Häkitud: ära tundmine, parandamine ja ennetamine

Moodul 7: Turvalisus · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda õppetundi oskad häkkimist ära tunda, parandada selle õiges järjekorras ja vältida selle kordumist.

Põhimõisted: häkkimise tunnused, tõendamine, isoleerimine, kõigi paroolide ja salt'ide vahetamine, sissepääsu leidmine, logid, puhas varukoopia, puhas taaspaigaldus, kontrollsummad, tundmatud haldurid, PHP uploads-kaustas, mu-plugins, Search Console, andmelekke teatamine

Mis on häkkimine

Sait on häkitud, kui keegi on ilma loata saanud kontrolli (osa) sinu saidi üle: ta saab muuta faile või andmebaasi, või käivitada koodi. Sageli jääb ta sisenemiseks tagaukse kaudu: peidetud faili või koodijupi, mille abil ta saab hiljem tagasi tulla, isegi kui sa algse lekke sulged.

See viimane on selle õppetunni tuum: ainult nähtava kahju eemaldamisest ei piisa. Seni kuni tagauks on olemas või lekk, mille kaudu ta sisse pääses, on avatud, juhtub see uuesti. Sageli juba mõne päeva jooksul.

Äratundmine

Tunnused (mõned näed ise, mõnda pead otsima):

• Google teatab su saidi juures „See sait võib olla häkitud“ või Search Console teatab turvaprobleemist.
• Otsingutulemustes (site:example.com) on lehti, mida sa ei tunne, sageli mõnes teises keeles või seotud ravimite, hasartmängude või valepoodidega.
• Külastajaid suunatakse ümber, sageli ainult siis, kui nad tulevad Google'ist või kasutavad telefoni. Sina ei näe seda, sest oled sisse logitud või tuled järjehoidja kaudu. Testi privaatses aknas, otsingutulemuse kaudu.
• Kasutajate alt leiad halduri, keda sa ei tunne.
• Kaustas wp-content/uploads on PHP-faile, või juurkaustas või kaustas wp-content/mu-plugins on faile veidrate nimedega.
• Su majutaja või pahavaraskanner teatab nakatunud failidest; su kiri lükatakse tagasi või su pakett saadab rämpsposti.
• Sait on äkki aeglane või sinu salvestusruum saab otsa.

Tegevuskava

1. Jää rahulikuks ja dokumenteeri

Ära viska kohe kõike minema. Pane kirja, mida näed ja millest ajast peale, tee ekraanitõmmised ning tee koopia praegusest seisust (failid ja andmebaas, või lisavarukoopia oma majutaja kaudu). Seda koopiat on vaja sissepääsu leidmiseks ja tõendina. Ära pane seda veebikausta.

2. Peata kahju külastajatele

Lülita sait ajutiselt välja või pane hooldusleht, eriti kui külastajaid suunatakse pahavara või kalastuslehtedele. DirectAdminis saad domeeni peatada; mujal aitab parool kogu saidile või ajutine index.html teatega.

3. Vaheta kõik paroolid ja võtmed

Eelda, et sissetungija teab iga parooli, mis oli saidil või selle kaudu leitav. Vaheta, eelistatult teisest (puhtast) arvutist:

• oma majutuspaneeli ja kõigi FTP- ja SFTP-kontode parool (eemalda kontod, mida sa ei kasuta);
• andmebaasikasutaja parool, ja kohanda see failis wp-config.php;
• kõigi WordPressi haldurite paroolid, ja eemalda kontod, mida sa ei tunne;
• võtmed ja salt'id failis wp-config.php (õppetund 1.3). Nii aeguvad kõik sisselogimisküpsised, ka sissetungija omad;
• rakenduseparoolid (õppetund 3.3) ja ühenduste API-võtmed;
• e-posti paroolid, kui rämpsposti saadeti postkasti kaudu.

Lülita seejärel kõikjal sisse kaheastmeline autentimine (õppetund 7.3).

4. Leia sissepääs

Ilma sissepääsu teadmata ei saa olla kindel, et see on suletud. Kõige levinumad põhjused (õppetund 7.1) ja kust vaadata:

• Vananenud plugin või teema: millised komponendid olid ajast maas? Otsi nimed üles haavatavuste andmebaasist (õppetund 5.3).
• Lekkinud parool: vaata oma majutuspaneeli ja FTP sisselogimise ajalugu.
• Veebiserveri logid: otsi ajast, mil esimesed veidrad failid ilmusid, POST-päringuid tundmatutele failidele või pluginafailidele, sageli samast IP-aadressist.
• Failid kuupäeva järgi: sorteeri File Manageris või SFTP kaudu muutmiskuupäeva järgi. Failid, mis muutusid samal ajal, eriti väljaspool uuendust, väärivad tähelepanu.

5. Puhastamine

Kaks teed, sageli kombinatsioonis:

A. Puhta varukoopia taastamine enne häkkimist (õppetund 8.2). Vali varukoopia, mis on kindlasti enne esimesi tunnuseid, sest sissetungijad ootavad vahel nädalaid. Taasta täielikult, et ka lisatud failid kaoksid. Seejärel uuenda kohe kõike (muidu on lekk uuesti olemas). Puudus: kõik pärast varukoopiat (postitused, tellimused) on kadunud.

