Najpierw ustal, co się dzieje
Podejrzenie włamania może zacząć się od zgłoszenia czytelnika, nieznanej podstrony, przekierowania na inną witrynę albo konta administratora, którego nikt nie rozpoznaje. Pojedynczy objaw nie zawsze oznacza atak: zmiana wyglądu może też wynikać z błędnej aktualizacji. Nie ignoruj jednak sygnału. Zapisz, co zauważono, o jakiej porze, na jakim adresie strony i na jakim urządzeniu. Jeśli zgłoszenie pochodzi od innej osoby, poproś ją o opis lub zrzut ekranu, ale nie o ponowne otwieranie podejrzanych odnośników.
Sprawdź stronę tylko w zakresie potrzebnym do oceny sytuacji. Nie klikaj podejrzanych przycisków, nie pobieraj nieznanych plików i nie testuj formularzy, które mogą wysyłać dane. Zanotuj, czy problem dotyczy całej witryny, wybranej podstrony czy panelu zarządzania. Taka krótka oś zdarzeń pomoże później odróżnić pierwsze objawy od zmian wprowadzonych podczas naprawy.
Ogranicz szkody, ale nie kasuj wszystkiego
Gdy strona przekierowuje odwiedzających, wyświetla niechciane treści lub może zbierać dane w niezamierzony sposób, priorytetem jest ograniczenie jej działania. W zależności od dostępnych narzędzi można czasowo zablokować publiczny dostęp, włączyć prostą stronę informacyjną albo poprosić firmę hostingową o odizolowanie witryny. Wybierz rozwiązanie, które powstrzyma problem, nie usuwając od razu plików, bazy danych i dzienników zdarzeń. Jeśli nie wiesz, jak je wdrożyć, skontaktuj się z obsługą hostingu.
Nie instaluj na ślepo kolejnych wtyczek naprawczych i nie przywracaj od razu kopii zapasowej. Takie działania mogą nadpisać informacje potrzebne do ustalenia, co się stało, a kopia może już zawierać problem. Zanotuj każdą wykonaną zmianę wraz z godziną i osobą, która ją wprowadziła. Nawet prosta lista działań ułatwi później ocenę, czy podejrzany plik istniał wcześniej, czy powstał podczas interwencji.
Zachowaj materiały, które pomogą wyjaśnić przyczynę
Jeśli masz taką możliwość, przed naprawą wykonaj kopię obecnego stanu plików i bazy danych oraz pobierz dostępne dzienniki serwera i panelu. Zapisz je w miejscu niedostępnym publicznie. Nie edytuj zachowanych kopii; do oględzin przygotuj ich osobne wersje. Warto też zachować listę kont użytkowników, aktywnych dodatków oraz informację o ostatnich aktualizacjach. Zakres dostępnych danych zależy od hostingu i systemu strony, więc brak któregoś elementu nie powinien opóźniać pilnego ograniczenia szkód.
Jeżeli witrynę prowadzi kilka osób, wyznacz jedną osobę do zbierania ustaleń. Poproś współpracowników, by nie usuwali wiadomości z ostrzeżeniami i nie wprowadzali równocześnie niezapisanych zmian. Przy poważniejszym incydencie wsparcie administratora lub hostingu może być potrzebne do zabezpieczenia danych, których właściciel strony nie widzi w swoim panelu.
Zabezpiecz dostęp z zaufanego urządzenia
Po zachowaniu dostępnych śladów sprawdź konta z dostępem do strony, hostingu, domeny i poczty używanej do odzyskiwania haseł. Korzystając z urządzenia, któremu ufasz, zmień hasła i włącz uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne. Usuń nieznane konta lub odbierz im uprawnienia, a nieużywane dostępy współpracowników wyłącz. Zwróć uwagę na klucze dostępu i aktywne sesje, jeśli dane usługi pozwalają nimi zarządzać.
Sama zmiana hasła do panelu strony może nie wystarczyć, jeśli ktoś nadal ma dostęp do hostingu albo skrzynki pocztowej. Z drugiej strony nie usuwaj pochopnie kont, których przeznaczenia nie znasz: najpierw zapisz ich nazwy i uprawnienia, a w razie wątpliwości zapytaj osobę odpowiedzialną za utrzymanie witryny. Celem jest odebranie nieuprawnionego dostępu bez utraty informacji przydatnych do wyjaśnienia zdarzenia.
Przywracaj stronę dopiero z planem kontroli
Przed ponownym udostępnieniem witryny ustal możliwą drogę wejścia: mogło nią być przejęte konto, podatny dodatek albo błędna konfiguracja. Przejrzyj pliki i ustawienia z pomocą osoby technicznej, jeśli samodzielna ocena wykracza poza Twoje umiejętności. Przywracaj stronę z kopii, której stan można rozsądnie uznać za czysty, albo odtwórz ją z zaufanych składników. Następnie zaktualizuj system i dodatki, usuń nieużywane elementy oraz sprawdź uprawnienia użytkowników.
Po uruchomieniu przetestuj najważniejsze podstrony, formularze i przekierowania. Przez pewien czas zwracaj uwagę na powracające objawy oraz komunikaty z hostingu. Jeśli strona przetwarza dane klientów, ustal z właściwymi osobami, czy potrzebne są dodatkowe działania związane z incydentem. Na koniec zapisz wnioski: kto otrzymuje zgłoszenia, gdzie znajdują się kopie zapasowe i jak szybko można ograniczyć dostęp do strony. Taki plan ułatwia spokojniejszą reakcję następnym razem.
