Odkrycie, że strona na WordPress została zhakowana, jest stresujące. Odwiedzający mogą być przekierowywani do spamu, w wynikach wyszukiwania mogą pojawiać się dziwne strony, przeglądarka może wyświetlać ostrzeżenie, a dostawca hostingu może zawiesić konto. Pierwszy dzień ma znaczenie, ponieważ pochopne działania, takie jak przypadkowe usuwanie plików lub przywrócenie starej kopii zapasowej na istniejącą instalację, mogą zniszczyć przydatne informacje i pozostawić otwarty pierwotny punkt wejścia. Ten przewodnik przedstawia spokojną, uporządkowaną listę kontrolną na pierwsze 24 godziny.
Co to jest
Kompromitacja WordPressa zwykle oznacza, że ktoś uzyskał możliwość zmiany plików, bazy danych lub kont użytkowników. Typowe oznaki to nieznani użytkownicy z uprawnieniami administratora, nieznane wtyczki lub pliki, wstrzyknięty kod JavaScript, strony ze spamem zaindeksowane przez wyszukiwarki, przekierowania dotyczące tylko części odwiedzających, wychodzące wiadomości spamowe lub ostrzeżenia przeglądarki czy wyszukiwarki. Częste punkty wejścia to nieaktualne lub porzucone wtyczki i motywy, powtarzane lub słabe hasła, przejęte dane dostępowe do hostingu lub FTP oraz niebezpieczne uprawnienia plików. Pierwsze 24 godziny służą potwierdzeniu, co się dzieje, ograniczeniu dalszych szkód, prowadzeniu zapisów i przygotowaniu do właściwego czyszczenia. Szczegółowe czyszczenie plik po pliku następuje jako osobny etap.
Dla kogo
Ta lista kontrolna jest przeznaczona dla:
- Właścicieli firm i zespołów marketingu, które zarządzają stroną na WordPress bez dedykowanego zespołu ds. bezpieczeństwa
- Agencji obsługujących stronę klienta, która właśnie została zgłoszona jako przejęta
- Wewnętrznych pracowników IT, którzy otrzymali powiadomienie o zawieszeniu hostingu lub ostrzeżenie przeglądarki
- Każdego, kto musi jasno przekazać informacje dostawcy przed rozpoczęciem prac porządkowych
Co pomaga wyjaśnić
Postępowanie według listy kontrolnej pomaga wyjaśnić:
- Czy strona rzeczywiście została przejęta, czy występuje błąd konfiguracji lub wtyczki
- Co się zmieniło, kiedy i których kont może to dotyczyć
- Kto jest właścicielem hostingu, domeny, DNS i kopii zapasowych oraz kto może zatwierdzać zmiany
- Czy dane klientów lub procesy płatności mogą być zagrożone i wymagają osobnej uwagi
Co jest zawarte
- Godzina 0–2: zapisać, co zauważono, kiedy i przez kogo; wykonać zrzuty ekranu ostrzeżeń, przekierowań i nieznanych stron
- Godzina 0–2: ustalić, kto kontroluje hosting, rejestratora domeny, DNS, CDN i panel administracyjny WordPressa
- Godzina 1–4: wykonać pełną kopię plików i bazy danych w obecnym stanie i przechowywać ją osobno; nie nadpisywać starszych kopii zapasowych
- Godzina 1–4: rozważyć przełączenie strony w tryb konserwacji lub poproszenie dostawcy hostingu o ograniczenie dostępu, jeśli odwiedzający są narażeni na szkodę
- Godzina 2–6: z czystego urządzenia zmienić hasła do hostingu, FTP/SFTP, bazy danych i kont administratorów WordPressa; włączyć MFA tam, gdzie jest dostępne
- Godzina 2–6: przejrzeć użytkowników WordPressa i usunąć lub wyłączyć nierozpoznane konta, zapisując, co zostało usunięte
- Godzina 4–12: zebrać dostępne logi dostępu serwera i powiadomienia bezpieczeństwa od dostawcy hostingu
- Godzina 6–24: przekazać wykwalifikowanemu dostawcy notatki, logi i kopię zapasową oraz uzgodnić zakres czyszczenia
Co nie jest uwzględnione
- Poleceń usuwania złośliwego oprogramowania ani instrukcji edycji plików rdzenia bez kopii zapasowej
- Porady prawnej co do tego, czy wymagane jest zgłoszenie naruszenia ochrony danych
- Twierdzenia, że sama zmiana haseł usuwa skutki włamania
- Rad dotyczących kontaktowania się z atakującym lub podejmowania działań odwetowych
Kiedy to wybrać
Z tej listy kontrolnej należy skorzystać, gdy tylko pojawi się podejrzenie włamania, zanim zacznie się usuwać pliki lub przywracać kopie zapasowe. Jeśli strona przetwarza płatności lub przechowuje dane osobowe klientów, należy wcześnie zaangażować osobę odpowiedzialną za prywatność i obowiązki prawne; obowiązki zgłoszeniowe zależą od faktów i jurysdykcji, a ten artykuł nie stanowi porady prawnej. Jeśli dostawca hostingu zawiesił konto, warto zapytać, czego potrzebuje do przywrócenia dostępu i czy przechowuje logi, z których można skorzystać.
Nasze podejście
Priorytetem powinno być powstrzymanie incydentu i prowadzenie zapisów, a nie szybkość wizualnego uporządkowania strony. Strona, która znów wygląda normalnie, może nadal zawierać tylne drzwi (backdoor), dzięki którym atakujący wróci w ciągu kilku dni. Przywrócenie starej kopii zapasowej bez zamknięcia punktu wejścia często prowadzi do ponownej infekcji. Po wykonaniu pierwszych kroków czyszczenie powinno objąć pliki, bazę danych, użytkowników, zadania zaplanowane i konfigurację serwera, a następnie zamknięcie punktu wejścia i utwardzenie konfiguracji. Nasza usługa Incident Recovery obejmuje wstępny przegląd i klasyfikację uzgodnionego problemu ze stroną internetową lub WordPressem, praktyczne działania ograniczające, usunięcie złośliwego kodu, tylnych drzwi i nieautoryzowanych użytkowników, bezpieczne przywrócenie, zamknięcie zidentyfikowanego punktu wejścia oraz pisemny raport z zaleceniami dotyczącymi utwardzenia. Jest to praca o określonym zakresie dla potwierdzonej strony internetowej, a rozstrzygnięcia prawne pozostają w gestii Państwa doradcy prawnego. Niezależnie od tego, kto Państwu pomaga, warto poprosić o wyjaśnienie, co znaleziono i co zmieniono, i przechowywać ten raport razem z własnymi notatkami.
Często zadawane pytania
Artykuły pokrewne
Zacznij
Mają Państwo do czynienia z włamaniem na stronę WordPress?
Proszę przesłać krótkie podsumowanie tego, co zaobserwowano, kto kontroluje hosting i domenę oraz jakie istnieją kopie zapasowe. Potwierdzimy zakres czyszczenia.
Poproś o pisemny zakres