Tulime veebilehte uuendama ja leidsime tagauksi, mida keegi otsida ei palunud. Kui üks klient teatas turvaaugust, panime selle ette samal ööl blokeeringu.
Väike ettevõte tellis kratilt oma veebilehe uuenduse. Tööd ette valmistades leidsime lehe failidest tagauksi: kõigepealt koopiast oma arvutis, siis serverist, kuhu vaatasime ainult lugemisõigusega. Andsime ettevõttele samal päeval teada ja viisime failid tema nõusolekul avalikust veebist välja. Nädalaid hiljem teatas üks ettevõtte klient veel ühest turvaaugust. Kontrollisime teate üle, blokeerisime teatatud päringud samal ööl ja laiendasime blokeeringut järgmisel hommikul. Logide koopiad, mille alles hoidsime, katavad ainult osa perioodist, nii et me ei saa öelda, kas keegi seda auku varem kasutas.
- 3 failiviisime avalikust veebist välja samal päeval, kui ettevõte nõustus. Ühtegi neist me ei kustutanud.Meie tööpäevik
- Samal päevalandsime ettevõttele teada, et leidsime tagauksi.Meie tööpäevik
- Samal öölblokeerisime päringud, millest klient teatas. Järgmisel hommikul tuli laiem blokeering.Meie tööpäevik
- 1 katsetöötaval lehel vormiga, mida kliendid kasutavad, pärast blokeeringu laiendamist. Vorm töötas algusest lõpuni.Meie tööpäevik
Kuidas me need arvud saime: Need arvud on meie enda töödokumentidest. Failide väljaviimine ja esimene sõnum on kirjas tol ajal tehtud märkmetes ja ettevõttele saadetud sõnumites. Teate aeg on kliendi kirja päisest, blokeering samal ööl kirja pandud kontrollidest enne ja pärast ning katse sama hommiku märkmetest.
Tõendi liik: kliendiprojekt
Üle vaadatud 5. novembril 2026 · krati toimetus
Uuendada tuli töötavat lehte, kus olid kliendiandmed.
Leht töötas, seda kasutasid päris kliendid ja seal olid nende andmed. Meie ülesanne oli lehte uuendada. Turvalisus oli tellimuses üks väike rida ja tagauste otsimist seal ei olnud. Töö ettevalmistamiseks laadisime töötavast lehest koopia alla ja alustasime sellega oma arvutis.
- Töötame lehega ettevõtte volitatud töötlejana kirjaliku lepingu alusel. Vastutav töötleja on ettevõte.
Koopiast tuli välja tagauks ja fail, mis kustutas teisi faile.
Üks fail selles koopias oli tagauks, failihaldur, millega sai lugeda ja muuta kõiki lehe faile ning käivitada koodi. Sealt oli tee edasi andmebaasi ja selles olevate kliendiandmeteni. Teine fail kustutas faile kohe, kui keegi selle avas, sisselogimist küsimata. Sellist koodi ei ole turvaline käivitada, nii et lugesime seda oma arvutis ilma võrguühenduseta. Seda tehes ei saatnud me töötavale lehele ühtegi päringut ega muutnud seal midagi. Seejärel vaatasime serverit ainult lugemisõigusega. Mõlemad failid olid ka töötaval lehel ja teises kaustas oli veel veidi teistsugune koopia samast tagauksest. Selle lugesime serveris läbi ja ka seda ei käivitanud.
Andsime ettevõttele samal päeval teada ja enne nõusolekut midagi ei liigutanud.
Ettevõte on vastutav töötleja. Pidime talle kiiresti teada andma ja ilma tema nõusolekuta ei liikunud midagi. Saatsime samal päeval lihtsa sõnumi: mida tagauks teha sai ja mida logid näitasid. Panime ette järgmised sammud ja kirjutasime, milliseid paroole peab ettevõte ise vahetama. Kirjutasime ka, et kui vanemad logid näitavad tagaukse kasutamist, võib ettevõte olla kohustatud 72 tunni jooksul teavitama isikuandmete järelevalveasutust. Ettevõte nõustus ja hiljem samal päeval olid need kolm faili avalikust veebist väljas. Faile me ei kustutanud. Viisime need mujale, nii et tõendid jäid alles, ja meil oli skript, mis paneb need tagasi.
Enne paroolivahetust pidid failid väljas olema.
