Hacket: gjenkjenne, gjenopprette og forebygge

Modul 7: Sikkerhet · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du gjenkjenne et hackerangrep, gjenopprette i riktig rekkefølge og forhindre at det skjer igjen.

Nøkkelbegreper: tegn på et hackerangrep, dokumentere, isolere, erstatte alle passord og salts, finne inngangen, loggfiler, ren sikkerhetskopi, ren ominstallasjon, kontrollsummer, ukjente administratorer, PHP i uploads, mu-plugins, Search Console, melde datainnbrudd

Hva et hackerangrep er

Et nettsted er hacket hvis noen uten tillatelse har fått kontroll over (en del av) nettstedet ditt: de kan endre filer eller databasen, eller kjøre kode. Ofte forblir de tilstede via en bakdør: en skjult fil eller kodesnutt som lar dem komme tilbake senere, selv om du tetter det opprinnelige sikkerhetshullet.

Det siste er kjernen i denne leksjonen: det er ikke nok å bare fjerne den synlige skaden. Så lenge bakdøren finnes, eller sikkerhetshullet de kom inn gjennom er åpent, skjer det igjen. Ofte innen få dager.

Gjenkjenne

Tegn (noen ser du, noen må du lete etter):

• Google melder på nettstedet ditt "Dette nettstedet kan ha blitt hacket", eller Search Console melder et sikkerhetsproblem.
• I søkeresultatene (site:example.com) ligger sider du ikke kjenner igjen, ofte på et annet språk eller om medisiner, gambling eller falske nettbutikker.
• Besøkende blir videresendt, ofte bare hvis de kommer via Google eller på en telefon. Du ser det ikke selv, fordi du er innlogget eller kommer inn via et bokmerke. Test i et privat vindu via et søkeresultat.
• Under Brukere står det en administrator du ikke kjenner.
• Det ligger PHP-filer i wp-content/uploads, eller filer med rare navn i rotmappen eller i wp-content/mu-plugins.
• Webhotellet ditt eller en skadevareskanner melder infiserte filer; e-posten din blir avvist eller pakken din sender spam.
• Nettstedet er plutselig tregt eller lagringsplassen din fylles opp.

Trinn-for-trinn-planen

1. Hold deg rolig og dokumenter

Ikke kast alt med det samme. Noter hva du ser og siden når, ta skjermbilder, og lag en kopi av gjeldende tilstand (filer og database, eller en ekstra sikkerhetskopi via webhotellet ditt). Den kopien trenger du for å finne inngangen, og som bevis. Ikke plasser den i webmappen.

2. Stopp skaden for besøkende

Slå nettstedet midlertidig av eller sett det bak en vedlikeholdsside, spesielt hvis besøkende blir videresendt til skadevare eller phishing. I DirectAdmin kan du suspendere domenet; andre steder kan et passord på hele nettstedet eller en midlertidig index.html med en melding hjelpe.

3. Erstatt alle passord og nøkler

Anta at inntrengeren kjenner til hvert passord som kunne finnes på eller via nettstedet. Erstatt dem, helst fra en annen (ren) datamaskin:

• passordet til kontrollpanelet ditt og til alle FTP- og SFTP-kontoer (fjern kontoer du ikke bruker);
• passordet til databasebrukeren, og oppdater det i wp-config.php;
• passordene til alle WordPress-administratorer, og fjern kontoer du ikke kjenner igjen;
• nøklene og saltene i wp-config.php (leksjon 1.3). Dermed blir alle innloggingsinformasjonskapsler ugyldige, også inntrengerens;
• applikasjonspassord (leksjon 3.3) og API-nøkler til integrasjoner;
• e-postpassord, hvis det ble sendt spam via en postboks.

Slå deretter på tofaktorautentisering overalt (leksjon 7.3).

4. Finn inngangen

Uten å kjenne inngangen kan du ikke være sikker på at den er tettet. De vanligste årsakene (leksjon 7.1), og hvor du bør lete:

• En utdatert utvidelse eller tema: hvilke komponenter lå etter? Søk opp navnene i en sårbarhetsdatabase (leksjon 5.3).
• Et lekket passord: sjekk innloggingshistorikken til kontrollpanelet ditt og FTP.
• Loggfilene til webserveren: søk rundt tidspunktet da de første rare filene dukket opp, etter POST-forespørsler til ukjente filer eller til utvidelsesfiler, ofte fra samme IP-adresse.
• Filer etter dato: sorter i File Manager eller via SFTP etter endringsdato. Filer som ble endret samtidig, spesielt utenom en oppdatering, fortjener oppmerksomhet.

5. Rydd opp

To veier, og ofte en kombinasjon:

A. Gjenopprett en ren sikkerhetskopi fra før hackerangrepet (leksjon 8.2). Velg en sikkerhetskopi fra god tid før de første tegnene, for inntrengere venter noen ganger i uker. Gjenopprett fullstendig, slik at også tillagte filer forsvinner. Oppdater deretter alt umiddelbart (ellers er sikkerhetshullet der igjen). Ulempe: alt etter sikkerhetskopien (innlegg, bestillinger) er borte.

