Når en kundes website eller webshop er kompromitteret, kommer det første spørgsmål sjældent fra en tekniker. Det kommer fra kunden: hvem skulle have opdateret det plugin, hvem ejede administratorkontoen, og hvem lod den gamle FTP-adgang stå åben? Bureauet, hostingudbyderen og kunden har hver sin del af platformen, og hver part har både spor og en interesse i, hvad sporene viser. Siden her handler om, hvordan I fastholder data, før oprydningen ændrer dem, og hvorfor en analyse fra en part sjældent er nok, når ansvaret er til forhandling.

Når det typisk sker

• Kundens WordPress-site sender spam, viderestiller besøgende eller har fået en ny administrator, som ingen kender.
• Betalingssiden i en webshop har fået indsat fremmed JavaScript, og kunden spørger, hvilke ordrer der er ramt.
• Kunden mener, at hostingmiljøet var usikkert, mens hostingudbyderen peger på et forældet tema.
• Bureauet har overdraget driften til kunden eller en anden leverandør, og kompromitteringen ligger lige omkring skiftet.

Ansvaret står i sporene, ikke i kontrakten

Kontrakten siger, hvem der burde opdatere, overvåge og tage backup. Sporene viser, hvad der faktisk skete, og i hvilken rækkefølge: hvornår den sårbare version blev installeret, hvornår en rettelse var tilgængelig, hvilken konto eller indgang angriberen brugte, og hvem der havde adgang til den på tidspunktet. Det er den tidslinje, der flytter en ansvarsdiskussion fra påstand til dokumentation. Den kommende artikel Kundens hjemmeside blev hacket: ansvarsfordeling i sporene gennemgår metoden.

Det skal fastholdes, før nogen rydder op

• Webserverlogs. Access- og error-logs fra webserveren og eventuelle proxy- eller CDN-logs. De roterer typisk efter dage eller uger, så de kommer først. Notér tidszone og logformat.
• Admin- og platformslogs. CMS’ets aktivitetslog, webshopplatformens ordre- og ændringslog, kontrolpanelets loginhistorik og logs for SSH, SFTP og FTP.
• Backups med dato. Den seneste backup før den formodede indtrængen og den første efter. Lad dem ligge urørt, og stop automatisk sletning af ældre generationer.
• Filintegritet. En kopi af webroden med tidsstempler for filer og mapper, før noget gendannes. Sammenlignet med en ren kopi af platformens kerne og plugins viser den, hvilke filer der er ændret eller tilføjet.
• Databasen. Et dump af brugertabellen, indstillinger og indholdet, så nye konti og ændrede felter kan dateres.

Hash hver eksport, og skriv i en handlingslog, hvem der gjorde hvad på serveren efter opdagelsen. Gendannelse, opdatering og sikkerhedsscanning ændrer tidsstempler og overskriver logs, så rækkefølgen er sikring først og oprydning bagefter.

Hvem gør hvad

Hostingudbyderen leverer serverlogs, kontrolpanelets historik og backups fra infrastrukturen. Bureauet kender platformen, plugins, opdateringshistorikken og hvem der havde administratoradgang. Kunden ejer sitet, beslutter omfanget og bærer typisk forbindelsen til advokat og forsikring. Den uvildige sikrer data fra alle tre med hash og dokumenteret forløb og laver analysen, som ingen af parterne kan siges at have farvet. Er et IR-team allerede i gang med at rense sitet, kan sikringen ske ved siden af. Hvordan første opkald og afklaring foregår, står på Når I ringer.

Hvem I får som sagkyndig

Bag Nielco IT står John Nielsen alene, selvstændig siden 2009 og med over 30 år i IT-sikkerhed, herunder praktisk erfaring med incident response og hackerangreb. Der drives ingen hosting, der bygges ingen websites, og der er ingen aftaler med platform- eller pluginleverandører, så vurderingen af jeres drift er ikke koblet til et salg. Johns egne opgaver som sagkyndig omfatter flere danske retskredse og UPC, den europæiske patentdomstol. Kundedata, logs og adgangsoplysninger er omfattet af tavshedspligt, og en fortrolighedsaftale underskrives, hvis I ønsker det.

Start her

1. Webserverlogs (IIS, Apache, Nginx): felter, tidszoner, proxy og CDN
2. Kompromitteret WordPress: webserverlogs, filændringer og databasen
3. Indgangsvejen i WordPress: sårbart plugin eller svag adgang?
4. Skimming på betalingssiden: spor efter injiceret JavaScript
5. Webshopplatforme: ordre-, admin- og ændringslogs
6. Logs hos webhotellet, og hvor længe de findes
7. Backup-logs: hvornår blev backuppen slettet eller ændret?
8. Kundens hjemmeside blev hacket: ansvarsfordeling i sporene

Står et kundesite kompromitteret lige nu, så ring 70 13 63 23, før gendannelsen går i gang.

Ydelser til bureauer og hosting

• Forensisk sikring Webrod, databaser, logs og backups fastholdes med verificerbar kopi. Hastesager koster ekstra, se pris og tilbud.
• Teknisk undersøgelse Indgangsvej, tidslinje og omfang af en kompromittering.
• Teknisk sparring En uvildig vurdering af jeres egen sikring eller analyse uden en hel undersøgelse.
• Kontakt 70 13 63 23 · info@nielcoit.dk.

Afgrænsning

Siden dækker civile tvister mellem bureau, hosting og kunde samt interne undersøgelser. Der gives ingen vejledning i at angribe, teste eller tilgå systemer uden tilladelse. Se Afgrænsning.