Uzlauzts: pazīšana, atjaunošana un novēršana

7. modulis: Drošība · Lasīšanas laiks: 10 minūtes

Mācību mērķis: pēc šīs nodarbības Jūs varēsiet atpazīt uzlaušanu, to pareizā secībā atjaunot un novērst, lai tas neatkārtotos.

Galvenie jēdzieni: uzlaušanas pazīmes, fiksēšana, izolēšana, visu paroļu un salts nomaiņa, ielaušanās vietas atrašana, žurnāli, tīra rezerves kopija, tīra atkārtota instalācija, kontrolsummas, nezināmi administratori, PHP augšupielādēs, mu-plugins, Search Console, datu noplūdes paziņošana

Kas ir uzlaušana

Tīmekļa vietne ir uzlauzta, ja kāds bez atļaujas ir ieguvis kontroli pār (daļu no) Jūsu tīmekļa vietnes: viņš var mainīt failus vai datubāzi, vai palaist kodu. Bieži vien viņš paliek iekšā caur aizmugures durvīm (backdoor): paslēptu failu vai koda gabalu, ar kura palīdzību viņš var atgriezties vēlāk, pat ja Jūs aizverat sākotnējo ievainojamību.

Tas pēdējais ir šīs nodarbības kodols: vien redzamā kaitējuma novākšana nav pietiekama. Kamēr aizmugures durvis pastāv vai kamēr ievainojamība, caur kuru viņš iekļuva, ir atvērta, tas notiks atkal. Bieži vien dažu dienu laikā.

Pazīšana

Pazīmes (dažas Jūs redzat, dažas Jums jāmeklē):

• Google paziņo pie Jūsu tīmekļa vietnes "Šī vietne, iespējams, ir uzlauzta", vai Search Console ziņo par drošības problēmu.
• Meklēšanas rezultātos (site:example.com) parādās lapas, kuras Jūs nepazīstat, bieži citā valodā vai par medikamentiem, azartspēlēm vai viltus veikaliem.
• Apmeklētāji tiek pāradresēti, bieži vien tikai tad, ja viņi nāk caur Google vai no tālruņa. Jūs to neredzat, jo esat pieteicies vai nokļūstat caur grāmatzīmi. Pārbaudiet privātajā logā, nokļūstot caur meklēšanas rezultātu.
• Pie Lietotāji ir redzams administrators, kuru Jūs nepazīstat.
• Mapē wp-content/uploads ir PHP faili, vai saknes mapē vai wp-content/mu-plugins ir faili ar dīvainiem nosaukumiem.
• Jūsu mitināšanas pakalpojumu sniedzējs vai ļaunprogrammatūras skeneris ziņo par inficētiem failiem; Jūsu e-pasts tiek noraidīts vai Jūsu pakete sūta spamu.
• Tīmekļa vietne pēkšņi ir lēna vai Jūsu glabātuve piepildās.

Rīcības plāns

1. Saglabāt mieru un fiksēt

Nemetiet uzreiz visu prom. Pierakstiet, ko redzat un kopš kura brīža, uzņemiet ekrānuzņēmumus un izveidojiet pašreizējā stāvokļa kopiju (failus un datubāzi, vai papildu rezerves kopiju caur Jūsu mitināšanas pakalpojumu sniedzēju). Šī kopija būs Jums nepieciešama, lai atrastu ielaušanās vietu, un kā pierādījums. Nenovietojiet to tīmekļa mapē.

2. Apturēt kaitējumu apmeklētājiem

Uz laiku izslēdziet tīmekļa vietni vai ievietojiet to aiz apkopes lapas, it īpaši, ja apmeklētāji tiek pāradresēti uz ļaunprogrammatūru vai pikšķerēšanu. DirectAdmin varat apturēt domēnu; citur var palīdzēt parole visai vietnei vai pagaidu index.html ar paziņojumu.

3. Nomainīt visas paroles un atslēgas

Pieņemiet, ka ielauzies zina katru paroli, kas bija atrodama tīmekļa vietnē vai caur to. Nomainiet, vēlams, no citas (tīras) ierīces:

• Jūsu mitināšanas paneļa paroli un visu FTP un SFTP kontu paroles (dzēsiet kontus, kurus neizmantojat);
• datubāzes lietotāja paroli un atjauniniet to failā wp-config.php;
• visu WordPress administratoru paroles, un dzēsiet kontus, kurus nepazīstat;
• atslēgas un salts failā wp-config.php (2.3. nodarbība). Tādējādi tiek anulēti visi pieteikšanās sīkfaili, arī ielauzušās personas;
• lietojumprogrammu paroles (3.3. nodarbība) un savienojumu API atslēgas;
• e-pasta paroles, ja spams tika sūtīts caur pasta kasti.

