Hakkeroitu: tunnistaminen, korjaaminen ja ehkäiseminen

Moduuli 7: Tietoturva · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat tunnistaa hakkeroinnin, korjata sen oikeassa järjestyksessä ja estää sen toistumisen.

Keskeiset käsitteet: hakkeroinnin merkit, dokumentointi, eristäminen, kaikkien salasanojen ja saltien vaihtaminen, sisäänpääsytavan löytäminen, lokit, puhdas varmuuskopio, puhdas uudelleenasennus, tarkistussummat, tuntemattomat pääkäyttäjät, PHP uploads-kansiossa, mu-plugins, Search Console, tietoturvaloukkauksen ilmoittaminen

Mitä hakkerointi tarkoittaa

Sivusto on hakkeroitu, kun joku on ilman lupaa saanut hallintaansa (osan) sivustostasi: hän voi muuttaa tiedostoja tai tietokantaa tai suorittaa koodia. Usein hän jättää itselleen takaoven: piilotetun tiedoston tai koodinpätkän, jonka avulla hän pääsee takaisin myöhemminkin, vaikka suljet alkuperäisen aukon.

Tämä jälkimmäinen on oppitunnin ydin: pelkän näkyvän vahingon poistaminen ei riitä. Niin kauan kuin takaovi on olemassa, tai aukko josta hän pääsi sisään on vielä auki, sama tapahtuu uudestaan. Usein muutaman päivän sisällä.

Tunnistaminen

Merkkejä (osa näkyy heti, osaa pitää etsiä):

• Google ilmoittaa sivustollasi "Tämä sivusto on saatettu hakkeroida" tai Search Console ilmoittaa tietoturvaongelman.
• Hakutuloksissa (site:example.com) näkyy sivuja, joita et tunnista, usein toisella kielellä tai lääkkeistä, uhkapeleistä tai valesivustoista.
• Kävijöitä uudelleenohjataan, usein vain silloin kun he tulevat Googlen kautta tai käyttävät puhelinta. Et itse huomaa sitä, koska olet kirjautuneena sisään tai tulet kirjanmerkin kautta. Testaa yksityisessä ikkunassa hakutuloksen kautta.
• Käyttäjät-osiossa näkyy pääkäyttäjä, jota et tunnista.
• Kansiossa wp-content/uploads on PHP-tiedostoja, tai juurihakemistossa tai kansiossa wp-content/mu-plugins on tiedostoja oudoilla nimillä.
• Webhotellisi tai haittaohjelmaskanneri ilmoittaa saastuneista tiedostoista; sähköpostisi evätään tai pakettisi lähettää roskapostia.
• Sivusto on yhtäkkiä hidas tai tallennustilasi täyttyy.

Toimintasuunnitelma

1. Pysy rauhallisena ja dokumentoi

Älä heitä heti kaikkea pois. Kirjaa mitä näet ja mistä lähtien, ota kuvakaappauksia ja tee kopio nykyisestä tilanteesta (tiedostot ja tietokanta, tai ylimääräinen varmuuskopio webhotellisi kautta). Tarvitset tuon kopion sisäänpääsytavan löytämiseen ja todisteeksi. Älä sijoita sitä verkkohakemistoon.

2. Pysäytä vahinko kävijöille

Ota sivusto väliaikaisesti pois käytöstä tai huoltotilaan, varsinkin jos kävijöitä ohjataan haittaohjelmiin tai tietojenkalasteluun. DirectAdminissa voit keskeyttää verkkotunnuksen; muualla koko sivuston voi suojata salasanalla tai käyttää väliaikaista index.html-tiedostoa, jossa on ilmoitus.

3. Vaihda kaikki salasanat ja avaimet

Oleta, että tunkeutuja tietää jokaisen salasanan, joka löytyi sivustolta tai sen kautta. Vaihda, mieluiten toiselta (puhtaalta) tietokoneelta:

• webhotellipaneelisi ja kaikkien FTP- ja SFTP-tilien salasana (poista tilit, joita et käytä);
• tietokantakäyttäjän salasana, ja päivitä se tiedostoon wp-config.php;
• kaikkien WordPress-pääkäyttäjien salasanat, ja poista tilit, joita et tunnista;
• avaimet ja saltit tiedostossa wp-config.php (oppitunti 1.3). Tämä mitätöi kaikki kirjautumisevästeet, myös tunkeutujan omat;
• sovellussalasanat (oppitunti 3.3) ja integraatioiden API-avaimet;
• sähköpostin salasanat, jos roskapostia lähti postilaatikon kautta.

