Sito web violato: cosa comprende Incident Recovery

Che cos'è

Lo sprint inizia con una presa in carico prioritaria che conferma il problema segnalato, il sito web interessato, gli accessi che può autorizzare ed eventuali finestre di modifica in produzione. Il team esamina quindi i log, i segnali e le evidenze del sito disponibili, classifica ciò che è visibile e contiene il sito interessato entro gli accessi confermati. La bonifica riguarda codice malevolo, backdoor e account utente non autorizzati. Il sito viene poi ripristinato in modo sicuro e il punto di ingresso individuato nella revisione viene chiuso. Riceve un report scritto con raccomandazioni di hardening; a seconda del livello, sono inclusi anche una presentazione dei rilievi in diretta o una revisione di convalida successiva dopo le azioni concordate. Il lavoro si concentra sul ripristino entro il perimetro concordato; report di analisi tecnica digitale, determinazioni legali della violazione, notifiche ufficiali e monitoraggio continuativo sono affidati a specialisti appropriati.

Per Chi È

Questo incarico è utile per i team che:

• Hanno un sito web o un sito WordPress violato e hanno bisogno di una bonifica operativa e di un ripristino sicuro
• Vedono sul proprio sito contenuti sconosciuti, reindirizzamenti, pagine di spam o account amministratore non riconosciuti
• Hanno avuto il sito messo offline dal proprio hosting provider dopo una compromissione
• Possono autorizzare l'accesso al sito e all'hosting interessati e indicare un decisore per le modifiche

Cosa Aiuta A Chiarire

Lo sprint aiuta i team a capire:

• Cosa è visibile dal problema segnalato e dalle evidenze disponibili, e cosa resta non confermato
• Quali codici malevoli, backdoor, utenti non autorizzati e punto di ingresso sono stati individuati e affrontati nel perimetro
• Quali misure di hardening dovrebbero seguire per ridurre la probabilità di una nuova compromissione
• Se esiste un'esigenza separata di analisi tecnica digitale, consulenza legale, notifica, monitoraggio o attività di sicurezza più ampie

Cosa è incluso

• Presa in carico prioritaria del problema segnalato, del sito web interessato, degli accessi autorizzati e della finestra di modifica in produzione
• Revisione iniziale e classificazione del problema, inclusi log e segnali disponibili ove previsti dal livello
• Contenimento operativo del sito interessato entro gli accessi confermati
• Rimozione di codice malevolo, backdoor e utenti non autorizzati
• Ripristino sicuro e chiusura del punto di ingresso individuato
• Report scritto con raccomandazioni di hardening, più una presentazione in diretta o una convalida successiva ove previste dal livello

Cosa non è incluso

• Risposta agli incidenti con reperibilità permanente, un abbonamento per la risposta alle emergenze, tempi di risposta fissi o monitoraggio SOC/MDR in diretta
• Interventi operativi su siti web, account o server non confermati nel perimetro scritto
• Analisi tecnica digitale, report di analisi tecnica digitale, catena di custodia delle evidenze con valore legale, determinazione della violazione, notifica alle autorità o consulenza legale
• Una promessa di bonifica completa o di rimozione di ogni possibile traccia
• Penetration testing, Red Team Exercise o Threat Hunting, salvo perimetro definito separatamente

Quando sceglierlo

Scelga questo servizio quando un sito web o un sito WordPress mostra segni di compromissione, come contenuti inattesi, reindirizzamenti, spam, utenti sconosciuti, una sospensione da parte dell'hosting o la perdita di un account amministratore, e ha bisogno che il sito venga bonificato e ripristinato entro un perimetro definito. Funziona meglio quando può autorizzare l'accesso al sito e all'hosting interessati, indicare un decisore e concordare una finestra di modifica in produzione. Se la preoccupazione riguarda un'infrastruttura più ampia, sistemi interni o un'indagine regolamentata, può essere necessario un perimetro separato o un fornitore specializzato in risposta agli incidenti, analisi tecnica digitale o consulenza legale, in aggiunta o in alternativa a questo sprint.

Il nostro approccio

Iniziamo confermando per iscritto sito web, accessi e finestra di modifica, così che il lavoro operativo resti entro un confine concordato. Esaminiamo le evidenze disponibili e classifichiamo ciò che è visibile prima di apportare modifiche. Il contenimento viene per primo, seguito dalla rimozione di codice malevolo, backdoor e utenti non autorizzati. Ripristiniamo poi il sito in modo sicuro e chiudiamo il punto di ingresso individuato nella revisione. Ogni azione viene registrata e il report scritto separa ciò che è stato trovato, ciò che è stato modificato, ciò che resta incerto e le misure di hardening che raccomandiamo come passo successivo. Quando una questione esula dal perimetro, ad esempio un altro server, un'esigenza di analisi tecnica digitale o un obbligo legale o di notifica, lo diciamo chiaramente e indichiamo il passo successivo più adatto. Ove previsto dal livello, una revisione di convalida successiva verifica le azioni concordate dopo il passaggio di consegne.

Domande frequenti

Articoli correlati