Pēc tam visur ieslēdziet divu faktoru autentifikāciju (7.3. nodarbība).

4. Ielaušanās vietas atrašana

Nezinot ielaušanās vietu, Jūs nevarat būt droši, ka tā ir aizvērta. Biežākie cēloņi (7.1. nodarbība) un kur meklēt:

• Novecojis spraudnis vai tēma: kuras sastāvdaļas bija atpalikušas? Meklējiet nosaukumus ievainojamību datubāzē (5.3. nodarbība).
• Noplūdusi parole: apskatiet pieteikšanās vēsturi Jūsu mitināšanas panelī un FTP.
• Tīmekļa servera žurnāli: meklējiet ap brīdi, kad parādījās pirmie dīvainie faili, POST pieprasījumus uz nezināmiem failiem vai spraudņu failiem, bieži no tās pašas IP adreses.
• Faili pēc datuma: sakārtojiet File Manager vai caur SFTP pēc izmaiņu datuma. Faili, kas mainīti vienlaikus, īpaši ārpus atjaunināšanas, pelna uzmanību.

5. Tīrīšana

Divi ceļi, un bieži vien kombinācija:

A. Tīras rezerves kopijas atjaunošana no laika pirms uzlaušanas (8.2. nodarbība). Izvēlieties rezerves kopiju noteikti no laika pirms pirmajām pazīmēm, jo ielauzušies dažkārt gaida nedēļas. Atjaunojiet pilnībā, lai pazustu arī pievienotie faili. Pēc tam uzreiz atjauniniet visu (citādi ievainojamība atkal būs klāt). Trūkums: viss, kas bija pēc rezerves kopijas (ziņas, pasūtījumi), ir zudis.

B. Tīra atkārtota izveide ar esošo saturu:

1. Aizstājiet pašu WordPress ar svaigu kopiju no wordpress.org (wp-admin, wp-includes un atsevišķie faili; ne wp-content un wp-config.php). Ar WP-CLI vispirms varat redzēt, kas ir mainīts:

wp core verify-checksums
wp plugin verify-checksums --all

Tie salīdzina Jūsu failus ar oficiālajām versijām un ziņo par katru mainīto vai papildu failu (otrais komandrinda tikai spraudņiem no wordpress.org spraudņu mapes).

2. Dzēsiet visus spraudņus un tēmas un instalējiet tās no jauna no avota, jaunākajā versijā. Tas, kas Jums nav vajadzīgs, neatgriezīsies.
3. Pārbaudiet wp-content/uploads attiecībā uz PHP failiem un citiem failiem, kas nav multivide, un wp-content/mu-plugins.
4. Pārbaudiet .htaccess attiecībā uz dīvainiem pāradresācijas noteikumiem, un wp-config.php attiecībā uz rindām, kuras Jūs nepazīstat.
5. Pārbaudiet datubāzi: nezināmus administratorus, opcijas siteurl, home un active_plugins tabulā wp_options, un meklējiet ziņās ievietotus skriptus (<script ar dīvainām adresēm).
6. Apskatiet ieplānotos uzdevumus: cronjobs Jūsu mitināšanas panelī un WP-Cron (ar spraudni vai wp cron event list).

Ļaunprogrammatūras skeneris (no Jūsu mitināšanas pakalpojumu sniedzēja vai spraudnis) palīdz atrast, taču neuzticieties tam akli: tas, ko tas neatrod, joprojām var būt klāt.

6. Aizvēršana un pārbaude

• Atjauniniet visu, nostipriniet (7.4. nodarbība) un atkal ieslēdziet tīmekļa vietni.
• Vai Jūsu tīmekļa vietne ir atzīmēta Google kā nedroša? Lūdziet Search Console sadaļā Drošības problēmas jaunu novērtējumu, tikai kad viss ir tīrs.
• Sekojiet līdzi nākamajām nedēļām: jauniem failiem, jauniem administratoriem, Jūsu skenera paziņojumiem. Ja tas atkārtojas, ielaušanās vieta vai aizmugures durvis vēl nav atrastas.

