Сайт взломали? Что делать в первые 24 часа после взлома
Сайт взломали? Сохраняйте спокойствие. Признаки, первые 24 часа по шагам, очистка, предупреждения поисковых систем и меры защиты на будущее.
Команда rabbitclipПубликация: 6 мин чтения
Коротко
Если вы подозреваете, что ваш сайт взломали, сохраняйте спокойствие и строго придерживайтесь определенной последовательности действий: при необходимости уберите сайт из публичного доступа, сохраните копию его нынешнего состояния и всех журналов, ничего при этом не удаляя, смените пароли от хостинга, панели администратора, базы данных и почты с чистого устройства, сообщите хостинг-компании и только потом восстановите сайт из чистой резервной копии или поручите очистку специалисту. Если в спешке все удалить, вы сотрете следы, которые показывают, как именно злоумышленник попал внутрь, и тем самым пригласите тот же самый взлом повториться снова через ту же брешь.
Взлом не всегда выглядит как изуродованная главная страница. Часто он протекает тихо: добавляются скрытые ссылки, посетителей перенаправляют на другой адрес или сервер используют для рассылки спама. Знать эти признаки значит выполнить уже половину первого шага.
Ниже вы найдете признаки, а также то, что нужно делать в первые 24 часа и в каком порядке, как проходит очистка, как поступить с предупреждением поисковой системы и какие меры защиты понадобятся после этого.
Как понять, что мой сайт взломали?
Очевидный признак это измененная страница или сообщение с требованием выкупа. Однако гораздо чаще встречаются тихие, малозаметные признаки. Если ваш заголовок появляется в результатах поиска вместе с чужим содержимым, которое вы не писали, если посетителей с телефонов перебрасывает на другой сайт или если браузер сообщает, что сайт может быть опасным, ситуация серьезная.
Существуют и другие признаки: незнакомый пользователь в панели администратора, плагин, который вы никогда не устанавливали, предупреждение о ресурсах или уведомление о спаме от хостинг-компании, клиенты, которые говорят, что получили письма, которых вы не отправляли. Один признак еще не доказательство, но если несколько признаков появляются вместе, исходите из худшего и действуйте с осторожностью.
- Заголовки или описания в результатах поиска, которые вы не писали
- Посетителей перенаправляет на другой сайт
- Предупреждение об опасном сайте от браузера или поисковой системы
- Незнакомый пользователь или плагин в панели администратора
- Сервер неожиданно замедлился или пришло предупреждение от хостинг-компании
Что делать в первые 24 часа и в каком порядке?
Цель состоит в том, чтобы сначала остановить ущерб, затем защитить доказательства, а уже потом вернуть себе контроль над сайтом. Если закрыть сайт страницей техобслуживания, посетители перестанут подвергаться воздействию вредоносного кода. Затем, ничего не меняя, скопируйте нынешнее состояние файлов и базы данных в отдельное место и сохраните также журналы доступа сервера. Выяснить, каким образом злоумышленник проник внутрь, можно только по этим журналам.
Далее смените пароли, но с чистого устройства. Атака могла начаться с вашего собственного компьютера, поэтому проверьте на вредоносные программы и его тоже. Выбирайте значения, которые невозможно угадать, свое для каждой учетной записи; в этом может помочь генератор паролей на нашем сайте. Наконец, напишите своей хостинг-компании; она может проверить, не пострадали ли от этой же атаки другие аккаунты на том же сервере.
- Закрыть сайт на время временной страницей техобслуживания
- Сохранить в том виде, как они есть, копию файлов, базы данных и журналов доступа
- Сменить пароли от хостинга, панели администратора, базы данных, FTP и почты с чистого устройства
- Записать всех незнакомых администраторов и плагины и отключить их
- Сообщить хостинг-компании
- Проверить собственный компьютер на вредоносные программы
Достаточно ли восстановить резервную копию и как проходит очистка?
Резервная копия помогает только в том случае, если она была сделана до взлома, а не после него. Если вредоносный код поселился несколько месяцев назад, то сама копия заражена, поэтому до восстановления вы должны знать, какая копия чистая. Но и одного лишь восстановления тоже недостаточно: если брешь, которой воспользовался злоумышленник, остается открытой, он вернется тем же путем.
Правильная очистка идет в таком порядке: содержимое переносится на чистую резервную копию или на свежую установку программного обеспечения, обновляются программа, тема оформления и плагины, неиспользуемые удаляются, учетные записи администраторов проверяются, и только после этого вы снова открываете сайт. Если на каком-то из этих этапов вы не уверены, безопаснее сначала проверить копию в другом месте, а затем уже выпускать ее в работу.
Как снять предупреждение поисковой системы или браузера?
