Kort sagt: Berörs ni? Ring oss. Vi hjälper er. Har ni ett IT-nödläge på webbservern och ingen expert till hands, anlitar ni oss med ett enda meddelande: Vi tar över från första meddelandet, arbetar på distans utan resor och dokumenterar allt skriftligt tills incidenten är avslutad och dokumenterad.
Radera ingenting och installera inte om något nu. Inte heller som förberedelse för leverantören. Systemets tillstånd är det viktigaste beviset. Anmäl nödläge, så klarlägger vi åtkomster och roller tillsammans.
Berörs ni? När en nödleverantör behövs
Inte varje störning är en säkerhetsincident. En leverantör för nödlägen är meningsfull om minst en av dessa punkter stämmer:
- Er webbserver beter sig avvikande och ingen internt kan bedöma orsaken.
- Det finns en misstanke om skadlig kod, ett intrång eller data som har läckt ut.
- Webbhotellet har stängt av tjänsten eller kräver en rensning.
- Er PHP-version är gammal eller oklar, och ni vet inte om PHP2Shell-sårbarheterna har utnyttjats.
- Den egna IT-avdelningen eller byrån är inte nåbar eller saknar erfarenhet av incidenter.
Misstanken räcker. Om ni kommer vidare själva eller behöver stöd kan ni väga på sidan Åtgärda själv eller anlita en leverantör?.
Det här gör ni direkt
- Frys tillståndet. Inga ändringar på servern, inga städaktioner, inga uppdateringar på måfå.
- Lista åtkomsterna. Vilka panel-, SSH-, CMS- och databasåtkomster finns, och vem förvaltar dem?
- Informera webbhotellet. Be det bevara loggar och snapshots. Förtiga ingenting som det behöver veta.
- Utse en beslutsfattare. Vem i företaget godkänner avstängningar, omstarter och lösenordsbyten?
- Klarlägg dataläget. Finns personuppgifter, betalningsuppgifter eller affärshemligheter på systemet?
- Informera berörda. Dataskyddsombudet och, om ni har ett, cyberförsäkringsbolaget.
- Anlita en leverantör. Ring eller skriv via WhatsApp. Vi tar över från första meddelandet.
Så går uppdraget till
Ett nödläge tål ingen lång avtalsprocess, men det tål inte heller luckor i ansvar och dataskydd. Därför går vi tillväga i den här ordningen:
- Första samtal: Vi lyssnar på läget och ställer de få frågor som behövs för en första bedömning.
- Stämma av ramen: Vi klarlägger tillsammans vilka system vi får granska, vem som beslutar och hur vi utbyter information.
- Reglera dataskyddet: Om vi får åtkomst till system med personuppgifter går vi igenom det nödvändiga avtalet om personuppgiftsbiträde. Grunderna förklaras på sidan Personuppgiftsbiträde vid serveråtkomst.
- Ordna åtkomsten: Ni ger oss bara de rättigheter som uppdraget kräver. Efter avslutet dras åtkomsterna in igen.
- Arbete och rapporter: Vi hör av oss med delresultat och dokumenterar resultaten skriftligt.
Hur ni jämför leverantörer i allmänhet står i Välja en IT-säkerhetsleverantör: 12 frågor. Avtalsmässiga skyldigheter kring säkerhet behandlas i Leverantörsavtal: reglera säkerhetsskyldigheter tydligt.
Hur hjälper PHP SOS konkret?
- Kartlägga läget: Vad har hänt, vilka servrar körs, vilka PHP-versioner och vilket driftläge (PHP-FPM, mod_php, LiteSpeed) används?
- Säkra och stänga: Vi säkrar loggar, filer och databas. Därefter åtgärdar vi orsaken: patch, konfiguration eller spärrning av åtkomster, med omstart av alla PHP-processer.
- Granska och rensa: Vi söker webshells, bakdörrar, cronjobb och främmande åtkomster och tar bort dem eller bygger upp på nytt från rena källor.
