Gdy strona internetowa lub witryna WordPress zostały zhakowane, pilną potrzebą jest kontrolowana reakcja w potwierdzonym zakresie: zrozumieć, co się stało, powstrzymać rozprzestrzenianie, usunąć to, co pozostawił atakujący, i bezpiecznie przywrócić stronę. Incident Recovery Sprint to praktyczne zlecenie z potwierdzonym zakresem, przeznaczone na taką sytuację. W ramach uzgodnionej strony i dostępu BilgeQor przegląda i klasyfikuje problem, powstrzymuje go, usuwa złośliwy kod, backdoory i nieautoryzowanych użytkowników, bezpiecznie przywraca stronę, zamyka zidentyfikowany punkt wejścia i dokumentuje prace na piśmie. Termin rozpoczęcia jest potwierdzany po przyjęciu zgłoszenia.
Co to jest
Sprint zaczyna się od priorytetowego przyjęcia zgłoszenia, które potwierdza zgłoszony problem, dotkniętą stronę, dostęp, który mogą Państwo autoryzować, oraz ewentualne okno zmian produkcyjnych. Następnie zespół przegląda dostępne logi, sygnały i dowody ze strony, klasyfikuje to, co widoczne, i powstrzymuje problem na dotkniętej stronie w ramach potwierdzonego dostępu. Czyszczenie obejmuje złośliwy kod, backdoory i nieautoryzowane konta użytkowników. Strona jest następnie bezpiecznie przywracana, a punkt wejścia zidentyfikowany w przeglądzie zostaje zamknięty. Otrzymują Państwo pisemny raport z rekomendacjami dotyczącymi utwardzania; w zależności od wariantu obejmuje to również omówienie ustaleń na żywo lub jeden przegląd walidacyjny po wykonaniu uzgodnionych działań. Prace koncentrują się na przywróceniu działania w uzgodnionym zakresie; raporty z analizy powłamaniowej, prawne stwierdzenie naruszenia, oficjalne zgłoszenia i bieżący monitoring zapewniają odpowiedni specjaliści.
Dla kogo
To zlecenie jest przydatne dla zespołów, które:
- Mają zhakowaną stronę internetową lub witrynę WordPress i potrzebują praktycznego czyszczenia oraz bezpiecznego przywrócenia
- Widzą na swojej stronie nieznane treści, przekierowania, strony ze spamem lub nieznane konta administratorów
- Ich strona została wyłączona przez dostawcę hostingu po włamaniu
- Mogą autoryzować dostęp do dotkniętej strony i hostingu oraz wskazać osobę decyzyjną w sprawie zmian
Co pomaga wyjaśnić
Sprint pomaga zespołom zrozumieć:
- Co jest widoczne na podstawie zgłoszonego problemu i dostępnych dowodów, a co pozostaje niepotwierdzone
- Jaki złośliwy kod, backdoory, nieautoryzowani użytkownicy i punkt wejścia zostali znalezieni i usunięci w ramach zakresu
- Jakie kroki utwardzania powinny nastąpić, aby zmniejszyć ryzyko ponownego włamania
- Czy istnieje odrębna potrzeba analizy powłamaniowej, prac prawnych, zgłoszeń, monitoringu lub szerszych prac z zakresu bezpieczeństwa
Co jest zawarte
- Priorytetowe przyjęcie zgłoszenia obejmujące zgłoszony problem, dotkniętą stronę, autoryzowany dostęp i okno zmian produkcyjnych
- Wstępny przegląd i klasyfikacja problemu, w tym dostępnych logów i sygnałów, jeśli przewiduje to wariant
- Praktyczne powstrzymanie problemu na dotkniętej stronie w ramach potwierdzonego dostępu
- Usunięcie złośliwego kodu, backdoorów i nieautoryzowanych użytkowników
- Bezpieczne przywrócenie strony i zamknięcie zidentyfikowanego punktu wejścia
- Pisemny raport z rekomendacjami dotyczącymi utwardzania oraz omówienie na żywo lub przegląd walidacyjny, jeśli przewiduje to wariant
Co nie jest uwzględnione
- Całodobowe reagowanie na incydenty, abonament na reagowanie awaryjne, stały czas reakcji ani monitoring SOC/MDR na żywo
- Praktyczne prace na stronach, kontach lub serwerach niepotwierdzonych w pisemnym zakresie
- Cyfrowa analiza powłamaniowa, raport z takiej analizy, łańcuch dowodowy na potrzeby postępowań prawnych, stwierdzenie naruszenia, zgłoszenia do regulatorów ani porada prawna
- Obietnica pełnego oczyszczenia lub usunięcia każdego możliwego śladu
- Testy penetracyjne, Red Team Exercise ani Threat Hunting, chyba że objęto je odrębnym zakresem
Kiedy to wybrać
Tę usługę warto wybrać, gdy strona internetowa lub witryna WordPress wykazuje oznaki włamania, takie jak nieoczekiwane treści, przekierowania, spam, nieznani użytkownicy, zawieszenie przez hosting lub utrata konta administratora, a Państwo potrzebują oczyszczenia i przywrócenia strony w określonym zakresie. Usługa przynosi najwięcej korzyści, gdy mogą Państwo autoryzować dostęp do dotkniętej strony i hostingu, wskazać osobę decyzyjną i uzgodnić okno zmian produkcyjnych. Jeśli problem obejmuje szerszą infrastrukturę, systemy wewnętrzne lub dochodzenie w środowisku regulowanym, obok tego sprintu lub zamiast niego może być potrzebny odrębny zakres albo wyspecjalizowany dostawca usług reagowania, analizy powłamaniowej lub usług prawnych.
Nasze podejście
Zaczynamy od pisemnego potwierdzenia strony, dostępu i okna zmian, aby praktyczne prace pozostały w uzgodnionej granicy. Przeglądamy dostępne dowody i klasyfikujemy to, co widoczne, zanim wprowadzimy zmiany. Najpierw następuje powstrzymanie, a potem usunięcie złośliwego kodu, backdoorów i nieautoryzowanych użytkowników. Następnie bezpiecznie przywracamy stronę i zamykamy punkt wejścia zidentyfikowany w przeglądzie. Każde działanie jest zapisywane, a pisemny raport oddziela to, co znaleziono, co zmieniono, co pozostaje niepewne i jakie kroki utwardzania rekomendujemy w dalszej kolejności. Gdy pytanie wykracza poza zakres, na przykład dotyczy innego serwera, potrzeby analizy powłamaniowej lub obowiązku prawnego albo zgłoszeniowego, mówimy o tym otwarcie i wskazujemy właściwy kolejny krok. Jeśli wariant to przewiduje, przegląd walidacyjny sprawdza uzgodnione działania po przekazaniu.
Często zadawane pytania
Artykuły pokrewne
Zacznij
Strona zhakowana? Zacznij od odzyskiwania z potwierdzonym zakresem.
Proszę opisać, co Państwo widzą, oraz którą stronę i jaki dostęp mogą Państwo autoryzować. Przed rozpoczęciem jakichkolwiek prac potwierdzamy zakres, okno zmian i wariant.
Poproś o rozmowę o odzyskiwaniu po incydencie