Verkkosivusto murrettiin: oireet ja ratkaisu

01Mistä tiedän, että sivusto on hakkeroitu?

Jotkin hyökkäykset paljastavat itsensä heti: etusivulle ilmestyy hyökkääjän viesti tai sivusto ei aukea lainkaan. Useimmat hyökkäykset ovat kuitenkin hiljaisia. Hyökkääjä ei halua rikkoa sivustoa vaan käyttää sitä huomaamatta; hän lisää roskapostilinkkejä, ohjaa kävijöitä muille sivustoille tai käyttää palvelinta sähköpostin lähettämiseen.

Siksi merkkien tunteminen on tärkeää. Jo yksikin alla olevista on vakava epäilyn aihe; jos niitä on useita yhtä aikaa, todennäköisesti on tapahtunut tunkeutuminen.

• Tietoturvavaroituksen näkyminen selaimessa tai hakutuloksissa
• Kävijöiden uudelleenohjaus muille sivustoille, erityisesti mobiilista tai Googlesta tultaessa
• Hakutuloksissa sivustosi nimen yhteydessä näkyvät aiheeseen kuulumattomat tuote-, uhkapeli- tai lääkesivut
• Hallintapaneelissa tuntemattomia käyttäjiä tai muuttuneita salasanoja
• Palvelimella uusia tiedostoja, joiden nimeä et tunne, ja vanhoja tiedostoja, joiden muutospäivä on uusi
• Hosting-yhtiöltä tuleva roskapostiin tai resurssien käyttöön liittyvä varoitus
• Sivuston selvä hidastuminen tai toistuvat virheet

02Ensimmäisen tunnin toimet

Heti kun huomaat tulleesi hakkeroiduksi, tavoitteena on rajoittaa vahinkoa ja säilyttää tutkintaan tarvittavat jäljet. Tiedostojen poistaminen hätiköiden vaikeuttaa hyökkäyksen kulun ymmärtämistä ja jättää saman aukon auki.

1. Siirrä sivusto huoltotilaan tai sulje se väliaikaisesti kävijöiltä
2. Ota sivuston nykytilan tiedosto- ja tietokantakopio ja säilytä se erillisessä paikassa
3. Ilmoita asiasta hosting-yhtiöllesi; pyydä palvelimen lokit
4. Vaihda salasanat hallintapaneeliin, FTP/SFTP:hen, tietokantaan, hostingiin ja verkkotunnustileille puhtaalta laitteelta
5. Poista käytöstä ylläpitäjätilit, joita et tunne
6. Jos asiakas- tai korttitietoja on voinut vaarantua, arvioi ilmoitusvelvoitteet lakimiehesi kanssa

03Mistä hyökkäys tuli?

Ennen siivousta on löydettävä sisäänpääsytie; muuten hyökkääjä palaa samasta ovesta muutaman päivän kuluessa. Palvelimen käyttölokit, hallintapaneelin kirjautumishistoria ja tiedostojen muutospäivät antavat vastauksen tähän kysymykseen.

Yleisimmät sisäänpääsytiet ovat: päivittämättömän ohjelmiston ja komponenttien tunnetut haavoittuvuudet, heikot tai muualla vuotaneet ylläpitäjän salasanat, turvattomat tiedostonlatausalueet, vanhat ja unohtuneet testisivut sekä kaapatulta tietokoneelta varastetut FTP-tiedot.

find /var/www/site -type f -name '*.php' -mtime -7 -ls

grep -rnE 'eval\(|base64_decode|gzinflate' /var/www/site --include='*.php'

04Haittakoodin poisto

Haittakoodin poistoon on kaksi tietä: seuloa tartunnan saaneet tiedostot yksitellen tai rakentaa sivusto uudelleen puhtaasta lähteestä. Jälkimmäinen on lähes aina turvallisempi, koska hyökkääjät jättävät yleensä useita takaovia, ja niiden kaikkien löytäminen käsin on vaikeaa.

Paluu puhtaaseen varmuuskopioon

Jos sinulla on hyökkäyspäivää edeltävältä ajalta varmuuskopio, josta olet varma, että se on puhdas, tämä on nopein ratkaisu. Jos sisäänpääsytietä ei kuitenkaan suljeta varmuuskopion palauttamisen jälkeen, sivusto hakkeroidaan uudelleen; siksi palautus on tehtävä yhdessä päivitysten ja salasanojen vaihdon kanssa. Tavan ottaa säännöllinen ja testattu varmuuskopio olemme kuvanneet oppaassamme miten varmuuskopiointi tehdään.

Entä jos varmuuskopiota ei ole?

