เมื่อเว็บไซต์หรือเว็บไซต์ WordPress ถูกแฮก สิ่งที่ต้องการเร่งด่วนคือการตอบสนองอย่างมีการควบคุมภายในขอบเขตที่ยืนยันแล้ว ได้แก่ ทำความเข้าใจว่าเกิดอะไรขึ้น หยุดไม่ให้ลุกลาม กำจัดสิ่งที่ผู้โจมตีทิ้งไว้ และนำเว็บไซต์กลับมาอย่างปลอดภัย Incident Recovery Sprint คืองานลงมือปฏิบัติจริงที่มีการยืนยันขอบเขต สำหรับสถานการณ์นั้น ภายในเว็บไซต์และการเข้าถึงที่ตกลงกัน BilgeQor จะทบทวนและจัดประเภทปัญหา ควบคุมสถานการณ์ ล้างโค้ดที่เป็นอันตราย backdoor และผู้ใช้ที่ไม่ได้รับอนุญาต กู้คืนเว็บไซต์อย่างปลอดภัย ปิดช่องทางเข้าที่ระบุได้ และบันทึกงานเป็นลายลักษณ์อักษร เวลาเริ่มงานจะยืนยันหลังการรับเรื่อง
คืออะไร
sprint นี้เริ่มจากการรับเรื่องตามลำดับความสำคัญ ซึ่งยืนยันปัญหาที่แจ้ง เว็บไซต์ที่ได้รับผลกระทบ การเข้าถึงที่คุณอนุญาตได้ และช่วงเวลาที่เปลี่ยนแปลง production ได้ จากนั้นทีมจะทบทวน log สัญญาณ และหลักฐานจากเว็บไซต์ที่มี จัดประเภทสิ่งที่มองเห็นได้ และควบคุมสถานการณ์ของเว็บไซต์ที่ได้รับผลกระทบภายในการเข้าถึงที่ยืนยันแล้ว การล้างครอบคลุมโค้ดที่เป็นอันตราย backdoor และบัญชีผู้ใช้ที่ไม่ได้รับอนุญาต จากนั้นเว็บไซต์จะได้รับการกู้คืนอย่างปลอดภัย และช่องทางเข้าที่ระบุได้ในการทบทวนจะถูกปิด คุณจะได้รับรายงานเป็นลายลักษณ์อักษรพร้อมข้อเสนอแนะด้านการเสริมความแข็งแกร่ง ขึ้นอยู่กับระดับแพ็กเกจ อาจรวมการอธิบายข้อค้นพบแบบสด หรือการทบทวนเพื่อยืนยันผลหนึ่งครั้งหลังดำเนินการตามที่ตกลงกัน งานนี้มุ่งเน้นการกู้คืนภายในขอบเขตที่ตกลงกัน ส่วนรายงานการวิเคราะห์หลักฐานดิจิทัล การวินิจฉัยทางกฎหมายว่ามีการละเมิดข้อมูล การแจ้งอย่างเป็นทางการ และการติดตามอย่างต่อเนื่อง ดำเนินการโดยผู้เชี่ยวชาญที่เหมาะสม
เหมาะสำหรับใคร
งานนี้มีประโยชน์สำหรับทีมที่:
- มีเว็บไซต์หรือเว็บไซต์ WordPress ที่ถูกแฮก และต้องการการล้างและกู้คืนอย่างปลอดภัยแบบลงมือปฏิบัติจริง
- พบเนื้อหาแปลกปลอม การเปลี่ยนเส้นทาง หน้าสแปม หรือบัญชีผู้ดูแลระบบที่ไม่รู้จักบนเว็บไซต์ของตน
- ถูกผู้ให้บริการโฮสติ้งปิดเว็บไซต์หลังถูกเจาะระบบ
- สามารถอนุญาตการเข้าถึงเว็บไซต์และโฮสติ้งที่ได้รับผลกระทบ และระบุผู้มีอำนาจตัดสินใจเรื่องการเปลี่ยนแปลงได้
ช่วยให้เข้าใจเรื่องใด
sprint ช่วยให้ทีมเข้าใจว่า:
- สิ่งใดมองเห็นได้จากปัญหาที่แจ้งและหลักฐานที่มี และสิ่งใดยังไม่ได้รับการยืนยัน
- โค้ดที่เป็นอันตราย backdoor ผู้ใช้ที่ไม่ได้รับอนุญาต และช่องทางเข้าใดที่พบและได้รับการจัดการภายในขอบเขต
- ขั้นตอนการเสริมความแข็งแกร่งใดควรทำต่อ เพื่อลดโอกาสที่จะถูกเจาะซ้ำ
- มีความต้องการแยกต่างหากด้านการวิเคราะห์หลักฐานดิจิทัล กฎหมาย การแจ้ง การติดตาม หรืองานความปลอดภัยในวงกว้างหรือไม่
สิ่งที่รวมอยู่
- การรับเรื่องตามลำดับความสำคัญ ครอบคลุมปัญหาที่แจ้ง เว็บไซต์ที่ได้รับผลกระทบ การเข้าถึงที่ได้รับอนุญาต และช่วงเวลาเปลี่ยนแปลง production
- การทบทวนเบื้องต้นและการจัดประเภทปัญหา รวมถึง log และสัญญาณที่มี ตามที่ระดับแพ็กเกจกำหนด
- การควบคุมสถานการณ์ของเว็บไซต์ที่ได้รับผลกระทบแบบลงมือปฏิบัติจริง ภายในการเข้าถึงที่ยืนยันแล้ว
