Обращаются обычно в трёх состояниях. Сайт просто перестал открываться — и непонятно, это хостинг, обновление или кто-то зашёл. Сайт открывается, но ведёт себя чужим: с телефона уводит на посторонние страницы, в выдаче поисковика под ним появились заголовки, которых там никогда не было, письма с домена стали попадать в спам. Или уже кто-то «почистил» — удалил найденное, и теперь непонятно ни что было, ни как оно попало внутрь.
Порядок у меня один на все три случая, и первый шаг всегда одинаковый: снять копию текущего состояния до того, как что-то изменится. Дальше — установить причину, а не симптом: смотрю журналы сервера и панели, время появления чужих файлов, что менялось накануне, откуда и чьими правами внесены изменения. По этому же следу видно, был ли это вообще взлом или неудачное обновление, ошибка в правах, кончившееся место на диске. Только после ответа принимается решение: восстановить из копии или собрать рабочую версию заново из базы, загруженных материалов и чистого дистрибутива.
Затем — уборка. Посторонние файлы, дописанные куски в рабочих скриптах, вставки в базе: подменённые ссылки в текстах, лишние скрипты в шаблонах и настройках, чужие учётные записи и задания по расписанию. Меняю все доступы без исключения, а не только тот, который считаю виновным, и закрываю сам вход. После этого проверяю почтовую репутацию домена — с взломанного сайта часто рассылают, и это всплывает через неделю, когда клиенты перестают получать обычные письма. В конце настраиваю резервное копирование и наблюдение, чтобы о следующем происшествии вы узнали от системы, а не от покупателя, и отдаю короткий отчёт о случившемся и о сделанном.
Что оговариваю до начала, всегда:
— до вмешательства снимается копия «как есть» — без неё теряются следы и теряется возможность откатиться, и разговор о причине превращается в догадки;
— если в утечке могли оказаться данные клиентов, вы узнаёте об этом сразу; порядок ваших действий по закону — вопрос к вашему юристу, я описываю только техническую сторону: что и когда было доступно;
— «почистить и забыть» не работает: пока способ проникновения открыт, сайт ломают снова через несколько дней — как правило, тем же путём и теми же руками.
Порядок у меня один на все три случая, и первый шаг всегда одинаковый: снять копию текущего состояния до того, как что-то изменится. Дальше — установить причину, а не симптом: смотрю журналы сервера и панели, время появления чужих файлов, что менялось накануне, откуда и чьими правами внесены изменения. По этому же следу видно, был ли это вообще взлом или неудачное обновление, ошибка в правах, кончившееся место на диске. Только после ответа принимается решение: восстановить из копии или собрать рабочую версию заново из базы, загруженных материалов и чистого дистрибутива.
Затем — уборка. Посторонние файлы, дописанные куски в рабочих скриптах, вставки в базе: подменённые ссылки в текстах, лишние скрипты в шаблонах и настройках, чужие учётные записи и задания по расписанию. Меняю все доступы без исключения, а не только тот, который считаю виновным, и закрываю сам вход. После этого проверяю почтовую репутацию домена — с взломанного сайта часто рассылают, и это всплывает через неделю, когда клиенты перестают получать обычные письма. В конце настраиваю резервное копирование и наблюдение, чтобы о следующем происшествии вы узнали от системы, а не от покупателя, и отдаю короткий отчёт о случившемся и о сделанном.
Что оговариваю до начала, всегда:
— до вмешательства снимается копия «как есть» — без неё теряются следы и теряется возможность откатиться, и разговор о причине превращается в догадки;
— если в утечке могли оказаться данные клиентов, вы узнаёте об этом сразу; порядок ваших действий по закону — вопрос к вашему юристу, я описываю только техническую сторону: что и когда было доступно;
— «почистить и забыть» не работает: пока способ проникновения открыт, сайт ломают снова через несколько дней — как правило, тем же путём и теми же руками.