B. Bygg opp igjen rent med det eksisterende innholdet:

1. Erstatt selve WordPress med en fersk kopi fra wordpress.org (wp-admin, wp-includes og de enkeltstående filene; ikke wp-content og wp-config.php). Med WP-CLI kan du først sjekke hva som er endret:

wp core verify-checksums
wp plugin verify-checksums --all

Disse sammenligner filene dine med de offisielle versjonene og melder hver endrede eller ekstra fil (den andre bare for utvidelser fra utvidelsesmappen på wordpress.org).

2. Fjern alle utvidelser og temaer og installer dem på nytt fra kilden, i nyeste versjon. Det du ikke trenger, kommer ikke tilbake.
3. Kontroller wp-content/uploads for PHP-filer og andre filer som ikke er mediefiler, og wp-content/mu-plugins.
4. Kontroller .htaccess for rare videresendingsregler, og wp-config.php for regler du ikke kjenner igjen.
5. Kontroller databasen: ukjente administratorer, innstillingene siteurl, home og active_plugins i wp_options, og søk i innlegg etter innsatte skript (<script med rare adresser).
6. Se på planlagte oppgaver: cronjobber i kontrollpanelet ditt og WP-Cron (med en utvidelse eller wp cron event list).

En skadevareskanner (fra webhotellet ditt eller en utvidelse) hjelper deg å finne ting, men stol ikke blindt på den: det den ikke finner, kan fortsatt være der.

6. Tett igjen og kontroller

• Oppdater alt, herd nettstedet (leksjon 7.4) og slå det på igjen.
• Er nettstedet ditt merket som usikkert hos Google? Be om en ny vurdering under Sikkerhetsproblemer i Search Console, men først når alt er rent.
• Hold et øye med de påfølgende ukene: nye filer, nye administratorer, varsler fra skanneren din. Kommer det tilbake, er inngangen eller en bakdør ikke funnet ennå.

Personopplysninger: melde et datainnbrudd

Kunne inntrengere komme til personopplysninger (kundeopplysninger fra en nettbutikk, skjemainnsendinger, medlemslister, brukerne av nettstedet ditt), er det snakk om et datainnbrudd i henhold til GDPR (personvernforordningen). Du må da melde det innen 72 timer etter at du oppdaget det til Datatilsynet, med mindre det er lite sannsynlig at det utgjør en risiko for de det gjelder (artikkel 33 GDPR). Er risikoen høy, må du også informere disse personene selv (artikkel 34). Dokumenter uansett hva som skjedde og hva du gjorde, også hvis du ikke melder det. Er du i tvil, se nettsiden til Datatilsynet (leksjon 9.3).

Be om hjelp

Å rydde opp etter et hackerangrep krever tid og erfaring. Er du ikke sikker på at du har fått med alt, be om hjelp: nettstedbyggeren din, et spesialisert firma, eller webhotellet ditt (noen webhotell, også WebOké, tilbyr dette, vanligvis mot betaling). Gi dem kopien fra trinn 1, hva du har observert og når, og hva du allerede har gjort.

Oppsummering

• Et hackerangrep etterlater ofte en bakdør; det er ikke nok å bare fjerne den synlige skaden.
• Rekkefølge: dokumentere, beskytte besøkende, erstatte alle passord og salts, finne inngangen, rydde opp, tette igjen og kontrollere.
• Opprydding kan gjøres med en ren sikkerhetskopi fra god tid før hackerangrepet, eller ved å installere WordPress, utvidelser og temaer på nytt og gå gjennom uploads, mu-plugins, .htaccess og databasen.
• wp core verify-checksums viser hvilke filer i WordPress som er endret.
• Gjaldt det personopplysninger, meld datainnbruddet innen 72 timer til Datatilsynet med mindre risiko er lite sannsynlig.

Quiz

Oppgave

Oppgave D7.5: Din beredskapsplan ved et hackerangrep. Fyll ut beredskapsplanen for ditt eget nettsted, slik at du ikke trenger å finne på den når det skjer: hvor ligger sikkerhetskopiene dine og hvor langt tilbake går de, hvem har hvilke passord og hvordan erstatter du dem alle (liste), hvor finner du loggfilene til webhotellet ditt, hvem ringer du for hjelp, og hvilke personopplysninger ligger på nettstedet ditt (for å avgjøre om du må melde et datainnbrudd). Gjør deretter øvelsen: hvilke fem trinn tar du i den første timen hvis du får meldingen "Dette nettstedet kan ha blitt hacket", i hvilken rekkefølge, og hvorfor akkurat den rekkefølgen?

Les mer

Disse artiklene beskriver trinnene i kontrollpanelene til WebOké; i andre kontrollpaneler fungerer det på lignende måte.

• DirectAdmin-veiledning 18.2: Nettstedet mitt er hacket: steg for steg
• Hjelp! Nettstedet mitt er hacket. Hvordan løser eller forebygger jeg det?
• DirectAdmin-veiledning 15.11: Imunify360: skann nettstedet ditt for skadevare
• DirectAdmin-veiledning 17.2: Site summary & logs: feillogg og tilgangslogg
• DirectAdmin-veiledning 3.4: Login History: hvem logget inn, og når?
• Datainnbrudd (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• FAQ: nettstedet mitt er hacket (wordpress.org, engelsk): https://wordpress.org/documentation/article/faq-my-site-was-hacked/