Защита сайта от взлома и восстановление после атаки

Если сайт уже взломан

Сначала важно сохранить следы инцидента. Текущие файлы, журналы веб-сервера, события панели управления, список процессов и снимок базы помогают установить время и способ проникновения. Массовое обновление файлов до сохранения этих данных усложняет расследование и может оставить точку входа незамеченной.

Для действующего магазина или сервиса порядок действий согласуется с владельцем: ограничивается опасная функция, сохраняются журналы и копия текущего состояния, после чего выполняются очистка и восстановление. Такой порядок помогает быстрее вернуть критичные сценарии и одновременно разобраться с причиной.

• сохранить журналы, файлы и сведения об изменениях до очистки
• отключить обнаруженную вредоносную функцию или посторонний доступ
• проверить административные учётные записи, задания cron и исходящую почту
• зафиксировать время появления первых симптомов

Как находят причину и точку входа

Причина часто находится за пределами страницы, на которой заметили проблему. Проверяются новые и изменённые файлы, уязвимые модули CMS, доступы FTP и SSH, журналы авторизации, открытые служебные файлы, поддомены и задания планировщика. Для WordPress и Битрикс дополнительно важны версии ядра, плагинов или модулей, права на каталоги и неизвестные административные учётные записи.

Результатом расследования становится связная картина: какой вход использовали, что изменилось после проникновения и какие действия закрывают повторение этого сценария. Если доказательств недостаточно, в отчёте отделяются подтверждённые факты от наиболее вероятных причин.

Возврат сайта в рабочее состояние

Рабочую версию можно собрать из проверенной резервной копии либо очистить текущее состояние. Выбор зависит от даты заражения, полноты копий, количества новых заказов и изменений контента. После восстановления проверяются основные страницы, вход, формы, оформление заказа, фоновые задания и обмены с внешними системами.

Для базы данных полезна отдельная проверка целостности и контроль записей, появившихся во время сбоя. Это особенно важно для заказов, оплат, обращений и личных кабинетов, где простая замена файлов возвращает лишь часть процесса.

Защита от повторного взлома

После восстановления усиливаются именно те уровни, которые связаны с инцидентом: обновления CMS, административный вход, права файлов, защитные HTTP-заголовки, межсетевой экран веб-приложения (WAF), закрытие прямого доступа к исходному серверу сайта (origin-серверу), DNS и контроль целостности. Для старой CMS возможен виртуальный патч, который перекрывает опасный запрос до безопасного обновления или переноса.

Контроль изменений помогает заметить новую попытку раньше. Уведомления настраиваются для исполняемых файлов, конфигурации, административных учётных записей и других критичных объектов. Резервные копии дополняются проверкой восстановления, чтобы ими действительно можно было воспользоваться.

Что получает клиент

Состав результата зависит от выбранной услуги. Это может быть очищенный и проверенный сайт, восстановленная рабочая версия, отчёт о причине инцидента, список изменённых объектов, настроенный контроль целостности, закрытая уязвимость или инструкция для следующего аварийного случая. На странице каждой услуги указаны конкретный результат, способ его проверки, срок и фиксированная цена.

• понятная фиксация найденных проблем и выполненных изменений
• контрольный проход ключевых сценариев сайта
• следующие действия с приоритетами
• материалы для разработчика или администратора, если работа продолжается внутри команды

Что подготовить для начала

Для первого разбора достаточно адреса сайта, названия CMS, доступа к панели хостинга и короткого описания симптомов. Полезно указать, когда проблема появилась впервые, какие изменения выполнялись перед этим и приходили ли уведомления от хостинга, браузера или поисковой системы. Если сохранились письма, снимки экрана и фрагменты журналов, они ускорят восстановление последовательности событий.

При активном инциденте можно начать даже с неполного набора данных. Сначала согласуются действия, которые сохранят текущее состояние и ограничат влияние проблемы, затем по доступным следам определяется дальнейшая работа.