Tagauks, mis saab lugeda iga faili, saab lugeda ka uut parooli. Ligipääsuandmeid vahetasime seepärast alles siis, kui failid olid väljas. Vahetasime lehe salajased võtmed. Seejärel vahetasime andmebaasi parooli ja failiedastuse parooli. Vanalt administraatorikontolt võtsime õigused ära ja konto jätsime alles. Oma lehe parooli vahetas ettevõte ise meie saadetud lingi kaudu, sest paroole me vestluses ei saada.
- Lehe põhifaile ja tasuta komponente võrdlesime oma koopias ametlike kontrollsummadega ja need klappisid. Tasulistel komponentidel avalikke kontrollsummasid ei ole, nii et neid ei olnud millegagi võrrelda.
- Veebimajutuse kontol vaatasime läbi ligipääsud ja ajastatud tööd.
- Otsisime kontolt ka seda, mis jääks tööle ilma kahtlaste failideta. Otsing andis kaks hoiatust, mõlemad osutusid valehäireks.
- Meie palvel tegi veebimajutaja oma pahavarakontrolli. Vastus nimetas kaks tagaukse faili. Võõraid kontosid veebimajutaja ei näinud.
- Logid, mida saime lugeda, ei kata kogu perioodi, nii et neist ei saanud näha, kas tagauksi oli varem kasutatud.
Üks klient teatas veel ühest turvaaugust ja samal ööl blokeerisime teatatud päringud.
Nädalaid hiljem, õhtul, kirjutas üks ettevõtte klient meile ja ettevõttele. Tema sõnul vastas osa töötavast lehest päringutele ilma sisselogimiseta ja sealt pääses kliendiandmeteni. Kontrollisime seda samal ööl. Sisselogimiseta vastamise kinnitasime töötaval lehel ja ligipääsu kliendiandmetele koodist. See osa kuulus vanale lisamoodulile, mis enam uuendusi ei saanud. Lisamoodul oli juba meie riskide nimekirjas ja selle vahetamine toetatud versiooni vastu ootas otsust kulu kohta. Turvaaugu kaudu olid käeulatuses tuhandete kirjete kontaktandmed ja muud kliendiandmed. See ütleb, mis oli käeulatuses. See ei ütle, kas keegi midagi võttis, ja ülempiiriks me seda nimetada ei saa. Blokeering pidi need päringud tagasi lükkama ja jätma puutumata vormi, mida kliendid kasutavad. Samal ööl lükkas meie kirjutatud väike blokeering need tagasi. Võrdlesime vastuseid enne ja pärast. Teatatud päringud lükati tagasi, vorm avanes ja vastas endiselt.
Järgmisel hommikul otsisime seda, millest klient ei olnud teatanud.
Esimene blokeering lükkas tagasi kliendi teatatud päringud ja mõne nendega seotud päringu, aga see polnud kõik. Järgmisel hommikul vaatasime lehte laiemalt, nii nagu seda näeb sisselogimata külastaja. Töötasime peamiselt koodi lugedes ja kõiki leide lehel ei proovinud. Samal hommikul laiendasime blokeeringut ja karmistasime mitut muud seadet. Laiem blokeering oleks võinud peatada ka päris kliente, seega proovisime lehte nii, nagu klient seda kasutab. Üks meist täitis töötaval lehel vormi algusest lõpuni ja see töötas. Samal hommikul läks läbi ka ühe päris kliendi päring. Umbes kaks päeva pärast teadet tuli vana koopia asemele lisamooduli praegune versioon, mida saab uuendada. Vanad ligipääsulingid enam ei töötanud.
Mida logid näitavad ja kus need lõpevad.
Logid võivad näidata, kas keegi turvaauku kasutas. Samal ööl kopeerisime logid, mis serveris olid, ja arvutasime neile kontrollsummad. Järgmisel hommikul kopeerisime need uuesti. Koopiad katavad ainult osa perioodist. Päevadel, mida need katavad, kasutasid kliendi teatatud lehe osa sisselogimata ainult klient ise ja meie enda kontrollid. Massilist allalaadimist ega kirjenumbrite läbiproovimist me ei näinud. Aadressilt, mida me tuvastada ei suutnud, tuli lühike päring. See jõudis lehe seotud ossa ja ülal öeldu seda ei hõlma. Meil ei ole märki, et see oleks kliendiandmeid tagastanud. Andmebaasi kontroll ei näidanud, et kirjeid oleks muudetud või eemaldatud. Rohkem see kontroll ei näita. Küsisime veebimajutajalt vanemaid logisid ja vastust meie kirjades ei ole. Seega ei saa me öelda, kas keegi kasutas turvaauku enne neid päevi.
