Checklista för sanering av skadlig kod i WordPress för företag

Vad det är

Sanering av skadlig kod är processen att identifiera och ta bort skadlig kod, obehörig åtkomst och mekanismer för beständighet från en WordPress-installation och dess hostingmiljö, och sedan återställa normal och tillförlitlig drift. Den berör fyra områden: filsystemet (kärna, teman, tillägg, uppladdningar och konfigurationsfiler), databasen (inställningar, inlägg, användare och eventuella egna tabeller), hostingkontot (FTP/SFTP-användare, cron-jobb, andra webbplatser på samma konto) och externa tjänster (DNS, CDN, e-post och sökmotorposter). Arbetet är klart först när intrångsvägen har identifierats så långt tillgängliga belägg medger och har stängts, annars är ny infektion sannolik.

Vem det är för

Checklistan är användbar för:

• Webbplatsägare som behöver förstå vad en ordentlig sanering innebär innan de beställer en
• Byråer som underhåller kundwebbplatser och vill ha en enhetlig saneringsstandard
• Team vars webbplats ”sanerades” tidigare men infekterades igen
• Chefer som behöver kontrollera att en leverantörs rapport täcker alla relevanta lager

Vad det hjälper till att klargöra

Att gå igenom checklistan hjälper till att klargöra:

• Vilka delar av installationen som kan ersättas med kända rena kopior och vilka som kräver manuell granskning
• Om mekanismer för beständighet, som dolda användare eller schemalagda uppgifter, har tagits bort
• Vilken den sannolika intrångsvägen var och om den har stängts
• Vilka härdningsåtgärder som bör följa för att minska risken för en upprepning

Vad ingår

• Förberedelse: ta en fullständig säkerhetskopia av nuvarande läge, låt tidigare säkerhetskopior vara orörda och notera datum och tid
• Kärnfiler: ersätt WordPress-kärnan med en ny kopia av samma version från den officiella källan och uppdatera sedan till aktuell version när webbplatsen är stabil
• Tillägg och teman: installera om från betrodda källor; ta bort allt som är oanvänt, övergivet eller hämtat från inofficiella källor
• Uppladdningsmappen: leta efter körbara filer där bara media ska finnas
• Konfiguration: granska wp-config.php och serverkonfigurationsfiler som .htaccess efter injicerade regler eller omdirigeringar
• Databas: sök i inställningar, inlägg och widgetar efter injicerade skript eller obekanta URL:er
• Användare: granska varje administratör och redaktör; ta bort okända konton och återställ lösenorden för de övriga
• Schemalagda uppgifter: kontrollera WordPress cron-händelser och cron-jobb hos hostingleverantören efter något obekant
• Inloggningsuppgifter: byt nycklar för hosting, databas, SFTP och API:er och generera nya säkerhetssalter för WordPress
• Intrångsväg: uppdatera eller ta bort den sårbara komponenten, åtgärda svag åtkomst och korrigera filbehörigheter
• Verifiering: skanna igen, kontrollera sidor både som inloggad och anonym besökare och begär granskning av eventuella varningar från sökmotorer eller webbläsare
• Härdning: aktivera MFA för administratörer, begränsa administratörsåtkomst, schemalägg uppdateringar och inför övervakning av filändringar

Vad som inte ingår

• Instruktioner på kommandonivå för borttagning av skadlig kod för outbildad personal som arbetar på en webbplats i drift
• Ett påstående om att en skanning utan träffar innebär att webbplatsen är ren
• Juridiska bedömningar om anmälan av incidenter eller ansvar
• Löpande övervakning efter saneringen, om det inte avtalats separat

När det passar att välja den

Använd checklistan efter de inledande begränsningsåtgärderna, när ni har en säkerhetskopia av nuvarande läge och kontroll över de viktigaste kontona. Den är också användbar som checklista för godkännande när en leverantör meddelar att en sanering är klar: fråga vilka punkter som täcktes och vad som hittades. Om kunders personuppgifter, betalningsuppgifter eller inloggningar kan ha exponerats, involvera den som ansvarar för dataskydd och juridiska skyldigheter. Den här artikeln är allmän information och inte juridisk rådgivning.

Vår strategi

Arbeta utifrån och in och från det kända och rena mot det okända. Ersätt det som kan ersättas med rena kopior och lägg sedan granskningstid på det som är unikt för er webbplats: egna teman, uppladdningar och databasinnehåll. Dokumentera varje ändring, eftersom dokumentationen hjälper till att förklara incidenten för intressenter och stöder senare beslut. Koppla inte tillbaka webbplatsen till normal trafik förrän verifieringen är klar, och planera härdningen som en del av arbetet snarare än i efterhand. Vår tjänst Incident Recovery omfattar begränsning, sanering av skadlig kod, bakdörrar och obehöriga användare, säker återställning och stängning av den identifierade intrångsvägen, med en skriftlig rapport och rekommendationer för härdning. När det akuta problemet är löst kan ett separat avgränsat uppdrag för härdning av webbplatsen omfatta bredare konfiguration, rutiner för uppdateringar och åtkomstkontroller. Spara saneringsrapporten tillsammans med webbplatsens dokumentation; den kommer att vara användbar om något liknande dyker upp igen.

Incident Recovery

Vanliga frågor

Relaterade artiklar