Mano svetainę nulaužė! Ką daryti?

Įsilaužimas į svetainę – tai neteisėtas prisijungimas prie jūsų interneto svetainės, kurio metu piktavaliai gali pakeisti turinį, įdiegti kenkėjišką kodą, pavogti jautrią informaciją arba naudoti jūsų serverį kitoms kenkėjiškoms veikloms. Įsilaužimų pasekmės gali būti itin skaudžios: prarasta lankytojų pasitikėjimo, kritęs SEO reitingas, duomenų vagystė ar net finansiniai nuostoliai.

Deja, kibernetiniai nusikaltėliai taikosi ne tik į dideles įmones – jie dažnai renkasi mažesnes svetaines, kurios paprastai būna prasčiau apsaugotos.

Šiame straipsnyje sužinosite, kaip atpažinti įsilaužimo požymius, kokių neatidėliotinų veiksmų imtis, kaip pašalinti kenkėjišką kodą, atstatyti svetainę ir užkirsti kelią būsimiems įsilaužimams. Nesvarbu, ar turite nedidelį tinklaraštį, ar administruojate įmonės interneto svetainę – šios žinios padės jums greičiau ir efektyviau susigrąžinti kontrolę.

Kaip atpažinti, kad svetainė nulaužta

Įsilaužimo į svetainę požymiai ne visada yra akivaizdūs. Kartais kenkėjai veikia subtiliai, siekdami išlikti nepastebėti kuo ilgiau. Štai pagrindiniai ženklai, liudijantys, kad jūsų svetainė galėjo būti nulaužta:

 

• netikėti peradresavimai – lankytojai nukreipiami į kitas, dažnai abejotinas svetaines;
• saugumo įspėjimai – Google, Mozilla, Microsoft naršyklės rodo pranešimus, kad svetainėje aptiktas kenkėjiškas kodas;
• nauji, nepažįstami failai jūsų serverio kataloguose;
• pakitęs svetainės išvaizdos dizainas arba turinys (vadinamasis „defacing”);
• įspėjimo laiškai iš Google Search Console ar prieglobos (hostingo) paslaugų teikėjo;
• neįprastai didelis serverio apkrovimas ar tinklo srauto padidėjimas;
• jūsų svetainė išsiunčia brukalą (spam) be jūsų žinios;
• atsirado nauji administratoriaus paskyros duomenys, kurių jūs nesukūrėte.

Pasak Nacionalinio kibernetinio saugumo centro specialistų, net ir vienas iš šių požymių turėtų sukelti įtarimą ir paskatinti nedelsiant imtis veiksmų. Sisteminis saugumo pažeidžiamumų stebėjimas padeda anksti aptikti įsilaužimą ir sumažinti galimą žalą.

Pirmieji žingsniai po įsilaužimo

Pastebėjus įsilaužimo požymius, svarbu neprarasti šalto proto ir veikti metodiškai.

Štai konkretūs veiksmai, kurių reikėtų imtis nedelsiant:

1. Laikinai atjunkite svetainę. Jei įmanoma, įjunkite „techninės priežiūros režimą” arba susisiekite su prieglobos paslaugų teikėju, kad laikinai sustabdytų svetainės veikimą. Tai neleis kenkėjiškam kodui plisti ir paveikti daugiau lankytojų.
2. Sukurkite esamų failų atsargines kopijas. Net jei svetainė užkrėsta, būtina išsaugoti jos dabartinę būseną, kad vėliau galėtumėte išanalizuoti įsilaužimo pobūdį ir mastą.
3. Susisiekite su prieglobos paslaugų teikėju. Informuokite apie įsilaužimą – jie gali turėti papildomos informacijos apie pažeidimo pobūdį ir suteikti techninę pagalbą.
4. Pakeiskite visus slaptažodžius. Nedelsiant pakeiskite FTP, valdymo skydelio, duomenų bazės, el. pašto ir kitų su svetaine susijusių paskyrų prisijungimo duomenis. Naudokite stiprius, unikalius slaptažodžius.
5. Patikrinkite serverio žurnalus (log files). Juose galite rasti įsilaužimo momentą ir būdą. Ieškokite neįprastų prieigos įrašų, ypač iš užsienio IP adresų ar neįprastu laiku.
6. Informuokite suinteresuotas šalis. Jei buvo pažeisti lankytojų duomenys, pagal BDAR reikalavimus turite informuoti paveiktus asmenis ir, priklausomai nuo pažeidimo masto, pranešti Valstybinei duomenų apsaugos inspekcijai.