Jos puhdasta varmuuskopiota ei ole, sivuston koodi haetaan uudelleen luotettavasta lähteestä ja sisältö sekä kuvat siirretään tarkistaen ne yksitellen. Tietokannasta pitää etsiä myös hyökkääjän lisäämiä käyttäjiä, piilotettuja linkkejä ja sivun sisältöön upotettuja skriptejä. Prosessi on vaivalloinen, mutta paljon edullisempi kuin vajaa siivous.

05Googlen tietoturvavaroituksen poistaminen

Google voi näyttää haitallista sisältöä sisältäväksi tunnistetut sivustot varoituksen kera hakutuloksissa ja selaimessa. Tämä varoitus käännyttää suuren osan kävijöistä pois ennen sivustolle pääsyä, joten se on poistettava nopeasti siivouksen valmistuttua.

Voit tarkistaa sivustosi tilan Googlen Safe Browsing -tilasivulta. Se helpottaa prosessia, kun sivustosi on vahvistettu Search Consolessa.

1. Avaa Search Consolessa Tietoturvaongelmat-raportti ja tutki havaitut ongelmat
2. Varmista, että raportissa esimerkkeinä näytetyt osoitteet on siivottu
3. Lähetä tarkistuspyyntö ja kuvaile lyhyesti tekemäsi korjaukset
4. Odota tulosta; tarkistuksen kesto vaihtelee ongelman tyypin mukaan
5. Jos roskapostisivuja on luotu, varmista, että näiden osoitteiden vastauskoodi on 404 tai 410

06SEO-vahinkojen korjaaminen

Hyökkääjät lisäävät usein sivustollesi tuhansia roskapostisivuja tai piilolinkkejä olemassa oleville sivuille. Siivouksen jälkeen nämä jäljet voivat näkyä hakutuloksissa vielä jonkin aikaa. Search Consolen hakemistoraporttien seuranta antaa seurata ei-toivottujen osoitteiden poistumista hakemistosta.

Lähetä sivukartta uudelleen, tarkista että tärkeät sivut näkyvät oikein ja seuraa orgaanisen liikenteen muutosta muutaman viikon ajan. Jos näet pysyvän laskun, asiantuntijan tekemä teknisen rakenteen tarkastus on hyödyllinen; SEO ja analytiikka -työ keskittyy tässä prosessissa menetetyn näkyvyyden takaisin voittamiseen.

07Jotta se ei toistu

Siivottu sivusto on taas kohde, jos tavat eivät muutu. Alla olevat toimet vaikeuttavat hyökkääjän työtä selvästi.

• Säännölliset päivitykset sivuston ohjelmistoon, palvelimeen ja kaikkiin komponentteihin
• Hallintapaneelissa yksilöllinen salasana ja kaksivaiheinen tunnistus
• Jokaiselle käyttäjälle oma tili ja vain tarvittavat oikeudet
• SFTP FTP:n sijaan, käyttämättömien pääsyjen sulkeminen
• Tyypin ja koon tarkistus tiedostonlatausalueilla
• Päivittäiset, sivuston ulkopuolella säilytettävät ja testatut varmuuskopiot
• Yksinkertainen hälytysjärjestelmä, joka seuraa tiedostomuutoksia ja käyttöaikaa

Pitääkö alusta vaihtaa?

Jos hyökkäys johtui itse hosting-ympäristön heikkoudesta tai jos palveluntarjoaja ei tarjoa ajantasaisia tietoturvatoimia, sivuston siirtämistä vankemmalle alustalle voi harkita. Katkeamattomaan siirtoon tutustu oppaaseemme hosting-siirto. Samanlaisten toimien tehoamisesta myös tiedostot salaaviin hyökkäyksiin olemme kertoneet artikkelissa kiristysohjelma.

08Milloin asiantuntijan apua kannattaa hakea?

Yksinkertaisen roskapostilinkin poistaminen voi olla sivuston omistajan tehtävissä. Asiakas- tai maksutietoja käsittelevällä sivustolla, useita kertoja hakkeroidussa järjestelmässä tai tilanteessa, jossa et löydä sisäänpääsytietä, asiantuntijan apu vähentää aika- ja maineen menetyksiä.

Erityisesti tilauksia vastaanottavalla verkkokauppa-alustalla tietoturvatapaus tarkoittaa suoraan menetettyä myyntiä ja luottamusta. Yrityskohtaisissa ohjelmistoratkaisuissa koko koodi tunnetaan, joten tarkastus ja pysyvä korjaus voidaan tehdä nopeammin. Julkaistuilla sivustoilla päivitykset, varmuuskopioiden seuranta ja suorituskyvyn seuranta voidaan sitoa säännölliseen ylläpitorutiiniin nopeus- ja suorituskykyoptimoinnin puitteissa.