Czy widzisz taki ekran?
Je¶li korzystasz z Firefoxa 3 i widzisz ekran taki jak poni¿ej, a jeszcze wczoraj Twoja witryna by³a normalnie dostêpna, to zapewne pad³e¶ ofiar± dzia³ania trojana wykradaj±cego has³a, a potem bota który zmodyfikowa³ pliki na serwerze Twojej witryny. Spokojnie, mamy proste rozwi±zanie problemu.
Wyja¶nienie
U¿ytkownicy przegl±darki Firefox 3 s± chronieni przed witrynami zawieraj±cymi z³o¶liwe oprogramowanie (ang. malware). Oznacza to, ¿e je¶li zamiast Twojej witryny pojawia siê ekran taki jak powy¿ej, to straszy nawet 40% internautów z niej korzystaj±cych, bo tylu korzysta w Polsce z Firefoxa 3. Pozosta³e 60% to internauci nara¿eni na "zawirusowanie" przez Twoj± witrynê.
Jak do tego dosz³o?
Prawdopodobnie jeden z webmasterów maj±cych dostêp do Twojej strony korzysta z programu takiego jak Total Commander, CuteFTP, czy FAR Manager s³u¿±cego do przesy³ania plików na serwer za pomoc± protoko³u FTP. Je¶li taki webmaster ma zainfekowany komputer, albo dla wygody zapamiêta³ sobie has³o do Twojego serwera w tym programie, a jednocze¶nie nie ma dobrej ochrony antywirusowej na swoim komputerze, to bardzo mo¿liwe ¿e has³o to zosta³o wykradzione przez jeden z wielu trojanów (to taki wirus), a nastêpnie wykorzystane do zmodyfikowania plików na Twoim serwerze przez boty (takie z³o¶liwe automaty). Efektem modyfikacji Twojej strony jest zamieszczenie na niej z³o¶liwego kodu, który zosta³ wykryty przez Firefoxa 3, a przy okazji przekazanie adresu Twojej strony do bazy witryn zg³oszonych jako dokonuj±ce ataków. Rezultat jest taki, ¿e Firefox 3 nie pokazuje Twojej strony, tylko straszy jej u¿ytkowników ekranem jak powy¿ej. Inne przegl±darki pewnie nie strasz±, ale za to mog± umo¿liwiaæ zara¿anie komputerów internautów przez Twoj± witrynê. Nieprzyjemna sytuacja.
Rozwi±zanie techniczne
Oto techniczne rozwi±zanie problemu w piêciu krokach:
1. Nie zapamiêtuj hase³ do FTP, SSH itp. w ¿adnym programie takim jak Total Commander. Usuñ has³a tam zapamiêtane.
2. Zainstaluj dobry program antywirusowy i przeskanuj komputery wszystkich webmasterów, aby pozbyæ siê trojana.
3. Zmieñ has³a FTP do wszystkich kont webmasterów Twojej strony
4. Dokonaj edycji wszystkich zainfekowanych plików typu index.*, login.* na Twoim serwerze. Wystarczy ¿e usuniesz podejrzany javascript, albo iframe, który zwykle znajduje siê zaraz za znacznikiem <body> albo przed znacznikiem </body> pliku HTML, ewentualnie na koñcu pliku PHP. Zmienione pliki poznasz po dacie modyfikacji, zwykle takiej samej dla wszystkich.
5. Zg³o¶ swoj± witrynê do usuniêcia z listy witryn zawieraj±cych z³o¶liwe oprogramowanie. U¿yj do tego Google Webmaster Tools - zaloguj siê, zweryfikuj witrynê jako swoj±, a nastêpnie zg³o¶ j± do weryfikacji.
Najdalej po 24 godzinach Twoja witryna powinna byæ normalnie dostêpna, o ile rzeczywi¶cie zosta³y z niej usuniête wszystkie z³o¶liwe kody wprowadzone wcze¶niej przez boty.
Przy okazji - Twój dostawca hostingu najprawdopodobniej nie mia³ z tym zdarzeniem nic wspólnego. Zawini³ pewnie program antywirusowy (a raczej jego brak), ewentualnie czynnik ludzki.
