Kwarantanna zamiast kasowania — dlaczego nie usuwamy ani jednego pliku ze strony

W raportach z „czyszczenia strony” najczęściej pojawia się zdanie: usunięto 37 zainfekowanych plików. Brzmi solidnie. W praktyce oznacza, że 37 plików przestało istnieć, a nikt nie jest w stu procentach pewien, czy wszystkie były zbędne. Jeśli jeden z nich był szablonem strony, o błędzie dowiesz się od klienta.

W CleanOps nie usuwamy plików. Każdy plik uznany za zagrożenie trafia do kwarantanny, a każdą zmianę da się cofnąć. Ten wpis tłumaczy, dlaczego tak, i co to oznacza w praktyce.

Czym jest kwarantanna

Kwarantanna to przeniesienie pliku do osobnego katalogu, do którego serwer WWW nie wpuszcza żądań z sieci, z zachowaniem oryginalnej ścieżki. Plik templates/firma/index.php ląduje jako .cleanops-quarantine/<id naprawy>/templates/firma/index.php, a w katalogu kwarantanny leży .htaccess z regułą odmowy dostępu. Nic nie ginie, ale strona już go nie uruchamia i nikt nie wywoła go z przeglądarki.

Efekt dla odwiedzających jest taki sam jak przy usunięciu: złośliwy kod przestaje działać natychmiast. Różnica jest po stronie bezpieczeństwa operacji: usunięcie jest nieodwracalne, kwarantanna jest odwracalna w kilka sekund.

Trzy sytuacje, w których kasowanie kończy się źle

1. Plik był zainfekowany, ale potrzebny

Dropper nie tworzy własnych plików, tylko dokleja kod do istniejących: index.php szablonu, functions.php motywu, header.php. Usunięcie takiego pliku usuwa infekcję razem z szablonem. Z kwarantanny da się go wyjąć, usunąć doklejony fragment ręcznie i wgrać z powrotem. Z kosza na hostingu zwykle nie.

2. Skaner się pomylił

Żaden skaner, także nasz, nie jest nieomylny. Stare rozszerzenia Joomli używają konstrukcji, które dziś wyglądają podejrzanie. Wtyczki do cache generują zaciemnione pliki, które przypominają droppery. Przy kwarantannie fałszywy alarm kosztuje jedno kliknięcie „przywróć”. Przy usunięciu kosztuje odtwarzanie pliku z kopii, jeśli jest.

3. Potrzebujesz dowodu

Jeśli infekcja wyciekła dane klientów, będziesz musiał wyjaśnić, co się stało: urzędowi ochrony danych, ubezpieczycielowi, czasem policji. Usunięte pliki to brak dowodów. Pliki w kwarantannie, z datami i oryginalnymi ścieżkami, pozwalają odtworzyć przebieg ataku.

Jak to działa w CleanOps

1. Kopia przed naprawą. Zanim cokolwiek się zmieni, zapisujemy stan każdego pliku, którego dotkniemy.
2. Kwarantanna w ukrytym katalogu na Twoim serwerze, odgrodzonym od sieci regułą w .htaccess. Przeniesione pliki zostają u Ciebie. Oryginały plików, które naprawiamy (nie przenosimy), zapisujemy przed zmianą w kopii po stronie panelu, żeby cofnięcie zadziałało nawet przy wyczerpanym limicie plików na hostingu.
3. Przywrócenie oryginału dla plików rdzenia CMS‑a: zamiast „leczyć” plik, podmieniamy go na identyczny z oficjalnego wydania tej samej wersji. Zainfekowana wersja idzie do kwarantanny.
4. Pełny dziennik w panelu: który plik, dokąd, kiedy, z jakiego powodu. Przycisk „Cofnij zmiany” przywraca stan sprzed naprawy, łącznie z plikami przeniesionymi do kwarantanny, więc używaj go świadomie.
5. Nic nie jest kasowane automatycznie po czasie. Kwarantanna zostaje, dopóki sam nie zdecydujesz inaczej.

Kiedy usunąć pliki z kwarantanny

Kiedy strona działa poprawnie od kilku tygodni, nie zgłoszono problemów i nie toczy się żadne postępowanie w sprawie incydentu. Wtedy możesz spakować katalog kwarantanny do archiwum i przechować poza serwerem, albo go usunąć. To decyzja właściciela strony, nie narzędzia.

Co to oznacza dla Ciebie

Naprawa, którą da się cofnąć, to naprawa, którą możesz zlecić bez strachu. Jeśli po czyszczeniu coś przestało działać, pierwszym krokiem nie jest szukanie kopii zapasowej z zeszłego miesiąca, tylko spojrzenie w dziennik: widać w nim, który plik szablonu trafił do kwarantanny, i da się go stamtąd odzyskać. Dlatego o kwarantannę warto pytać każdego, komu zlecasz naprawę strony, niezależnie od tego, czy to automat, czy człowiek.