Labai svarbu dokumentuoti visus atliekamus veiksmus. Tai padės ne tik šalinant kenkėjišką kodą, bet ir vėliau atliekant saugumo auditą ar bendraujant su IT saugumo specialistais.

Kada verta pasitelkti profesionalus?

Nors daugelį įsilaužimų galima išspręsti savarankiškai, kai kuriais atvejais būtina kreiptis į IT saugumo specialistus:

• jei neturite švarių svetainės atsarginių kopijų;
• jei po valymo svetainė pakartotinai užkrečiama;
• jei svetainėje saugomi jautrūs vartotojų duomenys (pvz., mokėjimų informacija);
• jei svetainė priklauso didesnei sistemai ar yra integruota su kitomis verslo sistemomis;
• jei trūksta techninių žinių ar laiko kruopščiam valymo procesui.

Profesionalios svetainių saugumo paslaugos gali padėti ne tik pašalinti įsilaužimą, bet ir užtikrinti, kad pažeidimai nepasikartotų ateityje.

Kaip aptikti ir pašalinti kenkėjišką kodą

Kenkėjiško kodo aptikimas dažnai primena detektyvinį darbą, reikalaujantį sisteminio požiūrio ir detalios analizės. Pradėkite nuo šių žingsnių:

1. Naudokite specializuotus nuskaitymo įrankius. Kenkėjiško kodo paieškos įrankiai gali aptikti žinomus virusus, užpakalines duris (backdoors) ir kitas grėsmes.
2. Analizuokite serverio žurnalus. Ieškokite neįprastų prisijungimų, failų keitimo ar įkėlimo veiksmų, ypač per FTP ar svetainės valdymo sistemą.
3. Patikrinkite neseniai modifikuotus failus. Naudodamiesi FTP klientu ar serverio valdymo įrankiais surūšiuokite failus pagal paskutinio modifikavimo datą ir atidžiai patikrinkite tuos, kurie buvo keisti neįprastu laiku.
4. Peržiūrėkite įtartinus PHP, JavaScript ir kitus kodo failus. Ieškokite neįprastų funkcijų, ypač tokių, kurios naudoja base64_decode, eval, preg_replace su /e parametru.
5. Atkreipkite dėmesį į paslėptus nukreipimus. Kenkėjai dažnai įterpia .htaccess failus ar paslėptą JavaScript kodą, kad nukreiptų lankytojus.

Aptikus kenkėjišką kodą, nebūtinai iš karto trinkite užkrėstus failus. Jei tai sisteminiai failai, juos geriau pakeisti švariomis versijomis iš originalios CMS diegimo ar paskutinės žinomos saugios atsarginės kopijos. Pašalinus kenkėjišką kodą, būtina atlikti išsamų visos svetainės nuskaitymą, kad įsitikintumėte, jog neliko užkrėstų failų.

Populiariausi įrankiai svetainių nuskaitymui

Rinkoje yra daugybė įrankių, skirtų aptikti svetainių saugumo pažeidimus. Štai keli patikimi pasirinkimai:

• Sucuri SiteCheck – nemokama internetinė priemonė, kuri tikrinia jūsų svetainę dėl kenkėjiško kodo, juodųjų sąrašų ir saugumo spragų.
• VirusTotal – leidžia patikrinti pavienius failus ar URL adresus naudojant daugybę antivirusinių variklių.
• NKSC patikros įrankiai – Nacionalinis kibernetinio saugumo centras siūlo įrankius, skirtus lietuviškoms svetainėms patikrinti.
• Wordfence – WordPress sistemoms skirtas saugumo įskiepis su kenkėjiško kodo nuskaitymo galimybėmis.
• MalCare – automatiškai aptinka ir šalina kenkėjišką kodą WordPress svetainėse, nepažeidžiant svetainės funkcionalumo.
• Google Search Console – nors tai nėra specializuotas saugumo įrankis, jis gali pranešti apie aptiktus saugumo pažeidimus jūsų svetainėje.

Svarbu naudoti tik oficialius įrankius iš patikimų šaltinių. Kibernetiniai nusikaltėliai kartais platina tariamus „saugumo įrankius”, kurie iš tikrųjų yra kenkėjiškos programos. Visada siųskitės programinę įrangą tik iš oficialių svetainių ar patikimų šaltinių.

