SIKKERHED · 5 MIN. LÆSNING
Er hackerne allerede inde? Tegn på indbrud I selv kan se
Nye brugere, ukendte filer eller mærkelig trafik? Her er tegnene på, at hackere allerede er inde, og hvad I skal gøre, hvis I finder dem.
Opdateret er ikke det samme som sikker
I har opdateret. Godt. Men hvad hvis hackerne nåede ind, før opdateringen kom?
Det er ikke et teoretisk spørgsmål. Under PHP2Shell så Cloudflare de første angrebsforsøg, før rettelsen var ude. Og en opdatering lukker døren, men smider ikke den ud, der allerede er kommet ind.
Hackere har heller ikke travlt. I en lækket server fra to ransomware-grupper kunne man se, at de gik ind, kiggede sig omkring, stjal kodeord og først angreb, når de var klar. Tiden mellem indbruddet og angrebet er jeres chance for at opdage dem.
Fem tegn, I skal kigge efter
Nye brugere: Administratorer eller brugere, ingen kan forklare, på hjemmesiden, i WordPress, på serveren eller i firewallen. Hvorfor hackerne gør det: En ekstra konto er en bagdør, der virker, selvom hullet bliver lukket.
Ukendte filer: Nye PHP-filer i mapper med billeder eller uploads, filer med mærkelige navne, ændrede filer I ikke selv har rørt. Hvorfor hackerne gør det: En webshell er en lille fil, der giver hackeren fjernstyring af serveren.
Mærkelig trafik ud: Serveren sender store mængder data ud, eller taler med adresser og lande, I ikke kender. Hvorfor hackerne gør det: Det er sådan, data bliver stjålet.
Sikkerhed slået fra: Antivirus eller overvågning, der pludselig er stoppet eller rapporterer fejl. Hvorfor hackerne gør det: Hackere slår sikkerheden fra lige før angrebet.
Ændrede indstillinger: Nye planlagte opgaver, ændrede VPN-scripts, nye videresendelser af mail. Hvorfor hackerne gør det: Så kommer de ind igen, eller får kopier af jeres mails.
Det er ikke tilfældige eksempler. Den canadiske cybermyndighed beder netop om at kigge efter uventede processer, kommandoer, filer, konti og udgående forbindelser fra PHP og webserveren. Ved WordPress-fejlen wp2shell installerede hackerne webshells. Og i den lækkede ransomware-server pralede hackerne med 108 oprettede administratorkonti ét sted.
Et godt tip: Find ud af, hvad der er normalt, før I leder efter det unormale. Hvor mange administratorer skal der være? Hvem logger ind, og hvorfra?
Hvis I finder noget
Bevar roen, og slet ikke noget. Filer og logs er beviser. Sletter I dem, ved ingen, hvad der skete.
Isolér systemet. Tag det af netværket eller internettet, men sluk det ikke, hvis I kan undgå det.
Skift kodeord fra en anden computer. Start med administratorer, mail og fjernadgange.
Ring efter hjælp. Jeres IT-sikkerhedspartner, og ved persondata skal I tage stilling til at anmelde bruddet til Datatilsynet inden for 72 timer.
Genskab fra en ren backup. Ikke en backup fra efter indbruddet.
Sådan hjælper vi
De fleste virksomheder har ikke tid til at kigge logs igennem hver dag. Det har vi. Vores SOC holder øje med jeres systemer og reagerer, når noget er forkert. Når vi har lukket, står Trend AI vagt døgnet rundt. Trend AI opdager, når nogen prøver at slå sikkerheden fra.
Har I en mærkelig fornemmelse? Ring på 82 82 82 95. Det er bedre at spørge en gang for meget.
Ofte stillede spørgsmål
Er vi sikre, når vi har opdateret?
Nej, ikke nødvendigvis. Opdateringen lukker hullet, men fjerner ikke en hacker, der allerede er inde.
Hvad er en webshell?
En lille fil på serveren, som giver en hacker fjernstyring. Den ligner tit en almindelig fil.
Skal vi anmelde det?
Er der persondata involveret, skal I som udgangspunkt anmelde bruddet til Datatilsynet inden for 72 timer.
Kan vi selv tjekke det?
De simple ting, ja: brugere, filer og indstillinger. Logs og trafik kræver værktøjer og erfaring.