Bonnes pratiques pour répondre à un incident de sécurité

Contactez votre intégrateur système et le personnel de sécurité approprié pour mener des enquêtes et des efforts de correction.

Déterminer la portée de l'attaque :

• Les informations de carte de crédit ont-elles été consultées ?
• Quelles informations ont été volées ?
• Combien de temps s'est-il écoulé depuis le compromis ?
• L'information a-t-elle été cryptée ?

Essayez de trouver le vecteur d'attaque pour déterminer quand et comment le site a été compromis, en examinant les fichiers journaux du serveur et les modifications de fichiers.

• Dans certains cas, il peut être conseillé d’effacer et de réinstaller tout ou, dans le cas de l’hébergement virtuel, de créer une nouvelle instance. Des logiciels malveillants pourraient être cachés dans un endroit insoupçonné, attendant de se rétablir.

• Supprimez tous les fichiers inutiles. Ensuite, réinstallez les fichiers requis à partir d’une source connue et propre. Par exemple, vous pouvez réinstaller à l’aide de fichiers de votre système de contrôle de version ou à partir des fichiers de distribution d’origine d’Adobe.

• Réinitialisez toutes les informations d’identification, y compris la base de données, l’accès aux fichiers, les intégrations de paiement et d’expédition, les services web et la connexion administrateur. Réinitialisez également toutes les clés d’intégration et d’API et tous les comptes qui peuvent être utilisés pour attaquer le système.

Journaux des actions de l’administrateur d’audit.

Le rapport Journaux d’actions affiche un enregistrement détaillé de toutes les actions d’administration activées pour la journalisation. Chaque enregistrement est horodaté et enregistre l’adresse IP et le nom de l’utilisateur. Le détail du journal comprend les données utilisateur de l’administrateur et les modifications associées qui ont été apportées pendant l’action.

Analysez les événements à l’aide du Observation pour l’outil Adobe Commerce.

L’outil Observation pour Adobe Commerce vous permet d’analyser des problèmes complexes afin d’identifier les causes profondes. Au lieu de suivre des données disparates, vous pouvez passer votre temps à mettre en corrélation des événements et des erreurs afin d’obtenir des informations plus approfondies sur les causes des goulets d’étranglement en termes de performances.

Utilisez la variable Sécurité de l’outil pour obtenir une vue d’ensemble claire des problèmes de sécurité potentiels afin d’identifier les causes premières et de maintenir les performances optimales des sites.

Analyser les journaux avec Journaux New Relic

Les projets Adobe Commerce sur l’infrastructure cloud Pro incluent Journaux New Relic service. Le service est préconfiguré pour agréger toutes les données de journal de vos environnements d’évaluation et de production afin de les afficher dans un tableau de bord de gestion des journaux centralisé où vous pouvez rechercher et visualiser des données agrégées.

Pour d’autres projets Commerce, vous pouvez configurer et utiliser la variable Journaux New Relic pour effectuer les tâches suivantes :

• Utilisation Requêtes New Relic pour rechercher des données de journal agrégées.
• Visualisez les données de journal à l’aide de l’application New Relic Logs.

Vérification de l’accès des utilisateurs administrateurs: supprimez les comptes anciens, inutilisés ou suspects et faites pivoter les mots de passe de tous les utilisateurs administrateurs.

Vérification des paramètres de sécurité de l’administrateur: vérifiez que les paramètres de sécurité de l’administrateur suivent les bonnes pratiques en matière de sécurité.

Vérification des comptes d’utilisateurs pour Adobe Commerce sur les projets d’infrastructure cloud: supprimez les comptes anciens, inutilisés ou suspects et faites pivoter les mots de passe de tous les utilisateurs administrateurs de projet cloud. Vérifiez que les paramètres de sécurité du compte sont correctement configurés.

Vérifier les clés SSH pour Adobe Commerce sur l’infrastructure cloud : vérifiez, supprimez et faites pivoter les clés SSH.

Depuis l’administrateur, passez en revue les Configuration des en-têtes et pieds de page de HTML à tous les niveaux de portée, y compris website et store view. Supprimez tout code JavaScript inconnu des scripts et des feuilles de style, ainsi que des paramètres de HTML divers. Conservez uniquement le code reconnu tel que les fragments de code de suivi.

Comparez la base de code de production actuelle à la base de code stockée dans le système de contrôle de version (VCS).

Mettre en quarantaine tout code suspect.

S’assurer qu’il n’y a pas de restes de code suspect en redéployant le code base dans l’environnement de production.

Examinez les procédures stockées pour les modifications.

Vérifiez que la base de données n’est accessible que par l’instance Commerce.

Vérifiez que les logiciels malveillants ne sont plus présents en analysant le site à l’aide d’outils de numérisation de programmes malveillants accessibles au public.

Sécurisez le panneau d’administration en modifiant son nom et en vérifiant que le site app/etc/local.xml et var Les URL ne sont pas accessibles publiquement.

Continuez à surveiller de près le site après l'incident, car de nombreux sites sont de nouveau compromis en quelques heures. Assurez-vous que la révision des journaux et la surveillance de l’intégrité des fichiers sont en cours afin de détecter rapidement tout signe de nouveau compromis.