- Härda och rapportera: Ni får en rapport med tidslinje, fynd och rekommendationer. Vid större incidenter går vi över till incidenthantering.
Gäller det först bara PHP-sårbarheten och patchbeviset passar PHP2Shell-direkthjälp för företag. Finns det skadlig kod är borttagning av skadlig kod rätt utgångspunkt.
Så känner ni igen en seriös nödleverantör
I ett nödläge tar många den första bästa leverantören. Tre frågor hjälper att skapa ordning på minuter. För det första: Säkras det först och ändras det först därefter? Den som genast ”städar” försvårar den senare utredningen. För det andra: Dokumenteras skriftligt vad som hittats och gjorts? Utan dokumentation kan varken försäkringsbolag eller dataskyddsombud göra något med det. För det tredje: Nämns gränser? En leverantör som förklarar allt genomförbart innan den har sett systemet bör behandlas med försiktighet.
Kontrollera också om leverantören förstår ert driftläge. PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed beter sig olika vid patchning, och efter uppdateringen måste alla processer startas om, annars fortsätter det gamla läget att köras i minnet.
Det här kan en nödleverantör inte åstadkomma
Det lönar sig att känna till gränserna i förväg. Ingen leverantör kan i efterhand ta fram loggar som aldrig skrevs eller som redan har skrivits över. Saknas spår benämner vi luckorna öppet. Ingen kan heller försäkra att ett rensat system aldrig angrips igen. Och juridisk rådgivning ingår inte i vårt uppdrag: Frågor om anmälningsskyldighet, ansvar och försäkring går till dataskyddsombud, jurist och försäkringsbolag, och vi levererar de tekniska fakta till dem.
Det här bör ni skicka till oss
- kort beskrivning av incidenten och tidpunkten då den uppmärksammades
- berörda domäner, servrar och, i den mån den är känd, PHP-versionen
- webbhotellets namn och typ av avtal (delat webbhotell, vServer, root-server, managed server)
- en kontaktperson med beslutsbefogenhet
- befintliga säkerhetskopior och deras aktualitet
Varför PHP SOS
Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni talar med en fast kontaktperson, vi arbetar på distans i hela Europa och dokumenterar varje steg. Vi säger öppet vad som är belagt och vad som inte är det, och vi ger inga löften som ingen seriös leverantör kan ge. Vår ordning är alltid densamma: först säkra, sedan ändra, sedan rapportera.
Berörs ni? Ring oss. Vi hjälper er.
Sök inte vidare efter rätt leverantör medan incidenten pågår. Ring eller skriv via WhatsApp, så tar vi över från första meddelandet. Anmäl nödläge nu.
Vanliga frågor
Hur känner jag igen en bra leverantör vid IT-nödläge?
Den säkrar spår innan något ändras, skiljer öppet mellan belagt och antaget, dokumenterar varje steg och lovar inga underverk. Var misstänksam mot uttalanden som ”garanterat helt rent”, för det kan ingen seriöst försäkra.
Vilken åtkomst behöver en leverantör vid ett IT-nödläge?
I regel SSH- eller panelåtkomst till servern, åtkomst till CMS-backend och databas eller ert tillstånd att tala med webbhotellet. Ge bara det som behövs och anteckna vem som har fått vilken åtkomst och när.
Behöver jag ett personuppgiftsbiträdesavtal för fjärråtkomsten?
Om en leverantör får åtkomst till system med personuppgifter behövs oftast en reglering av personuppgiftsbiträdet. Bedömningen gör dataskyddsombud eller jurister. Vi klarlägger det med er redan från början.
Vad är skillnaden mellan incidenthantering och borttagning av skadlig kod?
Borttagning av skadlig kod rengör ett smittat system. Incidenthantering har bredare ansats: den omfattar lägesbild, begränsning, rensning, kommunikation och efterarbete, ofta över flera system.
Måste mitt webbhotell vara med?
Ofta ja, till exempel för snapshots, loggar eller för att häva avstängningar. Vi samordnar med ert webbhotell om ni tillåter det. Vad som kan granskas beror på de rättigheter vi får.