Aspekty wizerunkowe i odpowiedzialno¶æ karna
Je¶li komputery internautów przegl±daj±cych Twoj± witrynê nie maj± dobrej ochrony antywirusowej, a sami internauci nie korzystaj± z Firefox 3, to ich komputery mog± zaraziæ siê przez Twoj± witrynê rozmaitymi "wirusami". Dlatego warto jak najszybciej zastosowaæ kroki opisane powy¿ej - ze wzglêdów wizerunkowych.
Niektóre organizacje staj± przed dylematem czy poinformowaæ swoich u¿ytkowników o zaistnia³ej sytuacji - szczególnie je¶li chodzi o powa¿ne firmy, instytucje zaufania publicznego, czy ich podwykonawców obs³uguj±cych bardzo popularne witryny odwiedzane przez tysi±ce internautów. Tym bardziej, ¿e je¶li na serwerach znajduj± siê dane osobowe (wiêkszo¶æ przypadków), to dopuszczenie do takiej sytuacji oznacza, ¿e zawiod³y procedury i ¶rodki organizacyjne wymagane ustawowo. Brak skutecznych procedur mo¿e skutkowaæ zg³oszeniem do GIODO, na Policjê lub do Prokuratury, a w rezultacie karami dyscyplinarnymi dla pracowników, na³o¿enia grzywny lub odpowiedzialno¶ci karnej dla kierownictwa organizacji oraz jej podwykonawców.
To co na pewno warto zrobiæ to przeprowadziæ audyt polityki bezpieczeñstwa i dostosowaæ obowi±zuj±ce procedury i ¶rodki organizacyjne do ustawowych wymogów. Przy okazji przeszkoliæ personel.
Rozwi±zanie organizacyjne i prawne
Rozwi±zaniem problemu odpowiedzialno¶ci kierownictwa podmiotu do którego nale¿y witryna, oraz jego podwykonawców, jest do³o¿enie nale¿ytej staranno¶ci w zakresie ochrony swoich systemów teleinformatycznych. Nie da siê w 100% unikn±æ usterek, ataków, czy b³êdów ludzkich, ale mo¿na minimalizowaæ ich ryzyko wprowadzaj±c odpowiednie procedury i ¶rodki bezpieczeñstwa. S±dy, prokuratura i GIODO s± wtedy sk³onne uznaæ zaistnia³± sytuacjê za "wypadek przy pracy", a nie zawinione niedbalstwo wymagaj±ce ukarania.
Zachêcamy do przeprowadzenia w Pañstwa Organizacji audytu bezpieczeñstwa danych osobowych oraz dostosowania bezpieczeñstwa ich przetwarzania do wymogów ustawy o ochronie danych osobowych oraz rozporz±dzeñ wykonawczych. W ramach audytu odbywa siê równie¿ szkolenie.
W wyniku realizacji audytu i dzia³añ dostosowawczych zapewniony zostanie stan techniczny, prawny i organizacyjny odpowiadaj±cy wymogom ustawy i rozporz±dzeñ, a tak¿e stan gotowo¶ci na ewentualn± kontrolê ze strony Generalnego Inspektora Ochrony Danych Osobowych (GIODO), których przyczyn± s± czêsto reklamacje zg³aszane przez osoby fizyczne.
W ramach wspó³pracy proponujemy kolejno podj±æ nastêpuj±ce dzia³ania:
- Audyt: rozpoznanie stanu organizacyjnego, technicznego i prawnego
- Rozmowa z przysz³ym/obecnym ABI Pañstwa Organizacji
- Dostosowanie techniczno-organizacyjnych zasad przetwarzania danych do stanu wymaganego przez ustawê wraz z rozporz±dzeniami, w tym szkolenie
- Wskazówki i konsultacje dotycz±ce ustawowo wymaganego sta³ego monitoringu bezpieczeñstwa, ryzyka i reagowania na naruszenia organizacyjne, techniczne i prawne
Przedstawiony powy¿ej zakres wspó³pracy pozwoli Pañstwa Organizacji stale utrzymywaæ stan prawny odpowiadaj±cy wymogom ustawy i rozporz±dzeñ, a tak¿e stan gotowo¶ci na ewentualn± kontrolê ze strony GIODO.
Wiêcej informacji:
Favitor.pl - ochrona danych osobowych
www: www.favitor.pl
e-mail: biuro [ma³pka] favitor.pl
telefon: (22) 853 37 76