Når WordPress er kompromittert: En handlingsplan for den første timen

Kategori: Nettsikkerhet

En merkelig administratorbruker, ukjente videresendinger eller endrede filer kan være tegn på at WordPress-nettstedet er kompromittert. Da er det fristende å oppdatere alt, slette mistenkelige filer og bytte noen passord. Slike tiltak kan være riktige senere, men utført i feil rekkefølge kan de ødelegge spor, stenge ansvarlige ute eller la angriperen beholde tilgangen.

Målet den første timen er ikke nødvendigvis å få nettsiden tilbake i normal drift. Målet er å få kontroll: avgrense hendelsen, beskytte brukere og data, bevare relevant informasjon og etablere et sikkert utgangspunkt for opprydding.

Avklar hvem som leder hendelsen

Før noen begynner å endre nettstedet, bør én person få ansvar for å koordinere arbeidet. Det kan være en intern teknisk ansvarlig, driftsleverandøren eller webbyrået. Vedkommende skal holde oversikt over hva som blir gjort, av hvem og når.

Opprett en enkel hendelseslogg med følgende informasjon:

• Når mistanken oppsto, og hvem som oppdaget den
• Hvilke symptomer dere har sett
• Hvilke brukere, systemer og integrasjoner som kan være berørt
• Hvilke tiltak som er gjennomført
• Hvem som har tatt beslutningene

Unngå å diskutere hendelsen i en kanal som kan være kompromittert. Hvis en administrator sin e-postkonto kan være overtatt, bør dere bruke en annen avtalt kanal for koordinering og passorddeling.

Første fase: Bekreft symptomet uten å gjøre unødvendige endringer

Start med å dokumentere det dere faktisk ser. Ta skjermbilder av ukjente brukere, feilmeldinger, endrede innstillinger og mistenkelig innhold. Noter tidspunktet. Bevar aktuelle logger fra driftsmiljø, WordPress, sikkerhetsverktøy og eventuelle beskyttelsestjenester dersom de finnes.

Se etter konkrete avvik:

• Nye administratorer eller endrede e-postadresser
• Ukjente utvidelser, temaer eller planlagte oppgaver
• Videresendinger til andre nettsteder
• Endringer i betalingsinformasjon, skjemaer eller sporingskoder
• Uvanlig mange innlogginger eller passordforsøk
• Filer som nylig er opprettet eller endret uten kjent årsak
• Varsler fra drift, nettlesere eller søketjenester

Et enkelt avvik beviser ikke alltid et innbrudd. En ukjent fil kan tilhøre en legitim oppdatering, og høy trafikk kan skyldes en kampanje. Dokumentasjonen gjør det mulig å undersøke uten å basere seg på antakelser.

Andre fase: Begrens skadeomfanget

Hvis nettsiden sprer skadevare, sender besøkende videre, viser falske betalingsopplysninger eller eksponerer persondata, bør den normalt tas ut av offentlig drift eller settes i en kontrollert vedlikeholdsmodus. Gjør dette på infrastrukturnivå dersom WordPress-administrasjonen ikke kan stoles på.

Ikke slett hele installasjonen som første tiltak. Ta først en kopi av filer, database, logger og relevant konfigurasjon. Denne kopien skal behandles som potensielt skadelig og oppbevares adskilt fra vanlige sikkerhetskopier.

Vurder også hvilke tilkoblede tjenester som må avgrenses. WordPress kan ha tilgang til e-postutsending, betaling, kundedata, analyseverktøy, skylagring og økonomisystemer. En kompromittert integrasjonsnøkkel kan gi angriperen tilgang videre, selv etter at nettsiden er ryddet.

Tredje fase: Sikre autentisering og aktive økter

Passordbytte er viktig, men ikke tilstrekkelig. En angriper kan allerede ha en aktiv innlogget økt, en skjult administratorbruker eller gyldige nøkler til andre tjenester.

Gjennomfør tiltakene fra en enhet dere har grunn til å stole på:

1. Bytt passord for drift, WordPress-administratorer, database, filtilgang og relevante leverandørkontoer.
2. Aktiver eller kontroller flerfaktorautentisering på kontoer med utvidede rettigheter.
3. Avslutt aktive økter slik at eksisterende innlogginger blir ugyldige.
4. Bytt sikkerhetsnøkler og integrasjonsnøkler som kan ha vært tilgjengelige.
5. Deaktiver ukjente brukere, men dokumenter dem før de fjernes.
6. Kontroller at gjenopprettingsadresser og telefonnumre ikke er endret.

Bruk unike passord. Dersom samme passord er brukt andre steder, må også disse kontoene behandles som utsatt. Prioriter kontoene som kan endre nettsiden, opprette brukere, hente ut data eller endre fakturering.

Ikke oppdater ukritisk midt i undersøkelsen

Utdaterte komponenter er en vanlig inngang til WordPress, og oppdateringer vil ofte være en del av løsningen. Men en umiddelbar masseoppdatering kan overskrive filer og gjøre det vanskeligere å forstå hva som skjedde.