B. Puhas ülesehitamine olemasoleva sisuga:

1. Asenda WordPress ise värske koopiaga veebilehelt wordpress.org (wp-admin, wp-includes ja üksikud failid; mitte wp-content ja wp-config.php). WP-CLI abil saad kõigepealt vaadata, mis on muutunud:

wp core verify-checksums
wp plugin verify-checksums --all

Need võrdlevad su faile ametlike versioonidega ja teatavad igast muudetud või lisatud failist (teine ainult pluginatele, mis pärinevad wordpress.org pluginakaustast).

2. Eemalda kõik pluginad ja teemad ning paigalda need uuesti allikast, uusimas versioonis. Mida sul vaja ei ole, ei tule tagasi.
3. Kontrolli kausta wp-content/uploads PHP-failide ja muude mittemeedia-failide suhtes, ning kausta wp-content/mu-plugins.
4. Kontrolli faili .htaccess veidrate ümbersuunamisreeglite suhtes ja wp-config.php reeglite suhtes, mida sa ei tunne.
5. Kontrolli andmebaasi: tundmatud haldurid, valikud siteurl, home ja active_plugins tabelis wp_options, ning otsi postitustest sisestatud skripte (<script veidrate aadressidega).
6. Vaata planeeritud ülesandeid: cronitöid majutuspaneelis ja WP-Cron (pluginaga või käsuga wp cron event list).

Pahavaraskanner (majutajalt või pluginana) aitab leida, aga ära usalda seda pimesi: see, mida ta ei leia, võib ikka seal olla.

6. Sulge ja kontrolli

• Uuenda kõike, karasta (õppetund 7.4) ja lülita sait tagasi sisse.
• Kas su sait on Google'is märgitud ohtlikuks? Küsi Search Console'is turvaprobleemide alt uut hindamist, aga alles siis, kui kõik on puhas.
• Jälgi järgnevaid nädalaid: uued failid, uued haldurid, su skanneri teated. Kui see tuleb tagasi, pole sissepääs või tagauks veel leitud.

Isikuandmed: andmelekkest teatamine

Kui sissetungijad pääsesid ligi isikuandmetele (veebipoe kliendiandmed, vormide sisestused, liikmelistid, su saidi kasutajad), on tegemist andmelekkega isikuandmete kaitse üldmääruse (GDPR) tähenduses. Sellest tuleb 72 tunni jooksul pärast avastamist teatada Andmekaitse Inspektsioonile (AKI), kui just pole ebatõenäoline, et see kujutab riski asjaomastele inimestele (GDPR artikkel 33). Kui risk on suur, pead sa ka need inimesed ise teavitama (artikkel 34). Igal juhul dokumenteeri, mis juhtus ja mida sa tegid, isegi kui sa ei teata. Kahtluse korral vaata Andmekaitse Inspektsiooni veebilehte (õppetund 9.3).

Abi küsimine

Häkkimise puhastamine nõuab aega ja kogemust. Kui sa pole kindel, et oled kõik leidnud, küsi abi: oma veebilehe koostajalt, spetsialiseerunud ettevõttelt või oma majutajalt (mõned majutajad, sealhulgas WebOké, pakuvad seda teenust, tavaliselt tasu eest). Anna neile samm 1 koopia, mida sa nägid ja millal, ning mida sa juba tegid.

Kokkuvõte

• Häkkimine jätab sageli tagaukse; ainult nähtava kahju eemaldamisest ei piisa.
• Järjekord: dokumenteeri, kaitse külastajaid, vaheta kõik paroolid ja salt'id, leia sissepääs, puhasta, sulge ja kontrolli.
• Puhastamine õnnestub puhta varukoopiaga ammu enne häkkimist, või paigaldades WordPressi, pluginad ja teemad värskelt ning kontrollides kaustu uploads, mu-plugins, faili .htaccess ja andmebaasi.
• wp core verify-checksums näitab, millised WordPressi failid on muudetud.
• Kui tegemist oli isikuandmetega, teata andmelekkest 72 tunni jooksul andmekaitseasutusele, välja arvatud juhul, kui risk on ebatõenäoline.

Test (quiz)

Ülesanne

Ülesanne D7.5: Sinu hädaplaan häkkimise puhuks. Täida hädaplaan oma saidi jaoks, et sa ei peaks seda mõtlema hakkama siis, kui see juhtub: kus asuvad su varukoopiad ja kui kaugele tagasi need ulatuvad, kellel on millised paroolid ja kuidas sa need kõik vahetad (nimekiri), kust leiad oma majutuse logid, kellele helistad abi saamiseks, ja millised isikuandmed on su saidil (küsimuse jaoks, kas pead teatama andmelekkest). Tee seejärel harjutus: millised viis sammu teed esimese tunni jooksul, kui saad teate „See sait võib olla häkitud“, mis järjekorras ja miks just see järjekord?

Lisalugemist

Need artiklid kirjeldavad samme WebOké paneelides; teistes paneelides toimivad need sarnaselt.

• DirectAdmin juhend 18.2: Minu veebileht on häkitud: tegevuskava
• Appi! Mu sait on häkitud. Kuidas ma selle korda saan ja kuidas seda edaspidi vältida?
• DirectAdmin juhend 15.11: Imunify360: sinu veebilehe skannimine pahavara suhtes
• DirectAdmin juhend 17.2: Site summary & logs: veateade ja juurdepääsulogi
• DirectAdmin juhend 3.4: Login History: kes millal sisse logis?
• Andmelekked (Madalmaade andmekaitseasutus): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• KKK: mu sait on häkitud (wordpress.org, inglise keeles): https://wordpress.org/documentation/article/faq-my-site-was-hacked/