Co dělat po napadení webu: první hodina, důkazy, obnova a komunikace se zákazníky

Zjištění, že váš web je napadený, přijde skoro vždy nečekaně: podivné přesměrování, varování prohlížeče, výpadek nebo zpráva od hostingu. V ten moment rozhoduje, jestli budete jednat po pořádku, nebo v panice. Tenhle návod je pojistka pro chvíli, kdy je pozdě na prevenci — provede vás prvními hodinami tak, abyste škodu zmenšili, ne prohloubili. Jak útoku předcházet, řešíme v článku Jak zabezpečit hostingový účet před napadením; tady začínáme ve chvíli, kdy se to už stalo.

První hodina: zastavit škodu

Prvních šedesát minut má jediný cíl — zabránit tomu, aby útok páchal další škody a šířil se na návštěvníky. V tomhle pořadí:

1. Nespanikařte a nemažte všechno. Impulzivní smazání souborů zničí stopy a může znemožnit obnovu. Nejdřív rozmyslet, pak jednat.
2. Omezte přístup k webu. Dočasně web vypněte nebo přepněte do režimu údržby, ať malware neohrožuje návštěvníky a útočník nepracuje dál.
3. Změňte klíčová hesla z čistého zařízení — hosting, administrace, databáze, FTP/SSH, e-mail. Pokud je nakažený i váš počítač, měníte hesla jen do dalšího průšvihu.
4. Kontaktujte hosting. Často útok vidí z jejich strany a mohou pomoct s izolací i logy. Co dobrý hosting v takové chvíli umí, rozebíráme v článku DDoS, malware a napadené WordPressy: co by měl dobrý hosting umět.

Cílem první hodiny není vyřešit příčinu, ale zastavit krvácení. Vyšetřování a čištění přijdou hned potom.

Zajistěte důkazy, než začnete uklízet

Přirozený instinkt je „rychle to smazat a jedeme dál". Jenže bez pochopení, kudy útočník vešel, ho zavřete předními dveřmi a on se vrátí zadními. Než začnete čistit, zajistěte stopy:

• Udělejte kopii aktuálního (napadeného) stavu webu i databáze. Zní to absurdně, ale je to vaše forenzní kopie i pojistka, kdyby se obnova nepovedla.
• Stáhněte a uložte logy — přístupové a chybové logy serveru, případně záznamy z administrace. Poznáte z nich, kdy a kudy útok přišel.
• Poznamenejte si časovou osu — kdy jste problém zaznamenali, co jste viděli, co jste udělali. Bude se hodit při komunikaci i případném hlášení.

Zajištění důkazů má dva důvody: pomůže najít vstupní bránu, aby se útok neopakoval, a je nutné, pokud došlo k úniku osobních údajů a budete situaci hlásit.

Bezpečná obnova, ne jen „vrátit zálohu"

Obnova ze zálohy je správný směr, ale slepé nasazení poslední zálohy je past. Když nevíte, kdy přesně útok začal, můžete obnovit už infikovaný stav. Postupujte proto s rozmyslem:

• Zjistěte, kdy útok nejspíš začal, a hledejte zálohu z doby před tím, ne jen tu nejnovější.
• Obnovujte do čistého prostředí, ne přes napadené soubory. Ideálně na oddělenou instalaci, kterou nejdřív prověříte — k čemu se hodí testovací prostředí, popisujeme v článku Staging web: proč by ho měl mít každý WordPress.
• Zavřete vstupní bránu. Aktualizujte systém, motiv i doplňky, odstraňte neznámé účty a nasazené škodlivé soubory. Bez tohoto kroku vás obnova jen vrátí do stejné díry.
• Prověřte web, než ho vrátíte online. Zkontrolujte neznámé administrátory, změněné soubory a odkazy, které tam nepatří.

Jestli zjistíte, že použitelná záloha není, je to tvrdá lekce o tom, proč zálohy patří jinam než na napadený server — jak je nastavit správně, shrnuje článek Jak nastavit zálohy webu, aby měly smysl.

Komunikace se zákazníky

U webu se zákazníky nekončí práce obnovou. Pokud útok mohl zasáhnout jejich data — třeba přihlašovací údaje nebo objednávky — patří k řešení i férová komunikace. Zákazníci odpustí incident mnohem spíš než mlčení a snahu ho zamést.

Držte se tří zásad. Komunikujte včas, ale až budete mít ověřená fakta, ne první dojmy. Buďte věcní: co se stalo, jakých dat se to mohlo týkat a co má zákazník udělat (typicky změnit heslo, pokud ho používal i jinde). A slibujte jen to, co splníte. Pokud došlo k úniku osobních údajů, mějte na paměti, že se na situaci můžou vztahovat oznamovací povinnosti — širší kontext úniků dat rozebíráme v článku 24 miliard uniklých záznamů: co by měl udělat majitel webu a hostingu.

Když je nejhůř za vámi

Kdy si přizvat odborníka

Ne každé napadení zvládnete sami a není ostuda to přiznat. Zvažte pomoc specialisty na bezpečnost nebo zkušeného správce, když nedokážete najít, kudy útočník vešel, když se web po vyčištění znovu a znovu nakazí, nebo když jde o web se zákaznickými daty a platbami, kde je cena chyby vysoká. V takových případech je odborná pomoc levnější než opakované hašení a riziko, že něco přehlédnete.

Krátký přehled postupu

Když si z celého článku máte odnést jednu věc, ať je to pořadí kroků. V panice se totiž nejsnáz zapomíná právě na to důležité:

1. Zastavte škodu — omezte přístup, změňte hesla z čistého zařízení, ozvěte se hostingu.
2. Zajistěte důkazy — kopie napadeného stavu a logy, než začnete uklízet.
3. Obnovte bezpečně — čistá záloha z doby před útokem do prověřeného prostředí a zavření vstupní brány.
4. Komunikujte férově — se zákazníky na rovinu, včas a jen ověřená fakta.

Dodržet tohle pořadí je rozdíl mezi incidentem, ze kterého se web za den vzpamatuje, a chaosem, který se táhne týdny.

Po zvládnutí incidentu udělejte poslední, často přeskakovaný krok: poučte se z něj. Projděte časovou osu, najděte, kudy útok vešel, a zavřete tu díru natrvalo — silnějšími hesly, dvoufaktorem, pravidelnými aktualizacemi a zálohami mimo server. Napadení webu je nepříjemné, ale zvládnutelné, když víte, že prvních pár hodin patří zastavení škody a zajištění stop, obnova patří do čistého prostředí a se zákazníky se mluví na rovinu. Nejlepší obranou proti příštímu útoku je totiž web, který se z toho minulého poučil.