WordPress hacket? Dette gjør dere de første 24 timene

Hva det er

En kompromittering av WordPress betyr vanligvis at noen har fått mulighet til å endre filer, databasen eller brukerkontoer. Vanlige tegn er ukjente administratorbrukere, ukjente utvidelser eller filer, injisert JavaScript, spamsider indeksert av søkemotorer, videresendinger som bare rammer enkelte besøkende, utgående spam-e-post eller advarsler fra en nettleser eller søkemotor. Hyppige inngangspunkter er utdaterte eller forlatte utvidelser og temaer, gjenbrukte eller svake passord, kompromitterte innloggingsdetaljer for drift eller FTP, og usikre filtillatelser. De første 24 timene handler om å bekrefte hva som skjer, begrense ytterligere skade, føre en oversikt og forberede en ordentlig opprydding. Den detaljerte oppryddingen fil for fil følger som et eget steg.

Hvem det er for

Denne sjekklisten er for:

• Bedriftseiere og markedsføringsteam som forvalter et WordPress-nettsted uten et eget sikkerhetsteam
• Byråer som støtter et kundenettsted som nettopp er rapportert som kompromittert
• Intern IT-personell som har mottatt varsel om stengning fra driftsleverandøren eller en advarsel i nettleseren
• Alle som må orientere en leverandør tydelig før oppryddingen starter

Hva det hjelper med å klarlegge

Å følge sjekklisten bidrar til å avklare:

• Om nettstedet faktisk er kompromittert, eller om det skyldes en feil i konfigurasjon eller en utvidelse
• Hva som er endret, når, og hvilke kontoer som kan være involvert
• Hvem som eier drift, domene, DNS og sikkerhetskopier, og hvem som kan godkjenne endringer
• Om kundedata eller betalingsflyt kan være berørt og trenger egen oppmerksomhet

Hva er inkludert

• Time 0-2: skriv ned hva som ble oppdaget, når og av hvem; ta skjermbilder av advarsler, videresendinger og ukjente sider
• Time 0-2: finn ut hvem som kontrollerer drift, domeneregistrar, DNS, CDN og WordPress-administrasjonen
• Time 1-4: ta en full kopi av filer og database slik de er nå, og lagre den separat; ikke overskriv eldre sikkerhetskopier
• Time 1-4: vurder å sette nettstedet i vedlikeholdsmodus eller be driftsleverandøren om å begrense tilgangen hvis besøkende blir skadelidende
• Time 2-6: fra en ren enhet, endre passord for drift, FTP/SFTP, database og WordPress-administratorer; aktiver MFA der det er tilgjengelig
• Time 2-6: gjennomgå WordPress-brukere og fjern eller deaktiver kontoer dere ikke kjenner igjen, og noter hva dere fjernet
• Time 4-12: samle inn tilgjengelige tilgangslogger fra serveren og sikkerhetsvarsler fra driftsleverandøren
• Time 6-24: orienter en kvalifisert leverandør med notatene, loggene og sikkerhetskopien, og avtal et omfang for oppryddingen

Hva er ikke inkludert

• Kommandoer for fjerning av skadevare eller instruksjoner om å redigere kjernefiler uten sikkerhetskopi
• Juridisk rådgivning om hvorvidt varsling om brudd på datasikkerheten kreves
• En påstand om at det å endre passord alene løser kompromitteringen
• Råd om å kontakte eller gjengjelde mot angriperen

Når skal den velges

Bruk denne sjekklisten så snart dere mistenker en kompromittering, før dere begynner å slette filer eller gjenopprette sikkerhetskopier. Hvis nettstedet behandler betalinger eller lagrer kunders personopplysninger, involver den som er ansvarlig for personvern og juridiske forpliktelser tidlig; varslingsplikter avhenger av fakta og jurisdiksjon, og denne artikkelen er ikke juridisk rådgivning. Hvis driftsleverandøren har stengt kontoen, spør hva de trenger fra dere for å gjenopprette tilgangen, og om de har logger dere kan bruke.

Vår tilnærming

Prioriter inndemming og dokumentasjon framfor rask visuell opprydding. Et nettsted som ser normalt ut igjen, kan fortsatt inneholde en bakdør som lar angriperen komme tilbake i løpet av få dager. Å gjenopprette en gammel sikkerhetskopi uten å lukke inngangspunktet fører ofte til ny infeksjon. Når de første stegene er fullført, bør oppryddingen dekke filer, database, brukere, planlagte oppgaver og serverkonfigurasjonen, etterfulgt av lukking av inngangspunktet og herding. Tjenesten vår Incident Recovery gir en innledende gjennomgang og klassifisering av et avtalt problem med et nettsted eller WordPress, praktisk inndemming, opprydding av ondsinnet kode, bakdører og uautoriserte brukere, sikker gjenoppretting, lukking av det identifiserte inngangspunktet og en skriftlig rapport med anbefalinger for herding. Det er arbeid med definert omfang for det bekreftede nettstedet, og juridiske vurderinger håndteres av deres juridiske rådgiver. Uansett hvem som hjelper dere, be dem forklare hva de fant og endret, og oppbevar rapporten sammen med notatene deres.

Incident Recovery

Ofte stilte spørsmål

Beslektede artikler