Ota sen jälkeen kaksivaiheinen tunnistautuminen käyttöön kaikkialla (oppitunti 7.3).

4. Sisäänpääsytavan löytäminen

Ilman sisäänpääsytavan tuntemista et voi olla varma, että se on suljettu. Yleisimmät syyt (oppitunti 7.1) ja mistä niitä kannattaa etsiä:

• Vanhentunut lisäosa tai teema: mitkä osat olivat jäljessä? Tarkista nimet haavoittuvuustietokannasta (oppitunti 5.3).
• Vuotanut salasana: tarkista webhotellipaneelisi ja FTP:n kirjautumishistoria.
• Verkkopalvelimen lokit: etsi ajankohdan ympäriltä, jolloin ensimmäiset oudot tiedostot ilmestyivät, POST-pyyntöjä tuntemattomiin tiedostoihin tai lisäosien tiedostoihin, usein samasta IP-osoitteesta.
• Tiedostot päivämäärän mukaan: järjestä File Managerissa tai SFTP:n kautta muokkauspäivämäärän mukaan. Tiedostot, jotka on muutettu samaan aikaan, varsinkin päivityksen ulkopuolella, ansaitsevat huomiota.

5. Puhdistaminen

Kaksi tapaa, ja usein niiden yhdistelmä:

A. Puhtaan varmuuskopion palauttaminen ajalta ennen hakkerointia (oppitunti 8.2). Valitse varmuuskopio, joka on varmasti ennen ensimmäisiä merkkejä, sillä tunkeutujat odottavat joskus viikkoja. Palauta kokonaan, jotta myös lisätyt tiedostot katoavat. Päivitä sen jälkeen heti kaikki (muuten aukko on taas paikallaan). Haittapuoli: kaikki varmuuskopion jälkeen tullut (artikkelit, tilaukset) katoaa.

B. Puhdas uudelleenrakentaminen olemassa olevalla sisällöllä:

1. Korvaa itse WordPress tuoreella kopiolla sivustolta wordpress.org (wp-admin, wp-includes ja yksittäiset tiedostot; ei wp-content ja wp-config.php). WP-CLI:llä voit ensin tarkistaa, mitä on muuttunut:

wp core verify-checksums
wp plugin verify-checksums --all

Nämä vertaavat tiedostojasi virallisiin versioihin ja ilmoittavat jokaisesta muutetusta tai ylimääräisestä tiedostosta (jälkimmäinen vain wordpress.org:n lisäosahakemiston lisäosille).

2. Poista kaikki lisäosat ja teemat ja asenna ne uudelleen alkuperäisestä lähteestä, uusimpana versiona. Mitä et tarvitse, ei palaa.
3. Tarkista kansio wp-content/uploads PHP-tiedostojen ja muiden kuin mediatiedostojen varalta, sekä kansio wp-content/mu-plugins.
4. Tarkista .htaccess outojen uudelleenohjaussääntöjen varalta, ja wp-config.php rivien varalta, joita et tunnista.
5. Tarkista tietokanta: tuntemattomat pääkäyttäjät, asetukset siteurl, home ja active_plugins taulussa wp_options, ja etsi artikkeleista lisättyjä skriptejä (<script oudoilla osoitteilla).
6. Tarkista ajastetut tehtävät: cron-ajot webhotellipaneelissasi ja WP-Cron (lisäosalla tai komennolla wp cron event list).

Haittaohjelmaskanneri (webhotellisi tai lisäosan) auttaa löytämisessä, mutta älä luota siihen sokeasti: mitä se ei löydä, voi silti olla olemassa.

6. Sulkeminen ja tarkistaminen

• Päivitä kaikki, tiukenna tietoturvaa (oppitunti 7.4) ja ota sivusto taas käyttöön.
• Onko sivustosi merkitty Googlessa vaaralliseksi? Pyydä Search Consolessa kohdasta Tietoturvaongelmat uutta arviointia, mutta vasta kun kaikki on puhdasta.
• Pidä seuraavat viikot silmällä: uudet tiedostot, uudet pääkäyttäjät, skannerisi ilmoitukset. Jos se toistuu, sisäänpääsytapaa tai takaovea ei ole vielä löydetty.

