РАЗПОЗНАВАНЕ
Възможни признаци
Един симптом сам по себе си не потвърждава пробив. Запишете какво наблюдавате и го проверете с отговорния екип.
- На сайта се вижда непознато съдържание, пренасочване или предупреждение от браузър.
- Появяват се администраторски профили, плъгини или файлове, които екипът не разпознава.
- Хостинг доставчикът съобщава за подозрителна активност или сайтът е спрян.
- Има неизвестни промени в DNS, сертификата, домейн регистратора или конфигурацията.
ПЪРВИ ДЕЙСТВИЯ
Какво да направите сега
- 01
Потвърдете инцидента от независима връзка
Запишете URL адреса, часа, засегнатите страници и екрана на предупреждението. Не влизайте в администраторския панел от устройство, което може да е компрометирано.
- 02
Свържете се с хостинга и отговорния екип
Използвайте официален телефон или контролен панел, до който имате доверен достъп. Координирайте запазване на копие и журналите преди възстановяване или чистене.
- 03
Ограничете рисковата функционалност
Собственикът на услугата и техническият екип решават дали временно да ограничат достъпа, плащанията или формите. Не правете промени в DNS, файлове или бази данни без план и одобрение.
- 04
Защитете свързаните достъпи
От доверено устройство прегледайте кой има права за хостинг, CMS, домейн, DNS, облачни услуги и тайни за приложенията. Координирайте прекратяването на достъпа и смяната на изложени ключове.
НАСОКИ ЗА РЕАКЦИЯ
Запазете състоянието преди ремонт
Преди да изтриете подозрителен файл, смените всички плъгини или върнете резервно копие, запазете наличните журнали и състоянието чрез отговорния хостинг/ИТ екип. Отбележете кога е забелязан проблемът и кои страници или функции са засегнати. Снимките на екрана и копията помагат да се сравнят промените.
Ако сайтът показва съдържание, което може да навреди на посетителите, ръководството и техническият екип трябва да решат как временно да ограничат експозицията. Използвайте координирана промяна, която може да бъде отменена и документирана.
- Не преинсталирайте сайта и не изтривайте журналите преди оценка.
- Не въвеждайте администраторски пароли през подозрителни форми.
НАСОКИ ЗА РЕАКЦИЯ
Проверете целия път на достъп
Уеб сайтът може да зависи от система за управление на съдържанието, хостинг акаунт, база данни, DNS, домейн регистратор, CI/CD, външни разширения и акаунти на разработчици. Проверете неоторизирани промени във всеки компонент, както и нови потребители, токени, задачи и настройки за пренасочване. Ограничете разследването до упълномощени системи и собственици.
Сменете изложени пароли и ключове от доверено устройство, след като се прецени кои са засегнати. Корекцията на видимата страница без отстраняване на достъпа може да доведе до повторно компрометиране.
- Съгласувайте работата с доставчика на хостинг и разработчиците.
- Пазете копия от промени, журнални експорти и времеви отметки.
НАСОКИ ЗА РЕАКЦИЯ
Проверено възстановяване
Възстановявайте от известен добър източник след преглед за уязвими разширения, стари акаунти и неоторизирани промени. Възстановяването трябва да включва обновяване и отстраняване на причината, проверка на административните права и наблюдение след пускането. Не приемайте, че последният архив е чист или пълен, без проверка.
Ако сайтът събира данни или обработва плащания, оценете дали е имало достъп до лични или платежни данни и включете отговорните правни и бизнес лица. Уведомявайте клиенти само след проверка и съгласуване на съдържанието.
- Проверете функционалността и сигурността преди връщане към нормален трафик.
- Следете за повторни промени и неочаквани администраторски входове.
НАСОКИ ЗА РЕАКЦИЯ
Как SOC.bg може да помогне
Инфосек Груп може да обсъди наличните сигнали и границите на инцидента, както и дали случаят попада в действащ обхват или изисква отделно възлагане. SOC.bg не поема автоматично сайта или 24/7 наблюдението само след входящо обаждане. Собственикът и администраторът одобряват всяка промяна по продукционната среда.
- Свържете се на contact@soc.bg или +359 876 830 388.
- Изпратете публичния URL и обобщение; не споделяйте тайни или пълни журнали в незащитен канал.
ЧЕСТО ЗАДАВАНИ ВЪПРОСИ
Кратки отговори
Да възстановим ли сайта от backup веднага?
Първо запазете следите и проверете причината, акаунтите и самото копие. Иначе може да върнете уязвим компонент или повторно да изложите системата.
Трябва ли да изключим сайта?
Решението зависи от риска за посетителите и услугата. Собственикът и техническият екип координират ограничаването, като запазят нужните журнали и оценят критичните функции.
Кой трябва да смени паролите?
Упълномощен администратор трябва да провери засегнатите достъпи и да подмени ги от доверено устройство, включително хостинг, CMS, домейн и свързани ключове, когато е приложимо.
ОФИЦИАЛНИ НАСОКИ