- การล้างโค้ดที่เป็นอันตราย backdoor และผู้ใช้ที่ไม่ได้รับอนุญาต
- การกู้คืนอย่างปลอดภัยและการปิดช่องทางเข้าที่ระบุได้
- รายงานเป็นลายลักษณ์อักษรพร้อมข้อเสนอแนะด้านการเสริมความแข็งแกร่ง และการอธิบายแบบสดหรือการทบทวนเพื่อยืนยันผล ตามที่ระดับแพ็กเกจกำหนด
สิ่งที่ไม่รวมอยู่
- การตอบสนองเหตุการณ์ตลอดเวลา สัญญาจ้างตอบสนองเหตุฉุกเฉินแบบเตรียมพร้อม เวลาตอบสนองที่ตายตัว หรือการติดตามแบบสดโดย SOC/MDR
- งานลงมือปฏิบัติบนเว็บไซต์ บัญชี หรือเซิร์ฟเวอร์ที่ไม่ได้ยืนยันไว้ในขอบเขตเป็นลายลักษณ์อักษร
- การวิเคราะห์หลักฐานดิจิทัล รายงานการวิเคราะห์หลักฐาน งานห่วงโซ่การดูแลหลักฐานระดับที่ใช้ทางกฎหมาย การวินิจฉัยว่ามีการละเมิดข้อมูล การแจ้งหน่วยงานกำกับดูแล หรือคำแนะนำทางกฎหมาย
- สัญญาว่าจะล้างได้หมดหรือกำจัดร่องรอยที่เป็นไปได้ทุกอย่าง
- การทดสอบเจาะระบบ Red Team Exercise หรือ Threat Hunting เว้นแต่จะกำหนดขอบเขตแยกต่างหาก
เมื่อใดควรเลือกใช้
เลือกบริการนี้เมื่อเว็บไซต์หรือเว็บไซต์ WordPress แสดงสัญญาณของการถูกเจาะระบบ เช่น เนื้อหาที่ไม่คาดคิด การเปลี่ยนเส้นทาง สแปม ผู้ใช้ที่ไม่รู้จัก การถูกระงับโฮสติ้ง หรือการสูญเสียบัญชีผู้ดูแลระบบ และคุณต้องการให้ล้างและกู้คืนเว็บไซต์ภายในขอบเขตที่กำหนด บริการนี้ได้ผลดีเป็นพิเศษเมื่อคุณอนุญาตการเข้าถึงเว็บไซต์และโฮสติ้งที่ได้รับผลกระทบได้ ระบุผู้มีอำนาจตัดสินใจได้ และตกลงช่วงเวลาเปลี่ยนแปลง production ได้ หากข้อกังวลครอบคลุมโครงสร้างพื้นฐานที่กว้างขึ้น ระบบภายใน หรือการสอบสวนที่อยู่ภายใต้การกำกับดูแล อาจต้องมีขอบเขตแยก หรือผู้ให้บริการเฉพาะทางด้านการตอบสนอง การวิเคราะห์หลักฐานดิจิทัล หรือกฎหมาย ควบคู่หรือแทน sprint นี้
แนวทางของเรา
เราเริ่มจากการยืนยันเว็บไซต์ การเข้าถึง และช่วงเวลาเปลี่ยนแปลงเป็นลายลักษณ์อักษร เพื่อให้งานลงมือปฏิบัติอยู่ภายในขอบเขตที่ตกลงกัน เราทบทวนหลักฐานที่มีและจัดประเภทสิ่งที่มองเห็นได้ก่อนทำการเปลี่ยนแปลง การควบคุมสถานการณ์มาก่อน ตามด้วยการกำจัดโค้ดที่เป็นอันตราย backdoor และผู้ใช้ที่ไม่ได้รับอนุญาต จากนั้นเรากู้คืนเว็บไซต์อย่างปลอดภัยและปิดช่องทางเข้าที่ระบุได้ในการทบทวน ทุกการดำเนินการจะถูกบันทึก และรายงานเป็นลายลักษณ์อักษรจะแยกสิ่งที่พบ สิ่งที่เปลี่ยนแปลง สิ่งที่ยังไม่แน่นอน และขั้นตอนการเสริมความแข็งแกร่งที่เราแนะนำต่อไป เมื่อคำถามใดอยู่นอกขอบเขต เช่น เซิร์ฟเวอร์อื่น ความต้องการด้านการวิเคราะห์หลักฐานดิจิทัล หรือภาระผูกพันด้านกฎหมายหรือการแจ้ง เราจะแจ้งอย่างตรงไปตรงมาและชี้ไปยังขั้นตอนถัดไปที่เหมาะสม เมื่อระดับแพ็กเกจรวมไว้ การทบทวนเพื่อยืนยันผลจะตรวจสอบการดำเนินการที่ตกลงกันหลังการส่งมอบงาน
คำถามที่พบบ่อย
บทความที่เกี่ยวข้อง
เริ่มต้นใช้งาน
เว็บไซต์ถูกแฮกใช่ไหม เริ่มต้นด้วยการกู้คืนที่ยืนยันขอบเขตแล้ว
บอกเราว่าคุณพบอะไร และคุณอนุญาตให้เข้าถึงเว็บไซต์และระบบใดได้ เราจะยืนยันขอบเขต ช่วงเวลาเปลี่ยนแปลง และระดับแพ็กเกจก่อนเริ่มงานใด ๆ
ขอหารือเรื่องการกู้คืนจากเหตุการณ์