Henkilötiedot: tietoturvaloukkauksen ilmoittaminen

Jos tunkeutujat pääsivät käsiksi henkilötietoihin (verkkokaupan asiakastiedot, lomakkeiden vastaukset, jäsenluettelot, sivustosi käyttäjät), kyse on tietoturvaloukkauksesta tietosuoja-asetuksen (GDPR) tarkoittamassa mielessä. Se pitää tällöin ilmoittaa 72 tunnin sisällä havaitsemisesta tietosuojavaltuutetun toimistolle, ellei ole epätodennäköistä, että se aiheuttaa riskin asianosaisille henkilöille (tietosuoja-asetuksen 33 artikla). Jos riski on korkea, pitää myös ilmoittaa asia suoraan heille (34 artikla). Kirjaa joka tapauksessa ylös mitä tapahtui ja mitä teit, myös silloin kun et tee ilmoitusta. Jos olet epävarma, katso tietosuojavaltuutetun toimiston sivustolta (oppitunti 9.3).

Avun pyytäminen

Hakkeroinnin siivoaminen vaatii aikaa ja kokemusta. Jos et ole varma, että olet saanut kaiken korjattua, pyydä apua: verkkosivustosi tekijältä, erikoistuneelta yritykseltä tai webhotellisi tarjoajalta (osa webhotelleista, myös WebOké, tarjoaa tätä palvelua, yleensä maksusta). Anna heille vaiheen 1 kopio, mitä olet havainnut ja milloin, sekä mitä olet jo tehnyt.

Yhteenveto

• Hakkerointi jättää usein jälkeensä takaoven; pelkän näkyvän vahingon poistaminen ei riitä.
• Järjestys: dokumentoi, suojaa kävijät, vaihda kaikki salasanat ja saltit, löydä sisäänpääsytapa, puhdista, sulje ja tarkista.
• Puhdistaminen onnistuu puhtaalla varmuuskopiolla reilusti ennen hakkerointia, tai asentamalla WordPress, lisäosat ja teemat tuoreina sekä tarkistamalla uploads, mu-plugins, .htaccess ja tietokanta.
• wp core verify-checksums näyttää, mitkä WordPressin tiedostot on muutettu.
• Jos kyse oli henkilötiedoista, ilmoita tietoturvaloukkaus 72 tunnin sisällä tietosuojaviranomaiselle, ellei riski ole epätodennäköinen.

Tietovisa

Tehtävä

Tehtävä D7.5: Oma varasuunnitelmasi hakkerointitilanteeseen. Täytä varasuunnitelma omalle sivustollesi, jotta sinun ei tarvitse keksiä sitä hetken tullen: missä varmuuskopiosi sijaitsevat ja kuinka pitkälle taaksepäin ne ulottuvat, kenellä on mitkäkin salasanat ja miten vaihdat ne kaikki (lista), mistä löydät webhotellisi lokit, kenelle soitat avun saamiseksi, ja mitä henkilötietoja sivustollasi on (sen kysymyksen pohtimiseksi, pitääkö sinun ilmoittaa tietoturvaloukkaus). Tee sen jälkeen harjoitus: mitkä viisi askelta otat ensimmäisen tunnin aikana, kun saat ilmoituksen "Tämä sivusto on saatettu hakkeroida", missä järjestyksessä, ja miksi juuri siinä järjestyksessä?

Lue lisää

Nämä artikkelit kuvaavat vaiheet WebOkén käyttämissä paneeleissa; muissa paneeleissa toimintatapa on vastaava.

• DirectAdmin-ohje 18.2: Sivustoni on hakkeroitu: vaiheittainen ohje
• Apua! Sivustoni on hakkeroitu. Miten korjaan tilanteen ja miten estän sen jatkossa?
• DirectAdmin-ohje 15.11: Imunify360: verkkosivuston skannaaminen haittaohjelmien varalta
• DirectAdmin-ohje 17.2: Site summary & logs: virhelogi ja käyttölogi
• DirectAdmin-ohje 3.4: Login History: kuka kirjautui ja milloin?
• Tietoturvaloukkaukset (Alankomaiden tietosuojaviranomainen): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• UKK: sivustoni on hakkeroitu (wordpress.org, englanniksi): https://wordpress.org/documentation/article/faq-my-site-was-hacked/