Strona lub sklep po włamaniu
Ustalam, co się stało, czy atakujący nadal ma dostęp i co dokładnie zostało naruszone.
Zaczynamy od diagnozy - to jeden, stały koszt. Dopiero potem wiadomo, ile rzeczywiście pracy wymaga posprzątanie.
Rozpoznanie sytuacji - jak to zwykle wygląda
Objawy, z którymi zgłaszają się klienci
Rzadko kiedy włamanie wygląda tak, jak można by się spodziewać. Zwykle najpierw pojawia się jeden dziwny objaw, dziwny skrypt lub popsuty koszyk - a dopiero po chwili okazuje się, co za tym stoi.
- Serwer nagle obciążony w stu procentach, choć ruch się nie zmienił,
- Google oznaczył stronę jako niebezpieczną albo usunął ją z wyników,
- Klienci przestali dostawać maile z potwierdzeniami zamówień - Twój serwer trafił na czarne listy,
- W sklepie pojawiły się przekierowania, obce treści, reklamy albo skrypty, których nikt nie dodawał,
- Hosting zablokował konto albo poinformował o rozsyłaniu spamu,
- Na serwerze pojawiły się procesy, pliki lub konta, których nie rozpoznajesz.
Zanim cokolwiek zrobisz
Trzy rzeczy, które warto zrobić od razu
Jeśli podejrzewasz włamanie, kilka pierwszych decyzji ma znaczenie. Poniżej to, co możesz zrobić samodzielnie, zanim zgłosisz się po pomoc.
01/
Nie kasuj podejrzanych plików i nie czyść logów
To najczęstszy błąd. Usuwając ślady, tracisz jedyną szansę na ustalenie, którędy ktoś dostał się do Twojego serwera - a jeśli tego nie ustalimy, wróci tą samą drogą.
02/
Nie odtwarzaj pochopnie backupu
Kopia sprzed kilku dni może już zawierać ten sam problem. Bez ustalenia daty włamania odtworzenie bywa cofnięciem sklepu do stanu równie zainfekowanego.
03/
Zmień hasła, ale nie zatrzymuj się na tym
Jeśli atakujący zostawił własny klucz SSH albo konto, samo hasło mu nie przeszkodzi. Zmiana haseł jest potrzebna, ale sama z siebie niczego nie zamyka. Konieczne jest sprawdzenie systemu pod kątem dostępów.
Jeśli sklep aktywnie szkodzi klientom - rozsyła spam albo przekierowuje na obce strony, jego czasowe wyłączenie lub ograniczenie jest zwykle mniejszą stratą niż pozostawienie go działającego. To decyzja, którą warto podjąć świadomie, a nie odruchowo.
Jak wygląda pomoc
Dwa etapy, bo nikt na starcie nie wie, jak głęboko sięga problem
W momencie pierwszego kontaktu nie da się rzetelnie wycenić całości. Nikt - ani ja, ani nikt inny - nie wie jeszcze, czy chodzi o jeden wgrany plik, czy o kompromitację całego serwera, do którego ktoś ma pełny dostęp od trzech miesięcy. Dlatego rozdzielam to na dwa etapy.
Etap pierwszy - diagnoza serwera po włamaniu. Stała cena ustalona z góry
Ustalam, czy do włamania rzeczywiście doszło, którędy, kiedy i co zostało naruszone. Sprawdzam, czy atakujący nadal ma dostęp, i zabezpieczam materiał na wypadek dalszych ustaleń (np. przez Policję lub UODO). Na koniec dostajesz jasną rekomendację: czy da się to bezpiecznie wyczyścić, czy sensowniej odtworzyć środowisko od nowa.
Etap drugi - przywracanie działania serwera i sprzątanie. Wyceniane po diagnozie
Usunięcie szkodliwego kodu i pozostawionych furtek, odtworzenie środowiska, zamknięcie luki, przez którą doszło do wejścia, wymiana kluczy i dostępów. Zakres i koszt poznasz przed rozpoczęciem - bo po etapie pierwszym już wiadomo, z czym mamy do czynienia.
Etap drugi nie jest obowiązkowy. Po diagnozie możesz przekazać raport swojemu deweloperowi albo administratorowi i zlecić naprawę komu chcesz.
Zakres pierwszego etapu
Co ustalam w ramach diagnozy po włamaniu
Czy atakujący nadal ma dostęp
Najważniejsze pytanie. Sprawdzam połączenia, konta, klucze SSH, zadania crontab i procesy działające w tle. Dopóki to nie jest zamknięte, każda naprawa jest tymczasowa.
Którędy doszło do wejścia
Analiza logów, dat modyfikacji plików i stanu komponentów. Bez ustalenia drogi wejścia sprzątanie jest tylko odsunięciem problemu w czasie.
Co zostało naruszone
Które pliki zmieniono, co zostało dodane, czy doszło do dostępu do bazy danych i danych klientów. To ma znaczenie jeśli wyciekły dane osobowe (wymagania RODO).
Czy backupy nadają się do użycia
Sprawdzam, które kopie są sprzed włamania i czy da się z nich odtworzyć działający system. Od tego zależy, czy czyścimy, czy odtwarzamy.
Wynik pierwszego etapu
Co otrzymujesz po diagnozie serwera po ataku
- Czy do włamania rzeczywiście doszło - czasami okazuje się, że objawy mają inną przyczynę, i to też jest wartościowy wynik
- Droga wejścia - ustalona i opisana ze wskazaniem konkretnych przyczyn, albo jasna informacja, że nie da się jej odtworzyć i dlaczego
- Lista tego, co zostało naruszone - pliki, konta, dane
- Rekomendacja: czyścić czy odtwarzać - z uzasadnieniem, a nie samym werdyktem
- Wycena przywrócenia do stanu poprzedniego - "sprzątania" - jeśli zdecydujesz się powierzyć je mnie
- Dokument do przekazania dalej - przydatny, jeśli musisz poinformować kontrahentów lub zgłosić naruszenie danych
- Pomoc przy zgłoszeniu naruszenia do UODO - ustalenia techniczne, które możesz wykorzystasz przy zgłoszeniu do UODO
Wycena bez niespodzianek
Ile kosztuje diagnoza po włamaniu na serwer?
Diagnoza serwera kosztuje 1500 zł. To cena stała, znana przed rozpoczęciem prac - niezależnie od tego, co się okaże. Nie negocjujemy zakresu w trakcie i nie rozliczam tego etapu godzinowo.
Sprzątanie wyceniam osobno, po zakończeniu diagnozy, gdy realnie wiadomo, ile pracy będzie wymagać. Zwykle rozliczam je godzinowo, z ustalonym z góry limitem, którego nie przekraczam bez Twojej zgody.
Po uporządkowaniu sytuacji warto zamknąć temat na dobre. Zobacz zabezpieczenie serwera albo stałą opiekę administracyjną
Napisz, co się dzieje
Sprawdźmy, co się stało
Co obserwujesz i od kiedy - napisz kilka zdań. Odpiszę z pytaniami i terminem. Odpowiadam ja, nie infolinia.
Jeśli sytuacja jest pilna, zadzwoń: +48 780 175 100