Răspuns la incidente de securitate: Ce faceți când site-ul dumneavoastră este atacat

Răspuns la incidente de securitate este procesul structurat pe care trebuie să îl urmați când site-ul dumneavoastră este atacat sau compromis, iar viteza și corectitudinea acțiunilor luate în primele ore determină amploarea daunelor finale. Un răspuns eficient poate limita impactul unui incident de securitate la câteva ore de downtime, în timp ce un răspuns dezorganizat poate duce la pierderi de date ireversibile și reputație afectată pe termen lung.

Organizațiile cu un plan de răspuns la incidente bine definit recuperează în medie de 3 ori mai rapid decât cele care improvizează în timpul crizei.

Răspuns la incidente de securitate: Ce faceți când site-ul dumneavoastră este atacat

Incidentele de securitate pentru site-uri web se manifestă în mai multe forme: defacement (modificarea vizuală a site-ului), redirectări malițioase, injecții de cod, furt de date, blacklistare de Google sau downtime cauzat de atacuri DDoS. Fiecare tip necesită o abordare specifică, dar principiile generale de răspuns rămân similare.

Cheia unui răspuns eficient este pregătirea anterioară, nu improvizația în momentul crizei.

Semnele că site-ul dumneavoastră a fost compromis

Recunoașterea rapidă a unui incident este primul pas al răspunsului eficient. Monitorizați aceste semne de alarmă care indică o posibilă compromitere.

• Redirectări neașteptate: site-ul redirecționează vizitatorii spre site-uri de farmacii, casino sau adulți
• Avertisment Google: "This site may harm your computer" sau "Deceptive site ahead"
• Notificare hosting: furnizorul de hosting vă notifică despre activitate suspectă sau blochează contul
• Performanță degradată: site-ul este neobișnuit de lent fără modificări recente
• Conținut nou neautorizat: pagini, articole sau linkuri create fără intervenție umană
• Email-uri bounce: primiți bounce-uri de la emailuri pe care nu le-ați trimis

Pasul 1: Containment, limitați propagarea

Prima prioritate este limitarea daunelor, nu investigarea. Puneți site-ul în modul de mentenanță sau offline imediat ce confirmați compromiterea. Aceasta protejează vizitatorii și oprește activitatea malițioasă.

# Activare mod mentenanta rapid via WP-CLI
wp maintenance-mode activate
# Sau prin crearea fisierului .maintenance in radacina WordPress
echo '' > /var/www/html/.maintenance

Schimbați imediat toate parolele: WordPress admin, cPanel, FTP, baza de date și email-ul asociat contului. Revocați toate sesiunile active din WordPress din Users > All Users > deconectați utilizatorii.

Pasul 2: Identificarea și documentarea incidentului

Înainte de a șterge orice fișier suspect, documentați incidentul. Fotografiați sau exportați log-urile de acces, fișierele modificate și orice altă dovadă. Aceste informații sunt necesare pentru înțelegerea vectorului de atac și prevenirea recidivelor.

# Salvati log-urile de acces inainte de orice interventie
cp /var/log/apache2/access.log /backup/incident_$(date +%Y%m%d)_access.log
cp /var/log/auth.log /backup/incident_$(date +%Y%m%d)_auth.log

# Identificati fisierele modificate in ultimele 48 de ore
find /var/www/html -mtime -2 -type f | grep "\.php$" > /tmp/fisiere_modificate.txt

Pasul 3: Investigarea vectorului de atac

Analiza log-urilor de acces relevă de obicei cum a pătruns atacatorul: un plugin vulnerabil, autentificare brute-force reușită sau un fișier PHP malițios încărcat printr-un formular nesecurizat.

# Cautati cereri suspecte in log-ul de acces
grep -E "POST.*wp-login|POST.*xmlrpc|eval\(|base64" /var/log/apache2/access.log | tail -100

# Verificati autentificari SSH suspecte
grep "Accepted\|Failed" /var/log/auth.log | tail -200

Identificarea vectorului de atac este esențială. Fără această informație, site-ul poate fi recompromis rapid după restaurare.

Pasul 4: Eradicarea amenințării

Odată identificat vectorul de atac și fișierele infectate, procedați la curățare. Pentru infecții extinse, restaurarea dintr-un backup curat anterior incidentului este mai sigură decât curățarea manuală.

# Reinstalare WordPress core, pastrare wp-content
wp core download --force

# Reinstalare pluginuri din repository oficial
wp plugin install --force PLUGIN_SLUG
# Stergere fisiere PHP suspecte identificate anterior
while IFS= read -r file; do
    rm -f "$file"
done < /tmp/fisiere_suspecte.txt

Pasul 5: Restaurarea și verificarea serviciului

Înainte de a reactiva site-ul, verificați că toate vulnerabilitățile identificate au fost remediate, toate fișierele malițioase au fost eliminate și toate credențialele au fost schimbate.

# Verificare integritate WordPress dupa curatare
wp core verify-checksums
wp plugin verify-checksums --all

# Scanare finala cu WPScan
wpscan --url https://site-ul-dumneavoastra.ro --api-token TOKEN

Pasul 6: Solicitarea eliminării din lista neagră Google

Dacă Google a blacklistat site-ul, solicitați re-evaluarea după curățarea completă din Google Search Console > Security Issues > Request Review. Procesul durează de obicei 24-72 de ore.

Documentați pașii de remediere în cererea de review pentru a crește șansele de aprobare rapidă. Google preferă cereri detaliate care demonstrează înțelegerea problemei și măsurile implementate.

Pasul 7: Post-incident, prevenirea recidivelor

Analiza post-incident transformă o experiență negativă într-o oportunitate de îmbunătățire a securității. Documentați lecțiile învățate și implementați măsuri pentru prevenirea incidentelor similare.

• Actualizați toate componentele: WordPress, pluginuri, teme la versiunile curente
• Implementați 2FA: pentru toate conturile de administrator
• Configurați monitorizarea: Wordfence, Sucuri sau servicii de monitorizare externă
• Testați backup-urile: verificați că restaurarea funcționează înainte de a fi necesar
• Configurați alertele: notificări imediate pentru modificări de fișiere și logins suspecte

Un incident de securitate bine gestionat poate consolida, paradoxal, încrederea în infrastructura dumneavoastră digitală, demonstrând că aveți proceduri mature de răspuns. Descoperiți serviciile de securitate și monitorizare web disponibile pe goai.ro pentru protecție continuă.