Kaip atstatyti svetainę iš atsarginės kopijos

Reguliarios atsarginės kopijos yra geriausias draudimas nuo svetainės įsilaužimų. Jei turite švarią atsarginę kopiją, sukurtą prieš įsilaužimą, svetainės atkūrimas gali būti gana paprastas procesas. Štai kaip teisingai atstatyti svetainę:

1. Identifikuokite naujausią švarią atsarginę kopiją. Peržiūrėkite atsargines kopijas ir nustatykite, kuri yra sukurta prieš įsilaužimą. Šį momentą galite nustatyti analizuodami serverio žurnalus.
2. Prieš atkurdami, nuskaitykite atsarginę kopiją. Net ir atsarginėse kopijose gali slėptis kenkėjiškas kodas, todėl būtina jas patikrinti antivirusinėmis priemonėmis.
3. Išvalykite serverį. Prieš atkurdami, įsitikinkite, kad serveris yra švarus – pašalinkite visus esamus failus (išskyrus svarbius konfigūracinius failus, kuriuos turėtumėte išsaugoti atskirai).
4. Atkurkite failus ir duomenų bazę. Įkelkite failus iš švarios atsarginės kopijos ir atkurkite duomenų bazę.
5. Atnaujinkite CMS, įskiepius ir temas. Net ir atstatę iš atsarginės kopijos, iškart įdiekite naujausius saugumo atnaujinimus, kad išvengtumėte pakartotinio užkrėtimo.
6. Patikrinkite atkurtą svetainę. Po atkūrimo būtinai dar kartą nuskaitykite svetainę saugumo įrankiais, kad įsitikintumėte, jog ji švari.

Atkūrimas iš atsarginių kopijų yra vienas efektyviausių būdų susigrąžinti svetainės kontrolę po įsilaužimo, tačiau tai turėtų būti tik dalis jūsų bendros svetainės atkūrimo strategijos, apimančios ir saugumo stiprinimą, kad išvengtumėte būsimų pažeidimų.

Ką daryti jei neturite atsarginės kopijos?

Situacija be atsarginių kopijų yra sudėtinga, tačiau ne beviltiška. Štai kelios alternatyvos:

• Rankinis valymas. Nuodugniai išanalizuokite kiekvieną failą ir duomenų bazės įrašą, ieškodami kenkėjiško kodo. Tai itin imlus laikui procesas, reikalaujantis gerų programavimo ir saugumo žinių.
• Interneto archyvai. Svetainė Wayback Machine (archive.org) galėjo išsaugoti jūsų svetainės senesnę versiją, kurią galima panaudoti kaip pagrindą atkuriant turinį (bet ne funkcionalumą).
• Naujas diegimas ir turinio atkūrimas. Kartais paprasčiau iš naujo įdiegti CMS ir rankinio darbo būdu atkurti turinį, naudojant viešai prieinamą informaciją.
• Prieglobos paslaugų teikėjo pagalba. Kai kurie paslaugų teikėjai automatiškai kuria atsargines kopijas, net jei jūs patys to nedarėte – pasiteiraukite, ar jie negali atkurti jūsų svetainės.
• Profesionalios atkūrimo paslaugos. IT saugumo kompanijos siūlo specializuotas svetainių atkūrimo po įsilaužimų paslaugas, nors tai gali būti brangiau.

Neturėdami atsarginių kopijų, prisiminkite svarbiausią pamoką – iškart po atkūrimo pradėkite reguliariai kurti ir saugoti atsargines kopijas skirtingose vietose.

Saugumo spragų nustatymas ir taisymas

Svetainės atkūrimas be saugumo spragų taisymo būtų tik laikinas sprendimas, nes įsilaužėliai greičiausiai vėl pasinaudos tomis pačiomis silpnosiomis vietomis.

Štai kaip nustatyti ir pašalinti pagrindines saugumo spragas:

1. Atlikite saugumo auditą. Naudokite automatizuotus įrankius, kaip OWASP ZAP ar Acunetix, kad aptiktumėte žinomas saugumo spragas jūsų svetainėje.
2. Atnaujinkite visą programinę įrangą. Įsitikinkite, kad CMS (WordPress, Joomla, Drupal), visi įskiepiai, temos ir kitos komponentės yra atnaujintos iki naujausių versijų.
3. Patikrinkite vartotojų teises. Peržiūrėkite visus vartotojų profilius ir pašalinkite nereikalingas paskyras ar sumažinkite jų teises iki būtino minimumo.
4. Įdiekite Web Application Firewall (WAF). Šie ugniasienės sprendimai gali filtruoti kenkėjišką srautą dar prieš jam pasiekiant jūsų svetainę.
5. Tikrinkite ir ribokite failų įkėlimo funkcionalumą. Įsilaužėliai dažnai išnaudoja šias galimybes kenkėjiškų failų įkėlimui.
6. Konfigūruokite HTTPS. Įsitikinkite, kad jūsų svetainė naudoja saugų HTTPS protokolą ir turi galiojantį SSL sertifikatą.

