איך דלת אחורית שונה מחולשת אבטחה
חולשה היא פגם שניתן לנצל; דלת אחורית היא נתיב גישה. נתיב כזה עשוי להיות מושתל לאחר ניצול חולשה, אך המושגים אינם זהים. NIST מגדירה Backdoor גם כדרך גישה לא מתועדת, ובהקשרים מסוימים כתוכנית זדונית המקבלת פקודות.
יש להפריד גם בין דלת אחורית לבין גישת תמיכה מורשית ומתועדת. השאלה אינה רק אם קיים חיבור מרחוק, אלא מי אישר אותו, למי יש שליטה בו, מה הוא מאפשר והאם ניתן לבטלו ולעקוב אחר השימוש בו.
אילו סימנים מצדיקים בירור
פריצה חוזרת יכולה לנבוע מדלת אחורית, אבל גם מחשבון גנוב, גיבוי פגוע או חולשה שלא תוקנה. הטבלה מציעה כיווני בירור ולא קובעת סיבה. כדי להבחין ביניהם צריך לחבר בין הזמנים, הפעולות וההרשאות שהיו פעילות.
| סימן | ראיה שימושית | השערות לבדיקה |
|---|---|---|
| קובץ שנוקה מופיע שוב | מועד שינוי, מקור הקובץ ולוגים | קוד נוסף, משימה אוטומטית או גישה פעילה |
| מנהל חדש שלא אושר | זהות החשבון ומועד יצירה | חשבון קיים שנוצל או יצירה דרך קוד |
| ההפניה חוזרת אחרי שחזור | נקודת השחזור ודפוס ההופעה | גיבוי פגוע או חשיפה שנותרה |
| רכיב ניהול לא מוכר | מקור התקנה והרשאות | כלי מורשה שלא תועד או נתיב לא מורשה |
מהו Web shell ומה לא לעשות איתו
Web shell הוא קוד שרת המאפשר שליטה דרך בקשות אינטרנט, ויכול לשמש כדלת אחורית באתר שנפגע. אין צורך לפתוח אותו או לנסות את יכולותיו כדי לדווח עליו. פנייה אליו עלולה להפעיל קוד ולשנות את המערכת.
שמרו את מיקום הממצא ותיאור ההתראה והעבירו לאיש מקצוע בערוץ מתאים. שם קובץ חשוד אינו מספיק לזיהוי, ושם רגיל אינו מוכיח שהקובץ תקין. בדיקה צריכה להתייחס לתוכן, למקור ולהקשר.
למה סריקת קבצים אינה כל הבדיקה
השוואת קבצים למקור אמין מסייעת למצוא שינויים, אך אינה מכסה כל גישה או נתון. כלי בדיקת התוספים של WP-CLI משווה לקובצי WordPress.org; רכיב מסחרי או מותאם שאין עבורו נתוני השוואה דורש מסלול אחר. חוסר יכולת לבדוק אינו אישור תקינות.
לכן מגדירים גם בדיקת משתמשים, חיבורים והרשאות. השאלה לסיום אינה רק אם הקובץ הוסר, אלא אם נותר נתיב שמאפשר להחזירו. החלפת סיסמאות וביטול חיבורים נעשים כחלק מתוכנית שמביאה בחשבון את כלל הסביבות הרלוונטיות.
איזה תיעוד לבקש בסיום הטיפול
בקשו רשימת ממצאים, מה הוחלף או בוטל, מה נבדק מחדש ומה לא ניתן היה לבדוק. אם בוצע שחזור, תעדו מדוע נבחרה נקודת הזמן ואיך נבדקה. הגדירו גם מי יקבל התרעה אם הסימן חוזר.
דוגמה להחלטה נכונה היא להשאיר שאלה פתוחה לגבי מקור כניסה שלא הוכח, תוך צמצום הגישות ובדיקת החשיפות הידועות. הצהרה גורפת שהכול נוקה מסתירה אי-ודאות ואינה תחליף לראיות.