Bevar først nødvendige data. Deretter kan dere kartlegge WordPress-kjernen, temaer og utvidelser mot kjente svakheter og faktisk bruk. Komponenter som ikke lenger vedlikeholdes, bør normalt erstattes eller fjernes. Deaktivering alene er ikke alltid nok dersom filene fortsatt ligger tilgjengelig på serveren.

Oppdateringer bør gjennomføres i et isolert miljø eller som del av en kontrollert gjenoppbygging. Test særlig innlogging, skjemaer, betaling, søk, integrasjoner og redaksjonelle funksjoner før løsningen åpnes igjen.

Velg mellom rensing og gjenoppbygging

Det kan være fristende å finne én ondsinnet fil, slette den og erklære nettstedet trygt. Problemet er at angriperen kan ha opprettet flere bakdører, endret databasen eller lagt inn kode i en tilsynelatende legitim utvidelse.

En gjenoppbygging fra kjente, rene komponenter gir ofte bedre kontroll enn manuell rensing. Det innebærer typisk å installere WordPress, temaer og utvidelser på nytt fra godkjente originalpakker, kontrollere egne tilpasninger og importere verifisert innhold.

Manuell rensing kan være nødvendig når løsningen inneholder mye spesialutvikling. Da bør alle relevante filer sammenlignes med forventet innhold, og databasen må undersøkes for ukjente administratorer, injisert kode, endrede innstillinger og planlagte oppgaver.

Bruk backup som arbeidsgrunnlag, ikke som en tidsmaskin

En sikkerhetskopi er ikke automatisk ren. Angriperen kan ha hatt tilgang lenge før symptomene ble synlige. Hvis dere gjenoppretter den nyeste kopien uten kontroll, kan dere samtidig gjenopprette bakdøren.

Vurder hver aktuell sikkerhetskopi ut fra:

• Når de første sikre tegnene på kompromittering oppsto
• Hvor lenge den aktuelle sårbarheten eller kontoen kan ha vært utnyttet
• Om kopien omfatter både filer, database og nødvendig konfigurasjon
• Om innholdet kan kontrolleres i et isolert miljø
• Hvilke legitime endringer som går tapt ved gjenoppretting

For nettbutikker og nettsteder med mange skjemaer må dere skille mellom programkode og ferske forretningsdata. En eldre, ren kodebase kan kombineres med kontrollerte ordre- eller skjemadata, men dette krever en planlagt migrering. Ikke overskriv nye bestillinger eller henvendelser uten at konsekvensene er avklart.

Kontroller før nettstedet åpnes igjen

Før normal drift gjenopptas, bør dere kunne svare på tre spørsmål: Hva var den sannsynlige inngangen? Er denne inngangen stengt? Hvilke tegn vil avsløre om angriperen fortsatt har tilgang?

Gjennomfør minst følgende kontroll:

• Alle administratorer og tjenestekontoer er kjent og nødvendige
• Passord, sikkerhetsnøkler og berørte integrasjonsnøkler er byttet
• Aktive økter er avsluttet
• WordPress, temaer og utvidelser er kontrollert og oppdatert
• Ubrukte komponenter og kontoer er fjernet
• Filområder har riktige skrivetilganger
• Skjemaer, betaling og e-post fungerer uten ukjente mottakere
• Overvåking og logging er aktivert
• En ny, kontrollert sikkerhetskopi er tatt

Følg ekstra nøye med etter gjenåpning. Se etter nye administratorer, endrede filer, uvanlige innlogginger, trafikkavvik og uventede utgående forespørsler. Overvåkingen må ha en navngitt mottaker og en avtale om hvem som reagerer.

Vurder om hendelsen må varsles

Dersom personopplysninger kan ha kommet på avveie, må virksomheten raskt vurdere dokumentasjons- og varslingsplikter. Dette bør håndteres av den som har ansvar for personvern og ledelse, ikke bare av den tekniske leverandøren.

Dokumenter hvilke data nettsiden lagrer, hvem som kan være berørt, hva angriperen kan ha hatt tilgang til, og hvilke tiltak som er gjennomført. Ikke vent på full teknisk sikkerhet før den organisatoriske vurderingen starter.

Gjør hendelsen til en forbedring av driften

Når situasjonen er stabil, bør dere gjennomføre en kort evaluering. Den skal ikke lete etter en syndebukk, men etter svakheter i systemet. Kanskje manglet flerfaktorautentisering, oppdateringsansvaret var uklart, backupen var vanskelig å bruke eller varsler gikk til en innboks ingen fulgte med på.

Avslutt med konkrete tiltak, ansvarlig person og frist. En enkel beredskapsplan bør ligge tilgjengelig utenfor WordPress og inneholde kontaktpersoner, stengeprosedyre, plassering av logger og backup, prioriterte integrasjoner og kriterier for gjenåpning.

Den viktigste lærdommen er at hendelseshåndtering begynner før hendelsen. Tydelig tilgangsstyring, raske oppdateringsrutiner, testet gjenoppretting og overvåking med faktisk oppfølging gjør den første timen langt mindre kaotisk.