Papildomai rekomenduojama peržiūrėti serverio konfigūraciją, apriboti PHP funkcijų naudojimą (ypač pavojingas funkcijas, kaip eval, exec), uždrausti tiesioginio katalogų naršymo galimybę ir sukonfigūruoti tinkamus failų prieigos leidimus.

Slaptažodžių ir prieigos duomenų keitimas

Po įsilaužimo būtina pakeisti VISUS su svetaine susijusius slaptažodžius ir prieigos duomenis:

• FTP/SFTP prisijungimo duomenys – naudojami failų perdavimui į serverį;
• Valdymo skydelio prisijungimo duomenys – CMS administratoriaus ir visų vartotojų paskyros;
• Duomenų bazės prisijungimo duomenys – tiek pačioje duomenų bazėje, tiek konfigūracijos failuose;
• Prieglobos valdymo skydelio prisijungimo duomenys – jūsų paskyra pas prieglobos paslaugų teikėją;
• El. pašto paskyros – ypač tos, kurios susietos su svetainės funkcijomis;
• API raktai – naudojami integravimui su trečiųjų šalių paslaugomis.

Kuriant naujus slaptažodžius, naudokite bent 12 simbolių kombinacijas, įtraukiant didžiąsias ir mažąsias raides, skaičius bei specialiuosius simbolius. Kiekvienai paslaugai naudokite skirtingus slaptažodžius ir apsvarstykite galimybę įdiegti slaptažodžių valdymo programinę įrangą, kuri padėtų juos saugiai laikyti.

Saugumo įskiepių ir papildomų apsaugos priemonių įdiegimas

Įvairios CMS platformos siūlo specializuotus saugumo įskiepius, kurie gali žymiai sustiprinti jūsų svetainės apsaugą:

WordPress:

• Wordfence Security – ugniasienė, nuskaitymo įrankis ir prisijungimo apsauga;
• iThemes Security – daugiau nei 30 saugumo funkcijų vienoje vietoje;
• Sucuri Security – saugumo kietinimas, veiklos stebėsena, pranešimai apie atakas.

Joomla:

• JomDefender – apsauga nuo įsilaužimų ir kenkėjiško kodo;
• AdminTools – išplėstinės saugumo funkcijos ir WAF galimybės;
• RSFirewall – saugumo nuskaitymai ir įsilaužimų prevencija.

Drupal:

• Security Kit – daugialypė apsauga nuo įvairių atakų tipų;
• Security Review – automatinis saugumo tikrinimas ir rekomendacijos;
• Login Security – apsauga nuo brute force atakų.

Be įskiepių, svarstykite galimybę naudoti profesionalias svetainių saugumo stebėjimo paslaugas, kurios nuolat stebi jūsų svetainę ir nedelsiant informuoja apie galimus pažeidimus.

Kaip pašalinti svetainę iš juodojo sąrašo ir atgauti SEO pozicijas

Po įsilaužimo jūsų svetainė gali būti įtraukta į Google, Yandex, Bing ar kitų paieškos sistemų bei antivirusinių programų juoduosius sąrašus. Tai labai neigiamai paveikia lankomumą ir SEO pozicijas. Štai kaip pašalinti svetainę iš juodojo sąrašo:

1. Įsitikinkite, kad svetainė tikrai švari. Prieš prašydami pašalinti iš juodojo sąrašo, atlikite išsamų nuskaitymą ir įsitikinkite, kad visas kenkėjiškas kodas pašalintas.
2. Patikrinkite svetainės būseną. Naudokite Google Search Console, Safe Browsing patikros įrankį ir kitas paslaugas, kad pamatytumėte, kur jūsų svetainė įtraukta į juodąjį sąrašą.
3. Pateikite peržiūros prašymą. Google Search Console įrankiuose galite rasti specialią formą, skirtą prašyti pakartotinio jūsų svetainės įvertinimo. Panašias procedūras turi ir kitos paieškos sistemos.
4. Paruoškite išsamią informaciją. Prašyme detaliai aprašykite, kokį pažeidimą patyrėte, kokių veiksmų ėmėtės jam pašalinti, ir kaip užtikrinsite, kad tai nepasikartotų.
5. Stebėkite prašymo būseną. Paprastai peržiūra trunka nuo kelių valandų iki kelių dienų. Jei prašymas atmetamas, būtinai perskaitykite priežastis ir pašalinkite likusias problemas.