После очистки сайта предупреждение может не исчезнуть само. Инструменты вебмастера поисковых систем сообщают вам, когда обнаружена проблема безопасности, и после ее устранения нужно запросить повторную проверку. Запрос подается вместе с краткими пояснениями о том, в чем состояла проблема и каким образом вы ее исправили. Сроки проверки различаются, поэтому никакие сроки обещать нельзя.
Тем временем наведите порядок и уберите чужие страницы, оставшиеся в результатах поиска: адреса, которых вы не создавали, должны исчезнуть, а карта сайта должна быть чистой. После того как вредоносные страницы удалены, требуется некоторое время, чтобы они перестали появляться в поиске.
Какие ошибки чаще всего совершают в панике?
Первая: удалить все, не сделав копию, из-за чего окончательно теряется след злоумышленника. Вторая: починить только главную страницу и оставить черный ход, из-за чего злоумышленник возвращается через неделю. Третья: менять пароли с того же компьютера, который сам может быть скомпрометирован.
Четвертая: скрывать инцидент. Если могли пострадать данные клиентов, может возникнуть обязанность уведомить об этом; это юридический вопрос, и вам следует обратиться к юристу. На сайте, где хранятся персональные данные, учитывайте это обстоятельство с самого первого дня.
- Удаление до копирования
- Исправление видимого симптома без закрытия бреши
- Смена паролей с возможно скомпрометированного устройства
- Отсутствие оценки с юристом возможности утечки данных клиентов
Когда очищать сайт самостоятельно будет неверным решением?
На небольшом сайте с единственной установкой и чистой резервной копией эта задача часто вполне выполнима. Но на сайте с данными клиентов, платежным процессом или системой участников, а также если вы не можете найти, где находится вредоносный код, заниматься этим в одиночку рискованно. Плохая очистка оставляет остатки вредоносного кода, и тот же инцидент повторяется снова.
В таких случаях обратитесь в службу безопасности вашей хостинг-компании или к команде, создавшей сайт. Найти путь, которым воспользовался злоумышленник, такая же часть работы, как и сама очистка. Любое исправление, сделанное до того, как этот путь найден, остается лишь временным.
Какие меры защиты не дадут этому повториться?
Меры защиты скучны и неброски, но эффективны. Держите программное обеспечение, темы и плагины обновленными и удаляйте те, которыми вы не пользуетесь. Используйте надежные уникальные пароли и двухэтапную проверку для учетных записей администраторов, а также давайте каждому человеку только тот доступ, который ему нужен. Храните резервные копии вне сервера, в отдельном месте, и делайте их регулярно.
Помогает и то, чтобы время от времени проверять сайт снаружи с помощью сканирования. Заголовки безопасности и слой межсетевого экрана сужают поверхность атаки. Ни одна из этих мер не дает нулевого риска; цель в том, чтобы затруднить атаку и быстро восстановиться, если она все же произошла.
- Регулярные обновления и удаление неиспользуемых плагинов
- Надежные уникальные пароли и двухэтапная проверка
- Минимальные привилегии: каждый получает только тот доступ, который ему нужен
- Регулярные проверенные резервные копии, хранящиеся вне сервера
- Межсетевой экран и заголовки безопасности
Правило первых 24 часов после взлома простое: остановить, сохранить, сменить пароли, сообщить, вернуться с чистой копии и закрыть брешь. Поспешная очистка почти всегда оставляет брешь открытой. Следующий шаг: наладить регулярные обновления и процесс резервного копирования вне сервера. Если вы хотите, чтобы мы вместе с вами посмотрели на безопасность вашего сайта, мы будем рады побеседовать на ознакомительном звонке с rabbitclip.
Частые вопросы
Нужно ли сразу отключать сайт, если его взломали?
Если посетители подвергаются воздействию вредоносного кода или перенаправлениям, временная страница техобслуживания вполне разумна. Но не удаляйте файлы, пока не сделали копию.
Очистит ли сайт за меня хостинг-компания?
Это зависит и от самой компании, и от вашего тарифа. Одни предлагают поддержку или платную услугу, другие смотрят только серверную сторону. Спросите письменно, что они сделают, а что нет.
Я очистил сайт, но предупреждение все еще в результатах поиска. Что теперь?
Сообщите в инструментах поисковой системы для владельцев сайтов, что проблема безопасности устранена, и запросите повторную проверку. Точный срок удаления обещать нельзя.
Что если данные клиентов были похищены?
Может существовать обязанность уведомить о персональных данных; это юридический вопрос, поэтому сразу обратитесь к юристу. Разумно также посоветовать затронутым пользователям сменить свои пароли.
Если у меня есть резервная копия, взлом улажен?
Нет. Резервная копия лишь возвращает на место содержимое сайта. Если брешь, которой воспользовался злоумышленник, остается открытой, сайт могут захватить снова, поэтому нужны и обновления, и смена паролей.
