„Przywrócę kopię zapasową i po sprawie” — dlaczego to najczęściej nie działa po włamaniu

Hosting ma kopie z ostatnich 14 dni. Strona jest zainfekowana. Przywracasz kopię sprzed tygodnia, strona wygląda normalnie, sprawa zamknięta. Dwa tygodnie później hosting znów pisze o malware. Co poszło nie tak?

Powód 1: kopia jest już zainfekowana

Infekcja jest prawie zawsze starsza niż objawy. Backdoor wchodzi cicho, czeka, czasem tygodnie, a dopiero potem zaczyna rozsyłać spam, przekierowywać albo dokładać podstrony. W momencie, gdy hosting wykrywa malware, pierwszy plik atakującego ma zwykle kilka tygodni. Kopia sprzed tygodnia zawiera go w całości.

Jak sprawdzić: przed przywróceniem przeszukaj kopię (rozpakowaną lokalnie, nie na serwerze) tak, jak przeszukałbyś żywą stronę: pliki PHP w uploads/ i images/, daty modyfikacji, grep po eval(base64_decode. Jeśli coś znajdziesz, kopia jest spalona i trzeba cofnąć się dalej. Zwykle dalej nie ma.

Powód 2: luka nadal jest otwarta

Nawet czysta kopia przywraca stronę do stanu, w którym ktoś już raz się włamał. Ta sama stara wtyczka z luką, to samo hasło, które wyciekło, to samo zapomniane konto FTP. Automaty atakujących skanują internet w kółko; strona z tą samą luką zostanie znaleziona ponownie, często przez ten sam skrypt, w ciągu dni.

Przywrócenie kopii bez zamknięcia drogi wejścia to sprzątanie z otwartymi drzwiami.

Powód 3: tracisz dane z ostatnich dni

Kopia sprzed tygodnia nie ma zamówień z tego tygodnia, nowych wpisów, komentarzy, rejestracji. W sklepie to realne pieniądze i realni klienci, którzy zapłacili za coś, czego w systemie już nie ma. Przy stronie z formularzami to zgłoszenia, które zniknęły. Da się to częściowo odkręcić, przywracając tylko pliki, a bazę zostawiając, ale wtedy infekcja w bazie zostaje.

Kiedy kopia ma sens

Ma sens jako źródło czystych wersji pojedynczych plików, nie jako „wielki reset”. Szablon zainfekowany w całości? Weź jego pliki z kopii, sprawdź i wgraj. Zniszczony .htaccess? Z kopii. Baza zostaje aktualna, pliki rdzenia idą z oficjalnego wydania, a kopia uzupełnia to, czego nie ma skąd wziąć.

Ma też sens jako kopia sprzed naprawy: stan zainfekowany, zapisany poza serwerem, do którego da się wrócić, gdyby naprawa coś zepsuła, i który jest dowodem, gdyby incydent trzeba było wyjaśniać.

Jak robić kopie, żeby następnym razem pomogły

Trzymaj je dłużej

14 dni to za mało. Infekcja ma zwykle więcej. Co najmniej jedna kopia miesięczna przez pół roku, obok kopii dziennych z ostatnich dwóch tygodni. Na dysku to zwykle kilka gigabajtów, czyli grosze.

Trzymaj je poza serwerem

Kopia w katalogu backup/ obok strony jest dostępna dla każdego, kto ma dostęp do strony, w tym dla atakującego. Widzieliśmy przypadki, gdzie kopie były zainfekowane „na zapas”. Kopia ma iść do innego miejsca: dysk w chmurze, inny serwer, komputer lokalny.

Rób kopie bazy osobno

Pliki i baza zmieniają się w innym tempie. Baza sklepu zmienia się co minutę, pliki raz na miesiąc. Kopia bazy co godzinę plus kopia plików raz dziennie to lepszy układ niż jeden duży pakiet raz dziennie.

Testuj przywracanie

Kopia, której nikt nigdy nie przywrócił, to nadzieja, nie kopia. Raz na kwartał rozpakuj ją lokalnie albo na kopii strony i sprawdź, czy się otwiera. Uszkodzone archiwa i niepełne zrzuty bazy wychodzą dopiero wtedy, gdy są potrzebne.

Sprawdzaj kopie tak, jak sprawdzasz stronę

Skan kopii przed przywróceniem to kwadrans. Ten sam find po plikach PHP w katalogach na obrazki, ten sam grep. Jeśli masz narzędzie, które porównuje pliki z oficjalnym wydaniem, przepuść przez nie kopię.

W skrócie

Kopia zapasowa jest po to, żeby odzyskać dane po awarii, nie po to, żeby cofnąć czas po włamaniu. Po włamaniu trzeba usunąć to, co obce, zamknąć drogę wejścia i zachować aktualne dane. Kopia w tym pomaga jako magazyn czystych plików i jako dowód, ale nie zastąpi naprawy.

Dlatego w CleanOps naprawa nie polega na przywróceniu kopii. Polega na porównaniu z oficjalnym wydaniem, kwarantannie obcych plików i zachowaniu Twoich danych i customizacji. A kopia sprzed naprawy powstaje automatycznie, zanim cokolwiek się zmieni.