Atgauti SEO pozicijas po įsilaužimo gali užtrukti – tai priklauso nuo to, kiek ilgai svetainė buvo užkrėsta ir kiek stipriai buvo pažeista jos reputacija. Nuosekliai dirbkite ties turiniu, atnaujinkite nuorodas, stebėkite svetainės veikimą naudodami Google Analytics ir Search Console, ir pamažu jūsų svetainė atgaus ankstesnes pozicijas.

Kaip apsisaugoti nuo ateities įsilaužimų

Saugumo užtikrinimas yra nuolatinis procesas, ne vienkartinė užduotis. Štai esminės praktikos, kurios padės apsaugoti svetainę nuo būsimų įsilaužimų:

1. Reguliarūs atnaujinimai. Įdiekite saugumo atnaujinimus iškart, kai tik jie pasirodo. Tai taikoma CMS, įskiepiams, temoms ir serverio programinei įrangai.
2. Automatinės atsarginės kopijos. Konfigūruokite automatinį atsarginių kopijų kūrimą bent kartą per parą. Saugokite kopijas skirtingose fizinėse vietose.
3. Dviejų faktorių autentifikacija (2FA). Įjunkite 2FA visiems prisijungimams, kur tik įmanoma – tai žymiai apsunkina neteisėtą prisijungimą net turint slaptažodį.
4. Ribokite prisijungimo bandymus. Įdiekite funkcijas, kurios blokuoja IP adresus po kelių nesėkmingų bandymų prisijungti.
5. Reguliari saugumo auditas. Bent kartą per ketvirtį atlikite svetainės saugumo patikrą, ieškodami naujų pažeidžiamumų.
6. Šalinkite nenaudojamus įskiepius ir temas. Kiekvienas papildomas komponentas – potenciali saugumo spraga, todėl ištrinkite viską, ko nenaudojate.
7. Naudokite minimalias teises. Svetainės naudotojams suteikite tik tas teises, kurios būtinos jų funkcijoms atlikti.
8. Stebėkite failų keitimus. Įdiekite įrankius, kurie informuoja apie bet kokius svetainės failų pakeitimus.
9. Serverio lygio apsauga. Jei įmanoma, naudokite Web Application Firewall (WAF) ir intrusion detection sistemas.
10. Švietimas. Užtikrinkite, kad visi, turintys prieigą prie svetainės, būtų susipažinę su pagrindinėmis saugumo praktikomis.

Taip pat rekomenduojama parengti incidentų valdymo planą, kuris numatytų konkrečius veiksmus įvykus įsilaužimui. Tokiu būdu galėsite greičiau ir efektyviau reaguoti į saugumo pažeidimus.

Prisiminkite – kibernetinio saugumo srityje profilaktika visada yra pigesnė ir efektyvesnė nei gydymas. Reguliarūs investavimai į saugumo priemones gali sutaupyti tūkstančius eurų, kuriuos kitaip tektų išleisti pašalinant įsilaužimo pasekmes ir atstatant reputaciją.

Dažniausiai užduodami klausimai (DUK)

Kaip sužinoti, ar mano svetainė buvo nulaužta?

Netikėti peradresavimai, saugumo įspėjimai naršyklėse, keisti failai, pakeistas svetainės dizainas ar įspėjimai iš Google ar prieglobos teikėjo yra pagrindiniai požymiai, kad jūsų svetainė galėjo būti nulaužta.

Ar galiu pats sutvarkyti nulaužtą svetainę, ar reikia specialisto pagalbos?

Paprastesnius įsilaužimus galima sutvarkyti savarankiškai, naudojantis gerais vadovais ir įrankiais, tačiau pasikartojančios problemos ar jautrių duomenų pažeidimai reikalauja profesionalios pagalbos.

Kaip pašalinti svetainę iš Google juodojo sąrašo po įsilaužimo?

Išvalius svetainę, naudokite Google Search Console, kad pateiktumėte peržiūros prašymą; pateikite įrodymus, kad svetainė dabar yra saugi, ir išsamiai aprašykite, kokių veiksmų ėmėtės pažeidimui pašalinti.

Ar svetainės atkūrimas iš atsarginės kopijos išspręs problemą?

Tik jei atsarginė kopija yra švari. Prieš atkurdami, visada nuskaitykite atsargines kopijas, nes senesnės kopijos taip pat gali būti užkrėstos kenkėjišku kodu.

Koks geriausias būdas apsisaugoti nuo pakartotinių svetainės įsilaužimų?

Nuolat atnaujinkite svetainę ir įskiepius, naudokite stiprius slaptažodžius, reguliariai atlikite saugumo patikras, įdiekite patikimus saugumo įskiepius ir darykite reguliarias atsargines kopijas.