Personas dati: datu noplūdes paziņošana

Ja ielauzušies personas varēja piekļūt personas datiem (interneta veikala klientu dati, formu iesniegumi, dalībnieku saraksti, Jūsu tīmekļa vietnes lietotāji), tad ir runa par datu noplūdi VDAR (GDPR) izpratnē. Tādā gadījumā Jums tas jāpaziņo 72 stundu laikā pēc atklāšanas Datu valsts inspekcijai (DVI), ja vien nav maz ticams, ka tas rada risku attiecīgajām personām (VDAR 33. pants). Ja risks ir augsts, Jums par to jāinformē arī pašas attiecīgās personas (34. pants). Katrā ziņā fiksējiet, kas notika un ko Jūs darījāt, pat ja nepaziņojat. Ja šaubāties, apskatiet Datu valsts inspekcijas (DVI) tīmekļa vietni (9.3. nodarbība).

Palīdzības lūgšana

Uzlaušanas tīrīšana prasa laiku un pieredzi. Ja neesat pārliecināti, vai esat izdarījuši visu, lūdziet palīdzību: savam tīmekļa vietnes veidotājam, specializētam uzņēmumam vai savam mitināšanas pakalpojumu sniedzējam (daži mitināšanas pakalpojumu sniedzēji, arī WebOké, to piedāvā, parasti par maksu). Sniedziet viņiem 1. solī izveidoto kopiju, to, ko esat redzējuši un kad, un to, ko jau esat darījuši.

Kopsavilkums

• Uzlaušana bieži atstāj aizmugures durvis; tikai redzamā kaitējuma novākšana nav pietiekama.
• Secība: fiksēšana, apmeklētāju aizsardzība, visu paroļu un salts nomaiņa, ielaušanās vietas atrašana, tīrīšana, aizvēršana un pārbaude.
• Tīrīšanu var veikt ar tīru rezerves kopiju no laika ievērojami pirms uzlaušanas, vai svaigi instalējot WordPress, spraudņus un tēmas un pārbaudot uploads, mu-plugins, .htaccess un datubāzi.
• wp core verify-checksums parāda, kuri WordPress faili ir mainīti.
• Ja tika skarti personas dati, paziņojiet par datu noplūdi 72 stundu laikā DVI, ja vien risks nav maz ticams.

Tests (quiz)

Uzdevums

Uzdevums D7.5: Jūsu rīcības plāns uzlaušanas gadījumā. Aizpildiet rīcības plānu savai tīmekļa vietnei, lai Jums tas nebūtu jāizdomā, kad tas būs nepieciešams: kur atrodas Jūsu rezerves kopijas un cik tālu tās sniedzas, kuram ir kādas paroles un kā Jūs tās visas nomainīsiet (saraksts), kur atrodat Jūsu mitināšanas žurnālus, kam zvanāt pēc palīdzības, un kādi personas dati atrodas Jūsu tīmekļa vietnē (lai atbildētu uz jautājumu, vai Jums jāpaziņo par datu noplūdi). Pēc tam veiciet vingrinājumu: kādus piecus soļus Jūs sperat pirmajā stundā, saņemot paziņojumu "Šī vietne, iespējams, ir uzlauzta", kādā secībā, un kāpēc tieši tādā secībā?

Papildu lasāmviela

Šie raksti apraksta soļus WebOké paneļos; citos paneļos tie darbojas līdzīgi.

• DirectAdmin rokasgrāmata 18.2: Mana vietne ir uzlauzta: rīcības plāns
• Palīdzība! Mana vietne ir uzlauzta. Kā to novērst un kā no tā izvairīties?
• DirectAdmin rokasgrāmata 15.11: Imunify360: Jūsu vietnes skenēšana uz ļaunprogrammatūru
• DirectAdmin rokasgrāmata 17.2: Site summary & logs: kļūdu žurnāls un piekļuves žurnāls
• DirectAdmin rokasgrāmata 3.4: Login History: kas un kad ir pieslēdzies?
• Datu noplūdes (Nīderlandes datu aizsardzības iestāde, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• BUJ: mana tīmekļa vietne ir uzlauzta (wordpress.org, Angļu): https://wordpress.org/documentation/article/faq-my-site-was-hacked/