Kui võtame lehe üle, tuleb see kontroll nüüd esimesena.
Lehel, mille me üle võtame, võib olla asju, millest keegi meile rääkinud ei ole. Seepärast teeme nüüd kõigepealt turvakontrolli ja alles siis plaanitud töö. Meil on selle kohta kirjalik tööjuhend. Alustame võrguühenduseta koopiast, anname ettevõttele teada enne, kui midagi muutub, viime kahtlased failid kustutamise asemel mujale ja vahetame ligipääsuandmed kindlas järjekorras. Otsime ka seda, mis jääks tööle ilma nende failideta.
Mida me ei puutunud
Kaks valikut tegime meelega.
- Mujale viidud failid hoidsime tõenditena alles, kuigi veebimajutaja ütles, et need võib kustutada.
- Otsus, kas teavitada järelevalveasutust ja kliente, kuulub ettevõttele kui vastutavale töötlejale. Sellest see leht ei räägi.
Kellele mis kuulub
Omanik
Ettevõte on vastutav töötleja. Majutuskonto kuulub ettevõttele.
Krati roll
kratt töötab lehega ettevõtte volitatud töötlejana kirjaliku lepingu alusel.
Üleandmine
Midagi ei ole vaja üle viia. Majutuskonto jääb ettevõttele.
Mida see leht ei näita
- Et veebileht on nüüd turvaline või et kõik, mida me leidsime, on suletud. Siin on kirjas, mida me tol ajal muutsime ja kontrollisime.
- Et meie leidsime teise turvaaugu esimesena. Sellest teatas klient.
- Et andmeid ei kopeeritud või et keegi tagauksi või turvaauku ei kasutanud. Logid katavad ainult osa perioodist, nii et seda me öelda ei saa.
- Et esimene blokeering hõlmas kõike. Nii see ei olnud ja laiem blokeering tuli järgmisel hommikul.
- Et me teame kõiki sissepääsuteid. Me ei saa öelda, mis veel oli enne teadet käeulatuses ega kas keegi seda kasutas.
- Kes tagauksed sinna pani. Seda me ei tea.
- Et iga fail veebilehel on tõendatult puhas. Seda me tõendada ei saanud ja tasulistel komponentidel ei ole avalikke kontrollsummasid, millega võrrelda.
- Et see oli läbistustest või sõltumatu audit. See oli meie enda töö veebilehel, mille kallal töötasime, ja peale veebimajutaja enda pahavarakontrolli ei vaadanud seda keegi väljastpoolt.
- Et kratt on IT-turvafirma. Me ei müü seda teenusena.
- Mõju käibele või klientide usaldusele. Me ei mõõtnud seda.
- Meie reageerimisaega, hinda või tingimusi. Selle lehe ajad kirjeldavad ühte tööd.
- Kõike, mis veebilehel juhtus. See leht räägib kahest tööjärgust ja ka nendest mitte kõike.
Mida omanik selle töö kohta küsib.
Kas kliendiandmeid võeti?
Me ei tea. Logide koopiad, mille alles hoidsime, katavad ainult osa perioodist, nii et me ei saa öelda, kas keegi turvaauku varem kasutas. Need ei näita ka seda, et andmeid ei kopeeritud.
Mis kuulub esimese kontrolli juurde, kui võtame lehe üle?
Alustame lehe võrguühenduseta koopiast. Anname ettevõttele teada enne, kui midagi muutub, viime kahtlased failid kustutamise asemel mujale ja vahetame ligipääsuandmed kindlas järjekorras. Otsime ka seda, mis jääks tööle ilma nende failideta.
Kas kratt müüb IT-turvet?
Ei, me ei paku seda teenusena. Tegime selle töö, sest töötasime lehega kirjaliku lepingu alusel, kui need probleemid ilmnesid. Tasuta auditis vaatame, kuidas ettevõttes töö käib. Turvakontroll see ei ole.
Kuidas kontrollime, kas meie enda varukoopiad taastuvad:iganädalane taastamistest (EN)
Karl-Kristjan SaarKrati tegevjuht (CEO) ja kaasasutaja
Kas teate, mis teie veebilehe failides on?
Kui lehe ehitas keegi teine või uuendus on ees, vaatame koos teiega 30 minuti jooksul läbi, kellel on olnud ligipääs ja mida soovite muuta. Kõne lõpuks teate, mida meie kõigepealt kontrolliksime. Kõne ise ei ole turvakontroll.
Leppige kokku kõne oma veebilehe kohtaTagasi kõigi edulugude juurde.