Bir Müşteri Sitesi Hacklenirse: Olay Müdahalesi

Bir müşteri sitesi ele geçirildiğinde bayi hesabında izlenecek sıra şudur: etkilenen hesabı diğerlerinden yalıtın, parolaları değiştirin, mevcut halin kopyasını alın, temiz bir yedekten dönün, açığı kapatın ve sonrasında izlemeye alın. Hız kadar sıra da önemlidir: açığı bulmadan yapılan geri yükleme, aynı olayın birkaç gün içinde tekrarlamasıyla sonuçlanır.

İlk 30 dakika

1. Doğrulayın: Gerçekten bir ihlal mi, yoksa yanlış yapılandırma mı? Belirtileri kayıtlarla teyit edin.
2. Yalıtın: Etkilenen hesabı askıya alın veya bakım moduna geçirin; diğer hesapları koruyun.
3. Parolaları değiştirin: Hesap paneli, FTP, veritabanı, e-posta ve uygulama yönetici parolaları.
4. Kanıtı saklayın: Mevcut halin bir kopyasını alın; inceleme için gerekecek.
5. Bildirin: Müşteriye ve gerekiyorsa sağlayıcınıza durumu iletin.

Yayılma riskini kesin

Bayi hesabında birden çok müşteri barındığı için ilk soru şudur: diğer hesaplar etkilendi mi? Kaynak izolasyonu olan bir altyapıda hesaplar birbirinin dosyalarını göremez; bu, zararın tek hesapla sınırlı kalmasını sağlar. İzolasyonun teknik karşılığını CloudLinux, CageFS ve LVE yazısında anlattık.

Yine de şu üç kontrolü yapın: diğer hesaplarda değiştirilme tarihi son güne ait beklenmedik dosya var mı, giden e-posta hacminde artış var mı, bilinmeyen yönetici hesapları oluşmuş mu?

Temizlik: geri yükleme mi, elle temizlik mi?

Tercih edilen yol, bilinen temiz bir yedeğe dönmek ve ardından tüm bileşenleri güncel sürümlerle yeniden kurmaktır. Yedekleme stratejisini WordPress yedekleme ve snapshot ve yedek farkı yazılarında ele aldık.

Açığı bulmak

• Erişim kayıtlarında olay saatine yakın olağandışı istekleri arayın.
• Güncellenmemiş eklenti ve temaları listeleyin.
• Dosya yükleme noktalarını kontrol edin: yükleme dizininde betik var mı?
• Yönetici hesaplarını ve son giriş kayıtlarını inceleyin.
• Zamanlanmış görevlerde bilinmeyen komut var mı?
• Parola sızıntısı ihtimalini değerlendirin: aynı parola başka yerde kullanılmış mı?

WordPress tarafındaki tipik giriş noktalarını WordPress güvenliği yazısında topladık.

Müşteriyle iletişim

Olayı gizlemek yerine, ne olduğunu ve ne yapıldığını açık biçimde anlatın. İşleyen bir bildirim şunları içerir: ne zaman fark edildi, hangi veriler etkilendi (veya etkilenmediği), hangi adımlar atıldı, müşteriden ne bekleniyor (parola değişimi gibi) ve tekrarını önlemek için ne yapılacak.

Kişisel veri sızma ihtimali varsa, bildirim yükümlülükleri açısından hukuk danışmanınıza danışın.

Sonrasında: tekrarı önleme

1. Tüm hesaplarda güncelleme durumunu gözden geçirin.
2. Kullanılmayan eklenti, tema ve hesapları kaldırın.
3. Yönetim girişlerini koruma altına alın (deneme sınırı, iki adımlı doğrulama).
4. Yedekleme sıklığını ve saklama süresini yeniden değerlendirin.
5. Dosya değişikliği izleme kurun: erken uyarı, en değerli önlemdir.
6. Müşteri sözleşmesindeki sorumluluk dağılımını gözden geçirin.

Sorumluluk kimde?

Bayi modelinde sınırlar şöyle çizilir: altyapı ve sunucu güvenliği sağlayıcıda, hesap yapılandırması ve izleme sizde, site yazılımı ve parolalar müşteride. Bu ayrımın sözleşmede yazılı olması, olay anında tartışmayı değil çözümü öne alır. Destek kapsamını nasıl tanımlayacağınızı bayi hostingte müşteri desteği yazısında ele aldık.

Netx'te bayi hosting

WHM erişimli bayi hosting paketlerinde hesap bazlı izolasyon ve yedekleme özellikleri paket kartlarında belirtilir. Kendi sunucunuza geçtiyseniz güvenlik yapılandırmasını ilk kurulum rehberinde bulabilir, işletimi devretmek için sunucu yönetim hizmetine bakabilirsiniz.

Sık sorulan sorular

Bir hesap ele geçirilirse diğerleri de risk altında mı?

Kaynak ve dosya izolasyonu varsa risk sınırlıdır. Yine de tüm hesapları kontrol etmek gerekir.

Hemen yedekten dönmeli miyim?

Önce mevcut halin kopyasını alın; inceleme yapılmadan dönülen bir yedek, açığı da geri getirebilir.

Müşteriye ne söylemeliyim?

Ne olduğunu, hangi adımların atıldığını ve kendisinden ne beklendiğini açık biçimde anlatın.

Aynı olay tekrar ederse?

Açık kapatılmamış demektir. Genellikle atlanan bir arka kapı veya güncellenmeyen bir bileşen vardır.

Sigorta veya tazminat söz konusu mu?

Sözleşmelerde sorumluluk genellikle hizmet bedeliyle sınırlıdır. Riski yedek ve izleme ile yönetin.