorite s stalnim sogovornikom, delamo na daljavo po vsej Nemčiji in Evropi ter dokumentiramo vsak korak. Odkrito povemo, kaj je dokazano in kaj ne, in ne dajemo obljub, ki jih noben resen izvajalec ne more dati. Naš vrstni red je vedno enak: najprej zavarovati, nato spreminjati, nato poročati.
Ste prizadeti? Pokličite nas. Pomagamo.
Ne iščite naprej ustreznega izvajalca, medtem ko incident teče. Pokličite ali pišite po WhatsAppu, prevzamemo že od prvega sporočila. Prijavite nujni primer zdaj.
Pogosta vprašanja
Po čem prepoznam dobrega izvajalca za IT-nujne primere?
Zavaruje sledi, preden karkoli spremeni, odkrito ločuje med dokazanim in domnevanim, dokumentira vsak korak in ne obljublja čudežev. Previdni bodite pri izjavah, kot je »zagotovljeno čisto«, saj tega resno ne more zagotoviti nihče.
Katere dostope izvajalec potrebuje v IT-nujnem primeru?
Praviloma dostop prek SSH ali upravljalne plošče do strežnika, dostop do zaledja CMS-ja in zbirke podatkov ali vaše dovoljenje, da govori s ponudnikom gostovanja. Dajte le, kar je potrebno, in zabeležite, kdo je kdaj dobil kateri dostop.
Ali za oddaljeni dostop potrebujem pogodbo o obdelavi podatkov?
Če izvajalec dostopa do sistemov z osebnimi podatki, je praviloma potrebna ureditev obdelave po naročilu. Oceno podajo pooblaščenec za varstvo podatkov ali odvetniki. To z vami razjasnimo takoj na začetku.
Kakšna je razlika med odzivanjem na incidente in odstranjevanjem zlonamerne kode?
Odstranjevanje zlonamerne kode očisti okužen sistem. Odzivanje na incidente je širše zasnovano: zajema oceno stanja, zajezitev, čiščenje, komuniciranje in naknadno obravnavo, pogosto prek več sistemov.
Ali je treba vključiti mojega ponudnika gostovanja?
Pogosto da, na primer za posnetke (snapshot), dnevnike ali odpravo blokad. S ponudnikom se uskladimo, če to dovolite. Kaj je mogoče preveriti, je odvisno od pravic, ki jih prejmemo.